Chrome、Edge、IE和Firefox 明年初将不再支持RC4加密技术

2015-09-02 335185人围观 ,发现 9 个不明物体 WEB安全资讯

9月1日,谷歌、微软以及Mozilla公司同时宣布明年将不再支持日薄西山的RC4加密算法。

浏览器巨头同时宣布告别RC4

目前针对RC4的攻击呈现增长趋势,使得算法越来越不可靠。浏览器的设计者们计划将在明年1月底、最迟在2月初的时候停止支持RC4加密。

来自Mozilla公司的Richard Barnes认为,最终的禁用日期会配合FireFox 44版的发布日期,已定于1月26日。谷歌公司的Adam Langley也表示会在明年1月或者2月份发布,“HTTPS服务器只支持RC4”将成为历史。

Barnes在Mozilla开发者论坛上发文称,

“禁用RC4意味着Firefox将不再需要RC4便可连接服务器。从我们的数据来看,尽管仍有一小部分的服务器,但Firefox用户遇到的概率非常低。”

Langley在一封邮件中写道:

“当Chrome需要打开一个HTTPS链接时,它有一个隐含的条件便是确保链接是安全的。但就这点而言,应用了RC4的HTTPS链接则不能保证其安全性,因此我们将来发布的Chrome版本将不再支持RC4。”

目前,Firefox测试版以及正式版都没有限制RC4,但分别只有0.05%和0.08%的链接使用了RC4。而谷歌Chrome则为0.13%,概率要略高一点。

即便如此,受影响的服务器运营者只要对配置进行微调,启用一个更好的密码套件以确保操作继续进行。

微软也已经宣布了RC4将在Edge和IE 11中迎来生命的终结,这里的RC4将默认为不可用。

微软公司高级项目经理David Walp说:

“Edge和IE 11只在TLS 1.2或者TLS 1.1退回到TLS 1.0时启用RC4。通常一个无害的错误会导致退回TLS 1.0,但这样一来发生中间人攻击便无法被察觉。为此,所有Edge和Win 7、Win 8.1以及Win 10的IE浏览器用户自2016年初将默认完全禁用RC4加密。”

别了,RC4加密

RC4由RSA Security的Ron Rivest在1987年设计,因为其速度和简单性,这种加密算法已经成为使用最为广泛的流密码。长时间以来,研究者一直在孜孜不倦地研究RC4破解。攻击者一旦有足够的时间、处理能力并获得足够的TLS请求,便可以找到加密明文。 

FreeBuf曾经报道过,2013年科学家设计了一次攻击实验:他们在2000小时内猜出一个基础身份认证cookie中包含的字符。后来技术改进后,研究人员只需约75小时猜解就能得到94%的准确率。

攻击者可以通过中间人攻击手段,监控目标与Https网站之间的会话连接,或者监控WPA-TKIP保护的网络。新型针对WPA-TKIP的攻击只需要1个小时,攻击者不仅可以解密cookie和Wifi数据包,还有可能破解其他高速传输的加密数据流。

有学者表示:这就意味着攻击者利用破解加密获得用户cookie,以受害者名义执行如发布状态更新及发送邮件的操作,同时还会产生盗取个人信息等危害。

*参考来源:treatpost,转载请注明来自FreeBuf黑客与极客(FreeBuf.COM)

相关推荐
发表评论

已有 9 条评论

取消
Loading...

特别推荐

推荐关注

活动预告

填写个人信息

姓名
电话
邮箱
公司
行业
职位
css.php