Embora a resposta do @Marcelo Uchimura responda a questão, acho que não responde o para que serve o código, inclusive menciona que isto seria para mensagens, onde não é ponto.
O HKDF é um KDF usando HMAC, há uma definição dele aqui. Bem, um KDF tem como entrada um dado "não tão aleatória" e uma outro dado, este que é uniformemente aleatório. Um bom exemplo de uso é quando uma chave é acordada via ECDH, já que a chave é "resposta matemática", portanto não é indistinguível de um dado completamente aleatório, dessa forma o uso de KDF é necessário. Da mesma forma, você pode querer ter várias chaves usando apenas uma única, assim o HKDF também pode ser usado, *mesmo que a chave necessite de mais bytes do que o valor original.*
O HKDF é dividido em duas parte, uma o extrator e outra o expansor. Este é o extrator:
prk = hmac_sha256(salt, ikm)
A ideia aqui é incluir o salt
e o ikm
. Presume que o salt
é distinguível de um dado uniformemente aleatório, já o ikm
talvez seja, mas não precisa ser.
Seu resultado, o prk
, é um dado uniformemente aleatório, assumindo que o hmac_sha256
seja um PRF seguro, ou que ao menos a compressão do SHA256 seja um PRF.
Depois disso temos o expansor, que consume o prk
, ele está em:
for i in range(ceil(length / hash_len)):
t = hmac_sha256(prk, t + info + bytes([1+i]))
Observe que o prk
é usado como chave nesta etapa. Isso é, a chave gerada pelo extrator é usada no expansor. O expansor irá criar n bytes necessários, por isso existe o range
para repetir o processo até que atinja a quantidade de bytes exigida.
Formalmente este processo é descrito como:
K(1) = HMAC(PRK, CTXinfo || 0),
K(i + 1) = HMAC(PRK, K(i) || CTXinfo || i), 1 ≤ i < t,
O CTXinfo
é uma informação adicional, pode ser omitido. Então basicamente a entrada do HMAC é: o resultado anterior (se i > 1) concatenado com a informação adicionado e concatenado com o i, sendo i
um único byte, sequencial.
No caso desta implementação, como está definido o t = b""
, não haverá diferença entre a primeira ou última execução.
Por fim o okm[:length]
irá apenas cortar a saída, já que a hash tem tamanho fixo (no caso do SHA-256), então se quiser valores não múltiplos de 256, por exemplo, não conseguirá sem truncar.