有効化されているRC4暗号
関連する警告
「このサーバーはセキュアではないRC4暗号アルゴリズムを使用しています。RC4暗号スイートを無効化し、Advanced Encryption Standard（AES）暗号アルゴリズムをサポートするようにウェブサーバーまたはアプライアンスを更新してください。」
問題
RC4は1987年にロナルド・リベストによって設計されたストリーム暗号です。BEAST攻撃は、2011年に発見されました。この攻撃を緩和するためのソリューションは、サーバーとブラウザでTLS 1.1とTLS 1.2を有効にすることです。
ただし、TLS 1.1とTLS 1.2を有効にできなかった場合のために、ブロックベースの暗号よりもRC4暗号を優先するようにSSLを設定するという回避策が提供されています。この回避策では、BEAST攻撃への露出は排除されませんが、BEAST攻撃への露出が「制限」されます。
RC4は実装が容易であり、BEAST攻撃の回避策もあるため、RC4ストリーム暗号は幅広く使用されています。
研究者グループ（Nadhem AlFardan、Dan Bernstein、Kenny Paterson、Bertram Poettering、Jacob Schuldt各氏）は、TLSに対する新しい攻撃を発見しました。この攻撃では、攻撃者がブラウザを使用して多数の接続を行いながら、これらの接続のトラフィックを監視し、記録します。
ソリューション
TLS 1.2またはTLS 1.3をサポートするサーバーでこれらのプロトコルを有効にし、AEAD暗号スイート（AES-GCM）に切り替えます。
TLS 1.2またはTLS 1.3をサポートするブラウザでこれらのプロトコルを有効にします。
回避策
サーバーのSSL設定で、RC4ベースの暗号スイートをすべて無効化します。この回避策を使用するのは、サーバーおよびブラウザでTLS 1.2またはTLS 1.3を有効化できない場合のみにしてください。