KDF 密钥派生函数指南：PBKDF2、bcrypt、scrypt 与 Argon2 详解

密钥派生函数（Key Derivation Function，KDF）是现代密码学中不可或缺的基础组件，用于从低熵的输入（如用户密码、主密码）派生出符合长度与强度要求的密钥。它不仅决定了密码存储的安全性，也是磁盘加密、协议密钥协商、API 鉴权等场景的关键环节。本文将系统讲解 KDF 的核心属性、四大主流算法（PBKDF2、bcrypt、scrypt、Argon2）的原理与参数选择，提供可运行的 JavaScript 代码示例和参数选择建议，帮助开发者构建更安全的密钥派生方案。

一、KDF 概述

密钥派生函数（KDF）是一种从输入密钥材料派生出一个或多个密钥的密码学算法。它的输入通常是用户密码、口令或主密钥，输出是长度固定、伪随机且适合用于加密算法的密钥。与直接使用密码作为密钥相比，KDF 通过加盐、迭代和参数化成本等方式，显著提升了抗暴力破解的能力。KDF 的主要特点包括：

• 确定性：相同的输入（密码与盐值）始终派生出相同的密钥，便于密码验证
• 可调成本：通过迭代次数、内存占用等参数控制派生开销，抵御硬件加速攻击
• 加盐设计：使用随机盐值避免彩虹表与相同密码派生出相同密钥
• 伪随机输出：输出在统计上接近随机，适合作为对称加密算法的密钥

KDF 的典型应用场景包括：用户密码的安全存储与校验、磁盘加密（如 LUKS、FileVault）的主密钥派生、TLS 与协议握手中的密钥协商、加密密钥从用户口令派生，以及 API 密钥的派生与版本管理。可以说，凡是从弱密钥材料生成强密钥的地方，都需要 KDF 介入。

二、KDF 的核心属性

要判断一个 KDF 是否安全，需要理解它必须具备的核心属性。这些属性共同决定了 KDF 抵抗各种攻击方式的能力：

• 确定性：相同输入必须产生相同输出，否则无法用于密码校验场景
• 伪随机性：输出在统计上无法与真随机数区分，避免密钥被预测
• 抗暴力破解：通过可调参数提高单次派生开销，使攻击者枚举成本不可接受
• 抗预计算：借助随机盐值阻止攻击者提前构造彩虹表
• 内存困难性：要求派生过程占用大量内存，使 GPU、ASIC 等并行硬件难以加速

三、PBKDF2 详解

PBKDF2（Password-Based Key Derivation Function 2）由 RSA 实验室的 RFC 2898 定义，是最早被广泛标准化的 KDF 之一。它基于伪随机函数（通常是 HMAC）对密码与盐值进行多次迭代，最终输出指定长度的派生密钥。由于实现简单且被 FIPS 认可，PBKDF2 至今仍是合规场景（如银行业、政府系统）的首选。

3.1 工作原理

PBKDF2 将密码与盐值拼接后，使用 HMAC-SHA256 等伪随机函数迭代计算。每次迭代的结果与上一次异或累加，最终得到派生密钥。迭代次数越高，单次派生越慢，攻击者枚举成本越高。

3.2 HMAC 基础

HMAC（基于哈希的消息认证码）是 PBKDF2 的核心构建块。它结合密钥与哈希函数，保证只有持有密钥的一方才能生成有效 MAC。PBKDF2 中密码即充当 HMAC 的密钥，盐值作为输入消息的一部分。

3.3 迭代次数选择

迭代次数是 PBKDF2 最重要的参数。OWASP 当前建议 HMAC-SHA256 至少 310000 次，HMAC-SHA512 至少 120000 次。原则是：在可接受的用户体验范围内，选择尽可能高的迭代次数，并随硬件性能提升定期调整。

// 使用 Web Crypto API 实现 PBKDF2
async function deriveKeyPBKDF2(password, salt, iterations = 310000) {
  const encoder = new TextEncoder();
  const keyMaterial = await crypto.subtle.importKey(
    'raw',
    encoder.encode(password),
    { name: 'PBKDF2' },
    false,
    ['deriveKey']
  );

  const derivedKey = await crypto.subtle.deriveKey(
    {
      name: 'PBKDF2',
      salt: encoder.encode(salt),
      iterations: iterations,
      hash: 'SHA-256'
    },
    keyMaterial,
    { name: 'AES-GCM', length: 256 },
    true,
    ['encrypt', 'decrypt']
  );

  return derivedKey;
}

// 生成随机盐值（十六进制字符串）
function generateSalt(length = 16) {
  const array = new Uint8Array(length);
  crypto.getRandomValues(array);
  return Array.from(array, b => b.toString(16).padStart(2, '0')).join('');
}

