如何使用 bouncy castle 在 Java 中进行三重 Diffie-Hellman(3 - DH) 密钥协商？

Question

有很多关于如何进行 Diffie-Hellman 密钥协商来计算共享密钥的示例。但是，我找不到任何关于如何使用 bouncy castle 在 java 中执行 3DH 的示例（或者老实说提供的任何安全性）。我发现、阅读的所有内容都是抽象理论，而不是实际的实现/示例。

更具体地说，如何将三个单独计算的 DH 协议结合起来？ Signal 的 x3dh 协议协议 是一个很好的参考来源：

伪代码

    DH1 = DH(IKA, SPKB)
    DH2 = DH(EKA, IKB)
    DH3 = DH(EKA, SPKB)
    SK = KDF(DH1 || DH2 || DH3)

或者：

KeyAgreement ka1 = KeyAgreement.getInstance("X448",BouncyCastleProvider.PROVIDER_NAME); ka1.init(iPrivKey); //initator Private Key
ka1.doPhase(rPubKey, true); //recipient Public Key
byte[] secret1 = ka1.generateSecret();
... 

byte[] secret2 = ka2.generateSecret(); 
...

byte[] secret3 = ka3.generateSecret(); 

为了准确地说明我正在寻找的内容，如何在已经计算出 DH1 的情况下执行 SK = KDF(DH1 || DH2 || DH3)充气城堡里的DH2和DH3？ IE 如何组合secret1、secret2 和secret3 作为HKDFParameters 的输入密钥材料或种子？

Answer 1

正如@Topaco 所提到的，它只是三个共享秘密的简单串联。 Java 代码如下：

     byte[] getAgreementBytes(PrivateKey privKey,PublicKey pubKey) throws NoSuchAlgorithmException, NoSuchProviderException, InvalidKeyException {
        KeyAgreement ka = KeyAgreement.getInstance("X448", BouncyCastleProvider.PROVIDER_NAME);
        ka.init(privKey);
        ka.doPhase(pubKey, true);
        byte[] secret = ka.generateSecret();
        privKey = null;//let gc do it's work
        return secret;
    }
...
...
...

        byte[] secretA = getAgreementBytes(iPrivKeyA,getRPubKeyB());
        byte[] secretB = getAgreementBytes(iPrivKeyB,getRPubKeyC());
        byte[] secretC = getAgreementBytes(iPrivKeyC,getRPubKeyA());

        byte[] secret = new byte[secretA.length + secretB.length + secretC.length];
        System.arraycopy(secretA,0,secret,0,secretA.length);
        System.arraycopy(secretB,0,secret,secretA.length,secretB.length);
        System.arraycopy(secretC,0,secret,secretA.length + secretB.length,secretC.length);

        return secret;

信号文档还提到使用 57 0xFF 字节（对于 X448），但我还没有理解。但是，上面的代码对我有用。