Cookie SYN
Parade contre les inondations SYN (DDoS) : au lieu d'allouer un tampon pour chaque SYN, on encode toutes les données nécessaires à la poignée de main dans un numéro de séquence magique (le cookie) renvoyé dans le SYN+ACK. Le noyau ne garde aucun état tant que le client n'a pas répondu.
Daniel J. Bernstein, 1996. Sous Linux : net.ipv4.tcp_syncookies = 1, activé automatiquement lorsque le débit de SYN devient élevé. Cookie = SHA1(ip source, ip destination, port source, port destination, indice de MSS, horodatage). Quand le client répond par un ACK, le cookie est vérifié, et seulement alors l'état est alloué. Contrepartie : les options TCP (timestamp, SACK, window scaling) sont perdues — c'est un mode dégradé. Pas une défense à 100 % contre le DDoS : vérifier les cookies coûte encore du CPU. Complément : la protection DDoS en périphérie (Cloudflare, AWS Shield).