密码用途的域分离

域分离让同一底层秘密管理几套带名称的独立工作台。它不是“先派生几次便会不同”；相同确定函数收到完全相同输入就必须返回相同结果。如果两个用途只存在于程序变量名里、没有进入实际info，两次调用仍是同一次密码查询。

方向与角色也不等同“我”和“对方”。客户端的发送是服务端的接收；若双方都写 send，他们反而会得到不同约定或错误复用。应使用协议全局可辨认的方向名称。

把PRF换成理想随机函数 $R$。对于互不相交的域 $E(d,D_d)$，不同域上的每个新点都获得独立均匀回答；重复查询同一点仍返回旧值。因此向不同用途提供 $R(E(d,\cdot ))$，与分别创建独立随机函数在联合分布上相同。再由PRF替换论证得到对应的计算安全结论，查询预算是所有用途查询的总和。

这个证明要求输入域确实不相交。若用裸字符串拼接，标签 ab 配输入 c 与标签 a 配输入 bc 仍会相撞；标签数量再多也无济于事。若直接删掉方向字段，固定其他info与PRK之后，c2s与s2c的密钥将严格相等，不是只发生一次罕见碰撞。

反过来，即使域编码不同，有限长度随机输出仍可能偶然相同。对 $q$ 个互异输入的 $n$ bit理想输出，碰撞概率至多 $q(q-1)/2^{n+1}$；“不同标签保证密钥数学上绝不相等”是错误说法。

会话实验比较方向和用途改变后的真实派生字节，并删除方向构造完全相同的info。该反例直接否定的是“方向密钥独立/分离”接口；若记录AAD仍核对方向，不能因此声称已经成功反射记录。攻击需要看还有哪些独立校验门保留。

域分离使协议组合的资源账本更清楚：相同PRK下的应用密钥、Finished密钥、导出材料各有固定接口。它不能替代密钥保密、正确随机源或独立的证明；也不能把弱源变成高熵源。

标签更新应是协议定义的一部分。改变版本却沿用旧标签，可能使跨版本字节被认可；反之，仅把接收到的版本字段照抄进KDF，而不检查本机允许的版本，也没有建立协商策略。接收者必须验证自己期望的语义，再使用对应标签。