rc4算法安全漏洞_RC4攻击：RC4加密算法能否保护SSL/TLS？

您能介绍一下最近在RC4加密算法中发现的问题吗？对此，HTTPS网络连接面临怎样的安全隐患？企业应该如何确保他们不会受到这个漏洞带来的攻击？

Michael Cobb：RC4(Rivest密码4)由RSA Security的Ron Rivest在1987年设计，因为其速度和简单性，这种加密算法已经成为使用最为广泛的流密码。它被用于常用协议中，包括有线等效保密(WEP)，用于无线网络的安全算法，以及HTTPS的安全套接字层(SSL)和传输层安全(TLS)协议；事实上，在所有TLS流量中，约有50%的流量目前在使用RC4算法来保护。然而，多年来，在该算法中发现的漏洞表明，RC4的生命即将结束。

伊利诺伊大学的教授Dan Bernstein最近披露了RC4中的一个漏洞，该漏洞允许攻击者从使用RC4加密的TLS连接中恢复有限数量的纯文本内容。这种RC4攻击适用于支持该加密算法的所有版本的SSL和TLS。这种针对RC4的攻击是可能的，因为该加密生成的密钥流中存在统计性缺陷，从而导致泄露部分加密信息，为攻击者提供了足够的样本来进行分析。

这个漏洞并不会给SSL/TLS用户带来直接的威胁，因为这是一个多会话攻击，目前还不太可能实施。攻击者必须能够捕获客户端和服务器之间的网络流量，以及在邮件中相同位置反复被发送的相同的加密内容。即使攻击者捕获了这些信息，攻击者仍然只能够恢复一小部分信息。然而，HTTP消息具有程式化表头，在对话中都是相同的，所以cookie的内容可能会被捕获，特别是当出现更有效的利用这个漏洞的方法时。如果攻击者能够访问存储在cookie中的数据，这将给企业带来巨大的危险。因为，cookie通常被用来存储用户账户信息或者用于身份验证的会话令牌，这样用户就不需要反复登录。如果攻击者可以拦截这些cookie，他们就可以冒充用户或者访问受感染网站或服务内的敏感数据。

SSL/TLS协议支持添加和选择不同的算法，但主要的web浏览器并不支持最新和更安全的算法。TLS 1.2支持AEAD(带关联数据的加密认证)加密，但这种版本的TLS还没有得到广泛部署。除了iOS上运行的Safari外，主要的浏览器要么根本不支持它，要么默认情况下将它关闭了。为此，你可以改变TLS使用RC4的方式，但你需要改变每个客户端和服务器的TLS部署，并能够抵挡未来改进的RC4攻击方法。

现在，管理员可以部署TLS 1.0或TLS 1.1，这两个版本都使用CBC模式的加密技术—已经针对BEAST和Lucky Thirteen攻击进行了修复。具有讽刺意味的是，这些攻击导致很多管理员切换到使用RC4，而不是CBC模式。由于TLS是用来保护互联网流量的加密协议，其部署需要更加稳固，且不容易受到攻击，即使是那些攻击目前还不切实际。希望这个最新的发现将推动行业推出更安全的版本。

我们一直都在努力坚持原创.......请不要一声不吭，就悄悄拿走。

我原创，你原创，我们的内容世界才会更加精彩！

【所有原创内容版权均属TechTarget，欢迎大家转发分享。但未经授权，严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】

微信公众号

TechTarget

官方微博

TechTarget中国

rc4算法安全漏洞_RC4攻击：RC4加密算法能否保护SSL/TLS？相关推荐

rc4算法安全漏洞_(转)SSL/TLS 漏洞“受戒礼”,RC4算法关闭
原文:https://blog.csdn.net/Nedved_L/article/details/81110603 SSL/TLS 漏洞"受戒礼" 一.漏洞分析事件起因 201 ...
TLS/SSL协议 RC4算法安全漏洞CVE-2013-2566
** 漏洞描述 TLS协议和SSL协议中使用的的RC4算法中存在漏洞,该漏洞源于使用大量的单字节偏差.通过在使用相同明文的大量会话中密文的统计分析,远程攻击者利用该漏洞进行明文恢复攻击 ** 修复方案 ...
RC4算法原理、Java实现RC4加密算法、DES AES RC4算法比较
DES AES RC4算法比较根据密钥类型的不同,加密算法分为对称和非对称两种.对称加密系统是指加密和解密均采用同一把密钥. 对称加密算法是最常用的加密算法,优势在于算法公开,计算量小,加密效率高. ...
Windows漏洞修复服务器,三种Windows服务器SSL/TLS的安全漏洞以及其补救方法
不久之前在Windows服务器上简单地使用SSL,或者其后继者TLS还都被认为是很安全的通信方式.但是现在时代变了,SSL和TLS已经名声败坏.在过去的几年里有许多值得你注意的严重安全漏洞被逐个曝光, ...
rc4算法安全漏洞_TLS/SSL协议 RC4算法安全漏洞
来源:www.hitachi.co.jp 链接:https://www.hitachi.co.jp/Prod/comp/soft1/global/security/info/vuls/HS13-009 ...
吉林大学计算机初剑锋,RC4算法的密码分析与改进.pdf
第50卷第3期吉林大学学报 (理学版 ) Vo1．50 No．3 2012年 5月 JournalofJilinUniversity(ScienceEdition) May 2012 ...
RC4算法对文件进行加密解密
RC4算法对文件进行加密解密在密码学中,RC4(来自Rivest Cipher 4的缩写)是一种流加密算法,密钥长度可变.它加解密使用相同的密钥,因此也属于对称加密算法.RC4是有线等效加密(WEP ...
常见的几种SSL/TLS漏洞及攻击方式
原文阅读:https://www.infinisign.com/fa... 迄今为止,SSL/TLS已经阻止了基于SSL的无数次的网络攻击,本文介绍了SSL/TLS常见的几种漏洞以及过往的攻击方式,针 ...
SSL/TLS攻击介绍--重协商漏洞攻击
一.概述最近几年曝出的高风险SSL/TLS安全漏洞大多跟SSL实现库相关,比如2011年曝出的SSL/TLS默认重协商漏洞,可导致DOS攻击, 比如2014年4月曝出的"心脏滴血" ...

rc4算法安全漏洞_RC4攻击：RC4加密算法能否保护SSL/TLS？

rc4算法安全漏洞_RC4攻击：RC4加密算法能否保护SSL/TLS？相关推荐

最新文章

热门文章