// 使用示例
const password = 'user-password-123';
const salt = generateSalt(16);
const key = await deriveKeyPBKDF2(password, salt, 310000);
console.log('盐值:', salt);

四、bcrypt 详解

bcrypt 由 Niels Provos 和 David Mazières 于 1999 年设计，专门用于密码哈希。它基于 Blowfish 加密算法的变体 Eksblowfish（Expensive Key Schedule Blowfish），通过自适应的 cost 参数控制计算开销，是 Web 应用密码存储的经典选择。

4.1 Eksblowfish 算法

Eksblowfish 在 Blowfish 密钥扩展阶段引入“昂贵”的初始化过程，使密钥调度不可被预计算。bcrypt 在加密时反复使用盐值与密码参与运算，使得攻击者无法用预计算表加速破解。

4.2 自适应 cost 参数

bcrypt 的 cost 参数（又称工作因子）以 2 的幂次控制迭代轮数，cost=10 表示 2^10=1024 轮。每增加 1，计算时间翻倍。当前推荐 cost 在 10~14 之间，并应随硬件性能每隔 1~2 年评估一次。

4.3 盐值与输出格式

bcrypt 自动生成 16 字节随机盐，并将其与 cost、哈希结果一起编码为形如 $2b$10$... 的字符串，称为 PHC 字符串。验证时只需传入密码与该字符串，无需单独保存盐值，便于存储与迁移。

// 在 Node.js 中使用 bcrypt 哈希密码
const bcrypt = require('bcrypt');

// 哈希密码（自动生成盐）
async function hashPassword(password) {
  const saltRounds = 12; // cost factor，推荐 10~14
  const hash = await bcrypt.hash(password, saltRounds);
  return hash;
}

// 验证密码
async function checkPassword(password, hash) {
  return await bcrypt.compare(password, hash);
}

// 使用示例
const hash = await hashPassword('user-password-123');
console.log('哈希值:', hash);
// 输出形如: $2b$12$abcdef....（包含 cost、盐与哈希）

const isValid = await checkPassword('user-password-123', hash);
console.log('验证结果:', isValid);

五、scrypt 详解

scrypt 由 Colin Percival 于 2009 年提出，是最早的内存困难型 KDF 之一。它通过强制派生过程占用大量内存，使 ASIC、GPU 等并行硬件无法高效加速破解，被广泛用于加密货币（如莱特币）与高安全场景。

5.1 内存困难函数

scrypt 在派生过程中先填充一个大的伪随机数组，然后随机访问该数组进行混合。攻击者若想加速，要么缓存整个数组（消耗大量内存），要么反复重新计算（消耗大量时间），从而在时间与空间之间形成权衡难题。

5.2 参数 N/r/p 详解

scrypt 有三个核心参数：N 为 CPU/内存成本参数（必须是 2 的幂），r 为块大小参数，p 为并行参数。常见推荐组合为 N=16384、r=8、p=1，内存占用约 N·r·128 字节。增大 N 提升内存压力，增大 p 提升并行度，需根据服务器硬件调整。

// 使用 noble-hashes 在浏览器/Node 中派生密钥
const { scrypt } = require('@noble/hashes/scrypt');
const { randomBytes } = require('@noble/hashes/utils');

function deriveKeyScrypt(password, salt, options = {}) {
  const {
    N = 16384,    // CPU/内存成本参数（必须是 2 的幂）
    r = 8,        // 块大小参数
    p = 1,        // 并行参数
    dklen = 32    // 派生密钥长度（字节）
  } = options;

  return scrypt(
    Buffer.from(password, 'utf8'),
    salt,
    { N, r, p, dklen, maxmem: 512 * 1024 * 1024 }
  );
}

// 生成随机盐
const salt = randomBytes(16);

// 派生 32 字节密钥
const derivedKey = deriveKeyScrypt('user-password-123', salt, {
  N: 16384,
  r: 8,
  p: 1,
  dklen: 32
});

console.log('派生密钥:', Buffer.from(derivedKey).toString('hex'));

六、Argon2 详解

Argon2 是 2015 年 Password Hashing Competition（PHC）的获胜算法，目前被视为密码哈希的最先进方案。它在设计上兼顾内存困难、并行抵抗与侧信道防护，并被 IETF（RFC 9106）与 OWASP 推荐为密码存储的首选算法。

