有什么建议吗？盐NSEC3 记录的长度是多少？盐值越长是否意味着安全性越高？盐值越长是否会影响（权威）服务器的性能？
DNSSEC 操作实践不要提及盐的长度。
在看着具有 DNSSEC 列表的 TLD，我发现 .COM 使用零长度盐（无盐），而一些 TLD 使用长达 16 字节的盐。有什么原因吗？
答案1
盐值旨在阻止预先计算的字典攻击。然而，正如这安全审查，盐实际上并没有提供任何额外的安全性，因为盐是通过记录公开可用的NSEC3PARAMS。由于在 NSEC3 哈希中使用了完全限定的名称，因此实际上甚至不存在全局有用的彩虹表类型攻击的风险，因此您可以自由选择哈希。
如果攻击者制造出不太可能发生的 NSEC3 哈希碰撞，则必须更改盐以消除碰撞。
编辑：无论如何，RFC 5155 确实提出了建议：
盐值应至少为 64 位长且不可预测，以便
攻击者无法预测盐值并
在区域发布之前计算下一组字典。