ECDH中是否应对共享密钥进行SHA-256哈希？FIDO2场景疑问

在FIDO2的Client PIN流程里，对ECDH协商出的共享密钥做SHA-256哈希而非直接使用，主要有以下几个核心原因：

• 统一密钥长度：ECDH共享密钥的长度依赖于所采用的椭圆曲线（比如P-256生成32字节密钥，其他曲线可能有不同长度）。SHA-256固定输出256位（32字节）的哈希值，能让后续的加密、密钥派生等流程无需适配不同曲线的密钥长度，实现逻辑更简洁统一。

• 消除结构特征带来的风险：ECDH计算得到的共享密钥本质是椭圆曲线上点的坐标（通常取x分量），带有曲线特有的结构偏差，可能给侧信道攻击或其他密码分析手段留下可利用的线索。SHA-256的哈希过程会完全打乱这些结构特征，输出的哈希值是均匀分布的随机字节串，能有效降低这类攻击风险。

• 遵循密码学最佳实践：直接使用原始ECDH共享密钥作为加密密钥并非安全推荐方案。哈希操作是一种轻量且标准化的密钥预处理方式，属于密钥派生函数（KDF）的基础环节，能确保最终用于后续操作的密钥具备密码学安全的随机性，规避原始共享密钥可能存在的弱熵或结构缺陷。

• 适配协议后续流程需求：FIDO2的Client PIN模块后续需要固定长度的密钥来执行加密、MAC验证等操作，SHA-256的输出刚好匹配这些需求。同时，SHA-256是所有主流密码学库都支持的标准算法，兼容性极强，不会引入额外的复杂依赖。

内容的提问来源于stack exchange，提问作者Mohammad Siavashi