SYN-cookie
Verdediging tegen SYN-floods: in plaats van voor elke SYN een buffer te reserveren, wordt alle benodigde handshake-informatie in een slim volgnummer (de cookie) gestopt dat met de SYN+ACK terugkomt. De kernel houdt tot het antwoord van de client geen toestand bij.
Bedacht door Daniel J. Bernstein in 1996. Linux: net.ipv4.tcp_syncookies = 1, automatisch actief bij een hoge SYN-frequentie. Cookie = SHA1(bron-ip, doel-ip, bronpoort, doelpoort, MSS-index, tijdstempel). Zodra de client met een ACK antwoordt, wordt de cookie gecontroleerd en pas dan wordt toestand aangemaakt. Nadeel: TCP-opties (timestamp, SACK, window scaling) gaan verloren, een terugvalmodus. Geen waterdichte DDoS-bescherming: het verifiëren van cookies kost nog steeds cpu-tijd. Aanvulling: DDoS-bescherming aan de rand van het netwerk (Cloudflare, AWS Shield).