Chrome、Edge、IE和Firefox 明年初将不再支持RC4加密技术


发布人:admin分类:网络安全浏览量:25发布时间:2017-12-12

9月1日,谷歌、微软以及Mozilla公司同时宣布明年将不再支持日薄西山的RC4加密算法。

浏览器巨头同时宣布告别RC4

目前针对RC4的攻击呈现增长趋势,使得算法越来越不可靠。浏览器的设计者们计划将在明年1月底、最迟在2月初的时候停止支持RC4加密。

来自Mozilla公司的Richard Barnes认为,最终的禁用日期会配合FireFox 44版的发布日期,已定于1月26日。谷歌公司的Adam Langley也表示会在明年1月或者2月份发布,“HTTPS服务器只支持RC4”将成为历史。

Barnes在Mozilla开发者论坛上发文称,

“禁用RC4意味着Firefox将不再需要RC4便可连接服务器。从我们的数据来看,尽管仍有一小部分的服务器,但Firefox用户遇到的概率非常低。”

Langley在一封邮件中写道:

“当Chrome需要打开一个HTTPS链接时,它有一个隐含的条件便是确保链接是安全的。但就这点而言,应用了RC4的HTTPS链接则不能保证其安全性,因此我们将来发布的Chrome版本将不再支持RC4。”

目前,Firefox测试版以及正式版都没有限制RC4,但分别只有0.05%和0.08%的链接使用了RC4。而谷歌Chrome则为0.13%,概率要略高一点。

即便如此,受影响的服务器运营者只要对配置进行微调,启用一个更好的密码套件以确保操作继续进行。

微软也已经宣布了RC4将在Edge和IE 11中迎来生命的终结,这里的RC4将默认为不可用。

微软公司高级项目经理David Walp说:

“Edge和IE 11只在TLS 1.2或者TLS 1.1退回到TLS 1.0时启用RC4。通常一个无害的错误会导致退回TLS 1.0,但这样一来发生中间人攻击便无法被察觉。为此,所有Edge和Win 7、Win 8.1以及Win 10的IE浏览器用户自2016年初将默认完全禁用RC4加密。”

别了,RC4加密

RC4由RSA Security的Ron Rivest在1987年设计,因为其速度和简单性,这种加密算法已经成为使用最为广泛的流密码。长时间以来,研究者一直在孜孜不倦地研究RC4破解。攻击者一旦有足够的时间、处理能力并获得足够的TLS请求,便可以找到加密明文。 

FreeBuf曾经报道过,2013年科学家设计了一次攻击实验:他们在2000小时内猜出一个基础身份认证cookie中包含的字符。后来技术改进后,研究人员只需约75小时猜解就能得到94%的准确率。

攻击者可以通过中间人攻击手段,监控目标与Https网站之间的会话连接,或者监控WPA-TKIP保护的网络。新型针对WPA-TKIP的攻击只需要1个小时,攻击者不仅可以解密cookie和Wifi数据包,还有可能破解其他高速传输的加密数据流。

有学者表示:这就意味着攻击者利用破解加密获得用户cookie,以受害者名义执行如发布状态更新及发送邮件的操作,同时还会产生盗取个人信息等危害。

*参考来源:treatpost,转载请注明来自FreeBuf黑客与极客(FreeBuf.COM)


被黑站点统计 - 文章版权1、本主题所有言论和图片纯属会员个人意见,与本文章立场无关
2、本站所有主题由该文章作者发表,该文章作者与被黑站点统计享有文章相关版权
3、其他单位或个人使用、转载或引用本文时必须同时征得该文章作者和被黑站点统计的同意
4、文章作者须承担一切因本文发表而直接或间接导致的民事或刑事法律责任
5、本帖部分内容转载自其它媒体,但并不代表本站赞同其观点和对其真实性负责
6、如本帖侵犯到任何版权问题,请立即告知本站,本站将及时予与删除并致以最深的歉意
7、被黑站点统计管理员有权不事先通知发贴者而删除本文

免责声明

本站主要通过网络搜集国内被黑网站信息,统计分析数据,为部署安全型网络提供强有力的依据.本站所有工作人员均不参与黑站,挂马或赢利性行为,所有数据均为网民提供,提交者不一定是黑站人,所有提交采取不记名,先提交先审核的方式,如有任何疑问请及时与我们联系.

admin  的文章


微信公众号

微信公众号


Copyright © 2012-2022被黑网站统计系统All Rights Reserved
页面总访问量:21457774(PV) 页面执行时间:152.486(MS)
  • xml
  • 网站地图