5. Considérations de sécurité
5.1. Invalidation des sessions
La spécification TLS exige que les sessions TLS soient invalidées lorsque des erreurs se produisent.
5.2. Tickets volés
Un espion ou un man-in-the-middle peut obtenir le ticket et tenter de l'utiliser pour établir une session avec le serveur.
5.3. Tickets forgés
Un attaquant peut tenter de forger un ticket ou de modifier un ticket existant.
5.4. Attaques par déni de service
Un adversaire pourrait générer et envoyer un grand nombre de messages ClientHello avec des tickets invalides au serveur.
5.5. Gestion des clés de protection des tickets
La sécurité de ce mécanisme dépend du secret et de la force des clés de protection du ticket.
5.6. Durée de vie du ticket
La durée de vie du ticket est un compromis entre performance et sécurité.
5.7. Formats de tickets alternatifs et schémas de distribution
Si une application utilise ce mécanisme mais spécifie son propre format de ticket et son schéma de distribution, les considérations de sécurité seront spécifiques à cette application.
5.8. Confidentialité de l'identité, anonymat et non-liaison
Ce mécanisme peut avoir des implications pour la confidentialité des utilisateurs.