4. 安全考虑事项 (Security Considerations)

盲目信任 ORIGIN frame 内容的客户端将容易受到大量攻击. 缓解措施见 Section 2.4.

在确定某个 origin 的 authority 时放宽查询 DNS 的要求, 意味着拥有有效证书的攻击者不再需要位于路径上才能把流量重定向到自己. 他们不必修改 DNS, 只需说服用户访问另一个网站, 即可将发往目标的连接合并到其现有连接上.

因此, 选择不查询 DNS 的客户端应采用某些替代手段, 以高度确信证书是合法的. 例如, 只有在客户端收到 Certificate Transparency log [RFC6962] 中的 inclusion proof, 或者拥有最近的 Online Certificate Status Protocol (OCSP) response [RFC6960] (可能使用 "status_request" TLS extension [RFC6066]) 且该响应显示证书未被吊销时, 才可以跳过 DNS 查询.