4. Considerazioni sulla sicurezza (Security Considerations)

I client che si fidano ciecamente del contenuto del frame ORIGIN saranno vulnerabili a un gran numero di attacchi. Vedere la Sezione 2.4 per le mitigazioni.

Allentare il requisito di consultare il DNS quando si determina l'autorità per un'origine significa che un attaccante che possiede un certificato valido non ha più bisogno di essere sul percorso per reindirizzare il traffico verso di sé; invece di modificare il DNS, deve solo convincere l'utente a visitare un altro sito web per unire le connessioni al bersaglio sulla loro connessione esistente.

Di conseguenza, i client che scelgono di non consultare il DNS dovrebbero impiegare alcuni mezzi alternativi per stabilire un alto grado di fiducia che il certificato sia legittimo. Ad esempio, i client potrebbero saltare la consultazione del DNS solo se ricevono la prova dell'inclusione in un log di Certificate Transparency [RFC6962] o se hanno una risposta recente dell'Online Certificate Status Protocol (OCSP) [RFC6960] (possibilmente utilizzando l'estensione TLS "status_request" [RFC6066]) che mostra che il certificato non è stato revocato.

La dimensione del Set di Origini non è limitata da questa specifica e quindi potrebbe essere utilizzata dagli attaccanti per esaurire le risorse del client. Per mitigare questo rischio, i client possono monitorare il loro impegno di stato e chiudere la connessione se è troppo alto.