Cifrado RC4 habilitado
Advertencia relacionada
"Este servidor usa el algoritmo de cifrado RC4 que no es seguro. Desactive el conjunto de cifrado RC4 y actualice el servidor o la aplicación web para que sea compatible con el algoritmo de cifrado Estándar de cifrado avanzado (AES)".
Problema
RC4 es un cifrado de secuencia diseñado por Ron Rivest en 1987. El ataque BEAST se descubrió en 2011. La solución para mitigar el ataque es activar TLS 1.1 o TLS 1.2 en los servidores y navegadores.
Sin embargo, si no pudo habilitar TLS 1.1 y TLS 1.2, se proporciona una solución: configure SSL para dar prioridad a los cifrados RC4 sobre los cifrados basados en bloques. Esta solución alternativa no elimina la exposición al ataque BEAST, pero sí "limita" la exposición a dicho ataque.
Dado que RC4 es fácil de implementar y debido a la solución alternativa para el ataque BEAST, el uso del cifrado de secuencia RC4 está generalizado.
Un grupo de investigadores (Nadhem AlFardan, Dan Bernstein, Kenny Paterson, Bertram Poettering y Jacob Schuldt) descubrió un nuevo ataque contra TLS en el que un atacante utiliza un navegador para realizar numerosas conexiones mientras observa y graba el tráfico de estas.
Solución
Active TLS 1.2 o TLS 1.3 en los servidores que sean compatibles con estos protocolos y cambie a los conjuntos de cifrado AEAD (AES-GCM).
Active TLS 1.2 o TLS 1.1 en los navegadores que son compatibles con estos protocolos.
Solución alternativa
Desactive todos los conjuntos de cifrado basados en RC4 en la configuración SSL de su servidor. Solo use esta solución alternativa si no puede activar TLS 1.2 o TLS 1.3 en los servidores y navegadores.