Cifrado RC4 habilitado

"Este servidor usa el algoritmo de cifrado RC4 que no es seguro. Desactive el conjunto de cifrado RC4 y actualice el servidor o la aplicación web para que sea compatible con el algoritmo de cifrado Estándar de cifrado avanzado (AES).”

RC4 es un cifrado de secuencia diseñado por Ron Rivest en 1987. El ataque BEAST se descubrió en 2011. La solución para mitigar el ataque es activar TLS 1.1 o TLS 1.2 en los servidores y navegadores. Sin embargo, si no puede activar TLS 1.1 y TLS 1.2, se proporciona una solución alternativa: Configure SSL para que priorice los cifrados RC4 respecto de los cifrados basados en bloques. Esta solución alternativa no elimina la exposición al ataque BEAST, pero sí “limita” la exposición a dicho ataque.

Dado que RC4 es fácil de implementar y debido a la solución alternativa para el ataque BEAST, el uso del cifrado de secuencia RC4 está generalizado.

Un grupo de investigadores (Nadhem AlFardan, Dan Bernstein, Kenny Paterson, Bertram Poettering y Jacob Schuldt) descubrieron un nuevo ataque contra TLS, en el que un atacante usa un navegador para hacer varia conexiones mientras observa y graba el tráfico de dichas conexiones.

• Active TLS 1.2 o TLS 1.3 en los servidores que sean compatibles con estos protocolos y cambie a los conjuntos de cifrado AEAD (AES-GCM).
• Active TLS 1.2 o TLS 1.1 en los navegadores que son compatibles con estos protocolos.

Desactive todos los conjuntos de cifrado basados en RC4 en la configuración SSL de su servidor. Solo use esta solución alternativa si no puede activar TLS 1.2 o TLS 1.3 en los servidores y navegadores web.