4. Considérations de sécurité (Security Considerations)

Les clients qui font aveuglément confiance au contenu de la trame ORIGIN seront vulnérables à un grand nombre d'attaques. Voir la Section 2.4 pour les atténuations.

L'assouplissement de l'exigence de consulter le DNS lors de la détermination de l'autorité pour une origine signifie qu'un attaquant qui possède un certificat valide n'a plus besoin d'être sur le chemin pour rediriger le trafic vers lui ; au lieu de modifier le DNS, il lui suffit de convaincre l'utilisateur de visiter un autre site web afin de fusionner les connexions vers la cible sur sa connexion existante.

Par conséquent, les clients choisissant de ne pas consulter le DNS devraient employer d'autres moyens pour établir un degré élevé de confiance dans la légitimité du certificat. Par exemple, les clients pourraient ne pas consulter le DNS uniquement s'ils reçoivent une preuve d'inclusion dans un journal de transparence des certificats [RFC6962] ou s'ils ont une réponse récente du protocole OCSP (Online Certificate Status Protocol) [RFC6960] (utilisant éventuellement l'extension TLS "status_request" [RFC6066]) montrant que le certificat n'a pas été révoqué.

La taille de l'ensemble d'origines n'est pas limitée par cette spécification et pourrait donc être utilisée par des attaquants pour épuiser les ressources du client. Pour atténuer ce risque, les clients peuvent surveiller leur engagement d'état et fermer la connexion s'il est trop élevé.