DNSSECNSEC3ソルト長
NSEC3レコードのsaltの長さに関する推奨事項はありますか？ソルトが長いほどセキュリティが向上し、ソルトが長くなると（信頼できる）サーバーのパフォーマンスに影響しますか？
DNSSEC運用慣行 ソルトの長さについては言及しないでください。
DNSSECリストのあるTLD を見ると、.COMは長さゼロのソルト（ソルトなし）を使用しているのに対し、一部のTLDは16バイトのソルトを使用していることがわかります。理由はありますか？
ソルトは、事前に計算された辞書攻撃を阻止することを目的としています。ただし、 this セキュリティレビューで述べたように、saltはNSEC3PARAMSレコードを通じて公開されているため、実際には追加のセキュリティを提供しません。 NSEC3ハッシュでは完全修飾名が使用されているため、グローバルに役立つレインボーテーブルタイプの攻撃のリスクすらありません。したがって、ハッシュを任意に選択できます。
攻撃者がNSEC3ハッシュの衝突を起こす可能性が低い場合は、衝突を排除するためにソルトを変更する必要があります。
編集：それが価値があるものについては、RFC5155は推奨をします：
ソルトは少なくとも64ビット長で予測不可能である必要があります。
攻撃者はソルトの値を予測して計算することはできません
ゾーンが公開される前の次の辞書のセット。