如何用JCE实现类PKCS#11的CKM_ECDH1_DERIVE功能，避免共享秘钥外泄

我的需求是通过JCE在HSM中执行ECDH密钥协商，结合SHA-256 KDF进行密钥派生，核心要求是ECDH生成的共享密钥绝对不能暴露在HSM外部——这和PKCS#11的CKM_ECDH1_DERIVE函数特性一致，该函数结合SHA-256 KDF使用时，HSM不会返回明文共享密钥，仅输出经过KDF处理后的派生密钥。

我目前的示例JCE代码如下：

// Derive a shared secret with ECDH 
KeyAgreement keyAgreementA = KeyAgreement.getInstance("ECDH", "Some HSM Provider");
keyAgreementA.init(keyPairA.getPrivate());
keyAgreementA.doPhase(keyPairB.getPublic(), true);
byte[] sharedSecret = keyAgreementA.generateSecret(); // <= 此处不希望共享密钥以byte[]形式暴露在HSM外

// Derive a key from the shared secret and some shared info
MessageDigest hash = MessageDigest.getInstance("SHA-256");
hash.update(sharedSecret);
byte[] derivedSecret = hash.digest(some shared info);

请问能否在JCE中实现与PKCS#11 CKM_ECDH1_DERIVE等价的功能？

可以实现，但核心是依赖HSM厂商提供的JCE Provider扩展能力，确保ECDH协商和KDF派生的全流程在HSM内部完成，避免共享密钥出HSM。具体有几种可行方案：

• 使用带KDF参数的KeyAgreement扩展
  部分HSM厂商的JCE Provider会扩展KeyAgreement类，支持直接在密钥协商时指定SHA-256 KDF和共享信息，无需导出明文共享密钥。示例代码大致如下（具体类名和算法名需参考厂商文档）：

  // 构造带SHA-256 KDF的ECDH参数（不同厂商参数类可能不同）
  ECDHWithKDFParameterSpec kdfParams = new ECDHWithKDFParameterSpec(
      keyPairB.getPublic(),
      "SHA-256",
      someSharedInfo // 对应CKM_ECDH1_DERIVE中的共享信息字段
  );
  
  KeyAgreement keyAgreementA = KeyAgreement.getInstance("ECDHwithSHA256KDF", "YourHSMProvider");
  keyAgreementA.init(keyPairA.getPrivate(), kdfParams);
  keyAgreementA.doPhase(keyPairB.getPublic(), true);
  // 直接生成HSM内部派生后的密钥材料，全程不暴露明文共享密钥
  byte[] derivedSecret = keyAgreementA.generateSecret();
  

• 通过SecretKeyFactory在HSM内完成KDF
  先让KeyAgreement生成HSM内部托管的临时共享密钥对象（而非byte[]），再通过SecretKeyFactory在HSM内执行SHA-256 KDF：

  KeyAgreement keyAgreementA = KeyAgreement.getInstance("ECDH", "YourHSMProvider");
  keyAgreementA.init(keyPairA.getPrivate());
  keyAgreementA.doPhase(keyPairB.getPublic(), true);
  // 生成HSM内部的共享密钥对象，getEncoded()返回null或内部标识，不导出明文
  SecretKey sharedSecretKey = keyAgreementA.generateSecret("GenericSecret");
  
  // 使用HSM支持的SecretKeyFactory执行SHA-256 KDF
  PBEParameterSpec kdfSpec = new PBEParameterSpec(
      new byte[0], // 盐，CKM_ECDH1_DERIVE无需求可设为空
      1, // 迭代次数，CKM_ECDH1_DERIVE通常为1
      new PBEKeySpec(new char[0], someSharedInfo, 1, 256)
  );
  SecretKeyFactory skf = SecretKeyFactory.getInstance("PBKDF2WithHmacSHA256", "YourHSMProvider");
  SecretKey derivedKey = skf.generateSecret(new SecretKeySpec(sharedSecretKey.getEncoded(), "RAW"), kdfSpec);
  

• 关键注意事项

  • 所有实现高度依赖HSM厂商的JCE Provider支持，不同厂商的算法名称、参数类会有差异，必须参考对应厂商的开发文档。
  • 确保涉及的密钥（私钥、临时共享密钥）都是HSM托管的对象，即getEncoded()返回null或内部引用，避免密钥材料被导出到HSM外部。
  • 若厂商JCE Provider不支持上述扩展，可直接使用SunPKCS11 Provider调用PKCS#11原生接口，指定CKM_ECDH1_DERIVE机制实现，但这种方式会脱离纯JCE的抽象层。

内容的提问来源于stack exchange，提问作者Christoph