Password salt나 IV 혹은 nonce를 숨기나요?

대학에서 암호알고리즘에 대해서 공부하고, 실제 써본 적은 없었는데 이번에 써볼려고 하니까 흥미로운 사안이 참 많네요.
Password로부터 고정길이 key를 유도한다던가 encoding이라던가 응용의 한계라던가....

블록대칭키암호알고리즘에서 ECB mode를 제외하고는 IV가 필요한데(CTR은 nonce라고 하는 듯) password에서 key를 생성할 때 동일한 작용을 하는게 salt인 것 같고요. 그런데 이것들을 통상 숨기나요?

제가 배웠을때 교수님께서는 IV는 암호화 강도에 영향을 주지 않는다라고 말슴하셨던 것으로 기억합니다. IV의 의의를 최근에 알게 되어서(교수님은 왜 IV가 있는지는 설명해주지 않았었죠.) 운용을 어떻게 해야 하는지 좀 헷갈리는데요. http://kldp.org/node/116117 을 보면 소타님이 말씀하시는 것은 암호화 알고리즘을 HMAC으로 쓰라는 말씀이신 것 같아요. 그런데 거기서 salt를 숨기거나 rule로 만들라는 말씀을 하시는데...

제 생각에는 학술적으로는 IV나 salt를 숨기는 것은 인정받을 수는 없을 것 같습니다.
그리고 IV는 message와 함께 생성하므로 message를 넘길 때 같이 넘겨야 할 것 같은데요. 이 과정에서 숨긴다는 것도 의미가 없는 것 같고요. Salt는 password에 의해 key를 생성할 때 만들므로 생명주기가 길므로 숨기는 것도 도움이 될 것 같기도 한데요.

하여간 이런 저런 생각은 해봤지만 잘 모르겠네요. 글도 이것 저것 찾아봤지만 정리가 잘 안 되고요. 교재에서는 이론적인 것만 이야기하고 응용에서 발생하는 문제는 통상 안 나와서... 정리해서 이것은 이렇고, 저것은 무엇때문이다라고 말씀해주실 있는 분 없을까요?
또 실제로 어떻게 쓰고 계신지 알려주셔도 좋고요.