6.1 Argon2d / 2i / 2id 三种变体

Argon2d 以数据依赖方式访问内存，抗 GPU 攻击强但可能受侧信道攻击；Argon2i 以数据无关方式访问内存，抗侧信道攻击适合密码哈希预计算防护；Argon2id 是两者的混合体，兼顾安全与性能，是 OWASP 推荐的默认选择。

6.2 内存与并行参数

Argon2 的核心参数包括 time（迭代次数）、memory（内存占用，单位 KB）、parallelism（并行线程数）与 hashLen（输出长度）。OWASP 推荐组合为 time=3、memory=64MB（65536 KB）、parallelism=4，可随服务器性能提升逐步加码。

6.3 PHC 字符串与验证

Argon2 输出包含 PHC 编码字符串，其中记录了所有参数、盐值与派生哈希。验证时库会自动解析参数并重新派生比对，无需手动管理盐值，便于版本迁移与参数升级。

// 使用 argon2-browser 库派生与验证密码
const argon2 = require('argon2-browser');

async function deriveKeyArgon2(password, salt) {
  const result = await argon2.hash({
    pass: password,
    salt: salt,                       // 至少 8 字节
    time: 3,                          // 迭代次数
    mem: 65536,                       // 内存（KB），即 64 MB
    hashLen: 32,                      // 输出长度
    parallelism: 4,                   // 并行度
    type: argon2.ArgonType.Argon2id   // 推荐 Argon2id
  });

  return {
    hash: result.hash,                // 派生密钥（Uint8Array）
    hashHex: result.hashHex,          // 十六进制字符串
    encoded: result.encoded           // PHC 编码字符串
  };
}

// 验证密码（自动解析 PHC 字符串中的参数与盐值）
async function verifyPassword(password, encoded) {
  try {
    await argon2.verify({ pass: password, encoded: encoded });
    return true;
  } catch {
    return false;
  }
}

// 使用示例
const salt = crypto.getRandomValues(new Uint8Array(16));
const result = await deriveKeyArgon2('user-password-123', salt);
console.log('PHC 编码:', result.encoded);

const isValid = await verifyPassword('user-password-123', result.encoded);
console.log('验证结果:', isValid);

七、KDF 算法对比

四大主流 KDF 在内存困难性、并行抵抗、参数灵活性等方面各有差异，选择时需结合安全等级、运行环境与合规要求综合判断：

Argon2 推荐参数参考

八、应用场景

KDF 在多个安全场景中扮演关键角色，选择合适的算法与参数对整体安全方案至关重要：

• 密码存储：将用户密码经 KDF 派生后存储哈希值，登录时重新派生比对，避免明文密码泄露
• 磁盘加密：LUKS、FileVault 等全盘加密方案使用 KDF 从用户口令派生主密钥，保护磁盘数据安全
• 密钥派生：从主密钥派生多个子密钥，用于不同业务或会话，实现密钥分层与隔离
• API 密钥：派生 API 鉴权密钥并支持版本管理，便于密钥轮换与权限隔离

九、最佳实践与参数选择建议

在工程实践中，选择 KDF 算法与参数需要平衡安全、性能与可维护性。以下是经过验证的通用建议：

• 优先选择 Argon2id：新项目默认使用 Argon2id，它兼顾内存困难与侧信道防护，是当前 OWASP 首选
• 使用随机盐值：每次派生使用至少 16 字节随机盐，避免彩虹表与相同密码派生相同密钥
• 参数可调升级：将参数与盐值、哈希一并存储（PHC 字符串），支持日后硬件升级时平滑提高成本
• 定期评估成本：每隔 1~2 年评估参数，保证单次派生耗时在 100~500 毫秒之间
• 常量时间比较：验证密码时使用恒定时间比较函数，防止时序侧信道攻击

参数选择速查

十、土豆丝 KDF 工具介绍

为帮助开发者快速验证与对比各类 KDF，土豆丝工具提供了在线 KDF 工具，支持以下功能：

十一、总结

KDF 是连接弱密码材料与强密码学密钥的桥梁，其安全性直接决定了密码存储、磁盘加密与协议密钥派生的整体安全。理解确定性、伪随机性、抗暴力破解、内存困难性等核心属性，是正确评估与选择 KDF 的前提。

在实际工程中，新项目应优先选用 Argon2id，配合随机盐值与可调参数，并随硬件性能定期评估升级。PBKDF2、bcrypt、scrypt 各有适用场景，需要根据合规要求与运行环境权衡选择。配合专业的 KDF 工具进行参数调优，可以让安全方案更稳妥、更易维护。