Zero Knowledge Architecture用户数据加密问题（参考Bitwarden实现）

1. 使用Argon2替代PBKDF2进行密钥派生的方案是否合理可行？ #

完全合理可行。Argon2是密码哈希竞赛(PHC)的官方优胜方案，相比PBKDF2天生具备抗并行计算、抗ASIC暴力破解的优势，当前Bitwarden官方也已经将Argon2id作为默认的密钥派生算法。实际落地时只要选择Argon2id变体（同时平衡侧信道攻击和时间成本攻击的抗性），根据目标运行终端的算力合理配置内存占用、迭代次数、并行度参数即可，安全性远高于传统PBKDF2方案。

2. 使用HKDF将256位主密钥扩展为512位的核心作用是什么？为什么无法直接使用主密钥加密生成的对称密钥？ #

核心作用是实现密钥分离，符合密码学最佳实践。扩展生成的512位密钥会被拆分为两个独立的256位密钥使用：一半用于对称加密操作，另一半用于HMAC完整性校验。
如果直接使用同一个主密钥同时做加密和完整性校验，会大幅降低安全边界，一旦单一使用场景出现漏洞，整个主密钥会直接泄露；同时HKDF可以通过配置不同的salt、info参数派生多组不同用途的密钥，从根源上避免密钥复用带来的安全风险。

3. 能否直接使用主密钥加密用户数据，而不需要额外生成新的对称密钥完成用户数据加密操作？ #

不建议也不应该这么做，核心原因有三点：

• 主密钥和用户主密码强绑定，如果你后续需要修改主密码，所有已经加密的用户数据都要全部重新加密，落地成本极高，还会增加数据损坏风险
• 主密钥的使用频率越高，泄露风险越大，频繁用主密钥加解密大量用户数据会大幅提升侧信道攻击等窃取手段的成功率
• 不利于权限管控，多设备同步、临时授权访问等场景下，你无法做到细粒度权限控制，一旦分发主密钥就等于放开了全部数据的访问权限，使用独立的对称加密密钥(DEK)可以只授权对应数据的访问权限，不会暴露主密钥。

4. 为什么主密码哈希仅采用1次迭代生成，而不使用10万次迭代的方案提升安全性？ #

你看到的1次迭代哈希，是已经在客户端完成高迭代密钥派生之后，为了做服务端身份校验生成的凭证，不是直接对原始主密码做哈希。
Bitwarden的流程里，客户端首先会用高迭代的PBKDF2/Argon2对主密码做密钥派生得到可用的主密钥，之后为了避免把可直接解密数据的主密钥发给服务端，会对主密钥再做1次哈希，把这个哈希值发给服务端做身份校验。高迭代的慢哈希操作已经在前面的KDF阶段完成，这个1次哈希的作用只是把可解密的主密钥转换成只能用于身份校验的凭证，就算服务端存储的这个哈希泄露，攻击者也无法反推得到主密钥，更无法解密用户数据，所以不需要再做高迭代。

参考实现图 #

内容的提问来源于stack exchange，提问作者Daniel Chan