Quản lý các khóa chính được sử dụng trong PBKDF2 và HMAC (lưu trữ, xoay vòng)

trường hợp sử dụng của tôi:

Tôi có một vài khóa chính, tôi sử dụng từng khóa cho một thao tác cụ thể (ví dụ: một khóa để mã hóa dữ liệu của người dùng và một khóa khác để tạo chữ ký JWT, v.v.).

Tôi sử dụng các khóa chính này trong hai việc cụ thể:

1. trong PBKDF2 dưới dạng đầu vào + muối để lấy các khóa đối xứng và nonce (iv) và sau đó chỉ lưu trữ muối với bản mã trong cơ sở dữ liệu
2. trong HMAC dưới dạng khóa bí mật (tiêu)

Tôi cần xoay các phím chính này khi chúng cũ đi.

Các câu hỏi để làm rõ những gì tôi cần biết:

1. Khi nào các phím chính này cũ hoặc cần được xoay?
2. Làm cách nào để xoay các khóa này và cũng có thể lấy lại các khóa cũ từ các khóa mới để giải mã dữ liệu được mã hóa hoặc xác minh giá trị băm được tạo bởi các khóa cũ này? Tôi nghĩ rằng tôi nên thực hiện XOR bit trên khóa cũ bằng khóa mới tương ứng
3. Tôi hiện không có đặc quyền sử dụng HSM (Mô-đun bảo mật phần cứng) hoặc các vùng bảo mật, việc lưu trữ các khóa chính này trong các tệp bên cạnh API ứng dụng có đủ an toàn không? Tôi nên ghi nhớ những điều gì?
4. Tôi ổn với PBKDF2 hay tôi nên sử dụng HKDF? Nếu có, tôi nên làm gì khi sử dụng HKDF?
5. Đề xuất độ dài nào cho khóa chính trong trường hợp sử dụng như vậy?
6. Có bất kỳ luồng, vấn đề hoặc cải tiến nào trong toàn bộ không?