HKDF
Função de derivação de chaves baseada em HMAC (RFC 5869): recebe material de chave bruto e gera quantas chaves independentes e determinísticas você precisar.
São duas fases: extract (concentra a entropia do material de entrada numa chave pseudoaleatória de tamanho fixo usando HMAC) e expand (repete o HMAC sobre essa chave, um contador e uma etiqueta de contexto para produzir a saída). Rápida, simples, segura e sem enfeite.
Não serve para senhas: nesse caso o certo é PBKDF2 ou Argon2, que são lentos de propósito. O HKDF é para chaves que já têm alta entropia: chaves de tráfego do TLS 1.3, Double Ratchet do Signal, protocolo Noise, age.