SYN cookie
Difesa DDoS contro i SYN flood: invece di allocare un buffer per ogni SYN, tutti i dati necessari all'handshake vengono codificati in un numero di sequenza speciale (il cookie), restituito nel SYN+ACK. Il kernel non conserva alcuno stato finché il client non risponde.
Ideato da Daniel J. Bernstein nel 1996. Su Linux: net.ipv4.tcp_syncookies = 1, attivato automaticamente con un alto tasso di SYN. Il cookie = SHA1(srcip, dstip, srcport, dstport, indice MSS, timestamp). Quando il client risponde con l'ACK, il cookie viene verificato e solo allora si alloca lo stato. Compromesso: le opzioni TCP (timestamp, SACK, window scaling) vanno perse, in modalità di ripiego. Non è una difesa totale contro i DDoS: verificare i cookie ha comunque un costo di CPU. Complemento: protezione DDoS sul bordo (Cloudflare, AWS Shield).