freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据库安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课
FreeBuf+小程序

FreeBuf+小程序

官方公众号企业安全新浪微博

国内领先的互联网安全新媒体,同时也是爱好者们交流与分享安全技术的社区

Chrome、Edge、IE和Firefox 明年初将不再支持RC4加密技术
2015-09-02 17:44:36

9月1日,谷歌、微软以及Mozilla公司同时宣布明年将不再支持日薄西山的RC4加密算法。

浏览器巨头同时宣布告别RC4

目前针对RC4的攻击呈现增长趋势,使得算法越来越不可靠。浏览器的设计者们计划将在明年1月底、最迟在2月初的时候停止支持RC4加密。

来自Mozilla公司的Richard Barnes认为,最终的禁用日期会配合FireFox 44版的发布日期,已定于1月26日。谷歌公司的Adam Langley也表示会在明年1月或者2月份发布,“HTTPS服务器只支持RC4”将成为历史。

Barnes在Mozilla开发者论坛上发文称,

“禁用RC4意味着Firefox将不再需要RC4便可连接服务器。从我们的数据来看,尽管仍有一小部分的服务器,但Firefox用户遇到的概率非常低。”

Langley在一封邮件中写道:

“当Chrome需要打开一个HTTPS链接时,它有一个隐含的条件便是确保链接是安全的。但就这点而言,应用了RC4的HTTPS链接则不能保证其安全性,因此我们将来发布的Chrome版本将不再支持RC4。”

目前,Firefox测试版以及正式版都没有限制RC4,但分别只有0.05%和0.08%的链接使用了RC4。而谷歌Chrome则为0.13%,概率要略高一点。

即便如此,受影响的服务器运营者只要对配置进行微调,启用一个更好的密码套件以确保操作继续进行。

微软也已经宣布了RC4将在Edge和IE 11中迎来生命的终结,这里的RC4将默认为不可用。

微软公司高级项目经理David Walp说:

“Edge和IE 11只在TLS 1.2或者TLS 1.1退回到TLS 1.0时启用RC4。通常一个无害的错误会导致退回TLS 1.0,但这样一来发生中间人攻击便无法被察觉。为此,所有Edge和Win 7、Win 8.1以及Win 10的IE浏览器用户自2016年初将默认完全禁用RC4加密。”

别了,RC4加密

RC4由RSA Security的Ron Rivest在1987年设计,因为其速度和简单性,这种加密算法已经成为使用最为广泛的流密码。长时间以来,研究者一直在孜孜不倦地研究RC4破解。攻击者一旦有足够的时间、处理能力并获得足够的TLS请求,便可以找到加密明文。 

FreeBuf曾经报道过,2013年科学家设计了一次攻击实验:他们在2000小时内猜出一个基础身份认证cookie中包含的字符。后来技术改进后,研究人员只需约75小时猜解就能得到94%的准确率。

攻击者可以通过中间人攻击手段,监控目标与Https网站之间的会话连接,或者监控WPA-TKIP保护的网络。新型针对WPA-TKIP的攻击只需要1个小时,攻击者不仅可以解密cookie和Wifi数据包,还有可能破解其他高速传输的加密数据流。

有学者表示:这就意味着攻击者利用破解加密获得用户cookie,以受害者名义执行如发布状态更新及发送邮件的操作,同时还会产生盗取个人信息等危害。

*参考来源:treatpost,转载请注明来自FreeBuf黑客与极客(FreeBuf.COM)

本文作者:, 转载请注明来自FreeBuf.COM

# https # 浏览器 # rc4
被以下专栏收录,发现更多精彩内容
+ 收入我的专栏
评论 按时间排序

登录/注册后在FreeBuf发布内容哦

相关推荐
  • 0 文章数
  • 0 评论数
  • 0 关注者
登录 / 注册后在FreeBuf发布内容哦