RC4 暗号有効

関連警告

"このサーバーは、RC4 暗号アルゴリズムを使用しており、安全ではありません。RC4 暗号スイートを無効にし、ウェブサーバーまたは機器を AES(Advanced Encryption Standard) 暗号アルゴリズムをサポートするように更新してください。”

問題

RC4 は1987年、ロン・リベスト(Ron Rivest)が設計したストリーム暗号です。BEAST 攻撃は、2011年に発見されています。攻撃を緩和する方法は、サーバー上とブラウザ内で TLS 1.1 と TLS 1.2 を有効にすることです。ただし、TLS 1.1 と TLS 1.2 を有効にできない場合は、以下の対処方法があります。SSL を構成して、ブロックベース暗号上で RC4 暗号を優先にする。この対処方法では BEAST 攻撃の影響を解消することにはなりません が、BEAST 攻撃の影響を制限する“ことにはなります”

RC4 は実装しやすいため、また BEAST 攻撃の対処方法のため、RC4 ストリーム暗号は広く使用されています。

研究者グループ (ナデム・アルファーダン(Nadhem AlFardan)、ダン・バーンスタイン(Dan Bernstein)、ケニー・パターソン(Kenny Paterson)、バートラム・ポーテリング(Bertram Poettering)およびヤコブ・シュルツ(Jacob Schuldt)) は TLS に対する新しい攻撃を発見。この攻撃で、攻撃者は、ブラウザを利用して、さまざまな接続をしながら、当該の接続のトラフィックを観察および記録します。

対処方法

  • これらのプロトコルをサポートするサーバー上で TLS 1.2 または TLS 1.3 を有効にし、AEAD 暗号スイート (AES-GCM) に切り替えます。
  • これらのプロトコルをサポートするブラウザで TLS 1.2 または TLS 1.1 を有効にします。

一時対処方法

お使いのサーバーの SSL 構成ですべての RC4 ベーススイートを無効にします。サーバー上およびウェブブラウザ内で TLS 1.2 または TLS 1.3 を有効にできない場合は、この対処方法を利用します。