מה זה RC4? הגדרה ומשמעות

RC4 הוא צופן זרם קריפטוגרפי לא מאובטח שידוע כבעל מספר פגמי אבטחה קריטיים שהופכים אותו לחסר תועלת בעצם. RC4 שימש בעיקר בפרוטוקול האבטחה של Wi-Fi WEP (פרוטוקול שווה ערך קווי) וכצופן ב-TLS ((Transport Layer Security) בשימוש באבטחת אינטרנט עבור HTTPS) לפני שהתגלו פרצות משמעותיות ב-2001 וב-2013 בהתאמה. צופן RC4 תוכנן לראשונה בשנת 1987 על ידי רון ריבסט מ-RSA Security. האלגוריתם נשאר קנייני, למרות שהוא עבר הנדסה לאחור והודלף ב-1994, כדי להימנע מתביעות זכויות יוצרים האלגוריתם נקרא לפעמים גם ARC4 (לכאורה Rivest Cipher 4).

Technipages מסביר את RC4

היישום של RC4 ב-WEP היה כל כך פגום שאפשר לשבור את מפתח ההצפנה של 128 סיביות תוך פחות מדקה. בזמן שהמתקפה הודגמה לראשונה, לא היו פרוטוקולים חלופיים לאבטחת WiFi והיה צריך למהר את תקן ה-WPA שהחליף את WEP לספק חלופה.

צופן RC4 כפי שהיה בשימוש ב-TLS היה אחד מהצפנים העכשוויים הבודדים שלא הושפעו מבעיית BEAST שהתגלתה ב-2011 מכיוון שהוא לא השתמש בצופן CBC (שרשור בלוק צופן). מכיוון ש-SSLv3 ו-TLS1.0 תמכו רק בצפני CBC ו-RC4, RC4 הומלץ לזמן מה כפתרון עוקף עד שזוהתה מתקפה נגד חבילות הצופן RC4 ב-2013. הטמעת TLS של RC4 דורשת כמות גדולה משמעותית של כוח עיבוד מאשר תקיפה נגד WEP, אך זה נחשב אפשרי עבור סוכנויות ביטחון ממשלתיות לְבַצֵעַ.

מספר רב של התקפות אחרות הראו חולשות סטטיסטיות ב-RC4 הן לפני ומאז שתי נקודות התורפה העיקריות. באופן כללי, יש להימנע משימוש ב-RC4 מכיוון שחלופות בטוחות יותר זמינות כעת.

שימושים נפוצים של RC4

• RC4 הוא צופן זרם קריפטוגרפי שהומצא על ידי רון ריבסט.
• הגורמים העיקריים להצלחתו של RC4 במגוון רחב של יישומים היו המהירות והפשטות שלו.
• RFC 7465 אוסר על שימוש בחבילות צופן RC4 בכל הגרסאות של TLS.

שימוש לרעה נפוצ ב-RC4

• RC4 הוא אלגוריתם גיבוב שאמור לשמש לאחסון מאובטח של סיסמאות במסדי נתונים.