postato su di Mel Hawthorne
RC4 è un cifrario a flusso crittografico non sicuro noto per avere più falle di sicurezza critiche che lo rendono essenzialmente inutile. RC4 è stato utilizzato principalmente nel protocollo di sicurezza Wi-Fi WEP (protocollo equivalente cablato) e come cifrario in TLS ((Transport Layer Security) utilizzato nella sicurezza web per HTTPS) prima che venissero scoperte vulnerabilità significative nel 2001 e nel 2013 rispettivamente. Il cifrario RC4 è stato progettato per la prima volta nel 1987 da Ron Rivest di RSA Security. L'algoritmo rimane proprietario, sebbene sia stato decodificato e trapelato nel 1994, per evitare rivendicazioni sul copyright l'algoritmo è talvolta chiamato anche ARC4 (Presunto Rivest Cipher 4).
Technipages spiega RC4
L'implementazione di RC4 in WEP era così imperfetta che è possibile violare la chiave di crittografia a 128 bit in meno di un minuto. Al momento in cui l'attacco è stato dimostrato per la prima volta, non esistevano protocolli alternativi per la sicurezza WiFi e lo standard WPA che alla fine ha sostituito WEP ha dovuto essere affrettato a fornire un'alternativa.
Il cifrario RC4 utilizzato in TLS è stato uno dei pochi cifrari contemporanei non interessati dal problema BEAST scoperto nel 2011 in quanto non utilizzava un cifrario CBC (cipher block chaining). Poiché SSLv3 e TLS1.0 supportavano solo i cifrari CBC e RC4, RC4 è stato consigliato per un po' di tempo come soluzione alternativa fino a quando non è stato identificato un attacco contro le suite di cifratura RC4 nel 2013. L'implementazione TLS di RC4 richiede una quantità significativamente maggiore di potenza di elaborazione rispetto al attacco contro WEP, ma è stato considerato fattibile per le agenzie di sicurezza del governo essere in grado di eseguire.
Un gran numero di altri attacchi ha mostrato debolezze statistiche in RC4 sia prima che dopo le due principali vulnerabilità. In generale, l'uso di RC4 dovrebbe essere evitato poiché ora sono disponibili alternative più sicure.
Usi comuni di RC4
- RC4 è un cifrario a flusso crittografico inventato da Ron Rivest.
- I principali fattori del successo di RC4 in un'ampia gamma di applicazioni sono stati la sua velocità e semplicità.
- RFC 7465 vieta l'uso di suite di crittografia RC4 in tutte le versioni di TLS.
Errori comuni di RC4
- RC4 è un algoritmo di hashing che dovrebbe essere utilizzato per archiviare in modo sicuro le password nei database.