IETF 111 于 2021 年 7 月线上召开，Geoff Huston 记录了 DNSOP 工作组在 DNSSEC NSEC3 参数配置与防区域枚举等议题上的最新共识：建议将 NSEC3 迭代次数设为 0、弃用盐值，并指出 NSEC3 并非防枚举的有效手段。
NSEC3 机制与参数现状：
NSEC3 通过 SHA-1 哈希域名实现三重目标：提供不存在性的认证证明、阻止区域枚举、支持未签名委派的选择性退出。NSEC3PARAM 记录在区域顶点指定哈希算法、标志位、迭代次数与盐值。RFC 5155 第 10.3 节仅给出迭代次数上限，未提供推荐值；原文未给出具体部署统计数据。
迭代与盐值的实测取舍：
进一步哈希迭代仅增加计算负载，不带来额外防护增益，因此建议迭代计数设为 0。盐值旨在增加字典攻击难度，但因哈希覆盖完整域名，字典攻击本身跨区域失效，盐值无实质防护作用，建议弃用。若需选择性退出功能，NSEC3 仍有适用场景。
防区域枚举的替代方向：
NSEC3 的哈希易被破解，难以有效隐藏区域内容。强需求防枚举场景下，可采用 RFC 4470 与 RFC 4471 定义的“白色谎言”方案，通过合成 NSEC 记录按需响应查询。Sticky Glue 讨论内容因原文截断，原文未给出具体数据。
对运维工程师而言，调整 NSEC3PARAM 为零迭代、无盐值可降低权威服务器 CPU 开销，同时简化密钥滚动流程；若业务要求严格防枚举，需评估“白色谎言”方案的部署复杂度与兼容性。
原文: APNIC Blog（2021-08-04）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog