Wysłany dnia za pomocą Mel Hawthorne
RC4 to niezabezpieczony kryptograficzny szyfr strumieniowy, o którym wiadomo, że ma wiele krytycznych luk w zabezpieczeniach, które czynią go zasadniczo bezużytecznym. RC4 był używany głównie w protokole bezpieczeństwa Wi-Fi WEP (protokół przewodowy) i jako szyfr w TLS ((Transport Layer Security) używany w bezpieczeństwie sieciowym dla HTTPS), zanim w 2001 i 2013 roku odkryto znaczące luki odpowiednio. Szyfr RC4 został po raz pierwszy zaprojektowany w 1987 roku przez Rona Rivesta z RSA Security. Algorytm pozostaje zastrzeżony, chociaż został poddany inżynierii wstecznej i wyciekł w 1994 roku, aby uniknąć roszczeń dotyczących praw autorskich, algorytm jest czasami nazywany również ARC4 (Aleged Rivest Cipher 4).
Technipages wyjaśnia RC4
Implementacja RC4 w WEP była tak błędna, że możliwe jest złamanie 128-bitowego klucza szyfrowania w mniej niż minutę. W momencie, gdy atak został po raz pierwszy zademonstrowany, nie było alternatywnych protokołów bezpieczeństwa Wi-Fi, a standard WPA, który ostatecznie zastąpił WEP, musiał zostać przyspieszony, aby zapewnić alternatywę.
Szyfr RC4 używany w TLS był jednym z niewielu współczesnych szyfrów, których nie dotyczył problem BEAST wykryty w 2011 r., ponieważ nie używał szyfrowania CBC (cipher block chaining). Ponieważ SSLv3 i TLS1.0 obsługiwały tylko szyfry CBC i RC4, RC4 był przez pewien czas zalecany jako obejście do czasu zidentyfikowania ataku na zestawy szyfrów RC4 w 2013 roku. Implementacja TLS RC4 wymaga znacznie większej mocy obliczeniowej niż atak na WEP, ale uznano za wykonalne, aby rządowe agencje bezpieczeństwa były w stanie: występować.
Wiele innych ataków wykazało statystyczne słabości w RC4 zarówno przed, jak i po dwóch głównych lukach. Ogólnie rzecz biorąc, należy unikać stosowania RC4, ponieważ obecnie dostępne są bezpieczniejsze alternatywy.
Typowe zastosowania RC4
- RC4 to kryptograficzny szyfr strumieniowy wymyślony przez Rona Rivesta.
- Głównymi czynnikami sukcesu RC4 w szerokim zakresie zastosowań były jego szybkość i prostota.
- RFC 7465 zabrania używania zestawów szyfrowania RC4 we wszystkich wersjach TLS.
Typowe nadużycia RC4
- RC4 to algorytm mieszający, który powinien być używany do bezpiecznego przechowywania haseł w bazach danych.