RC4 암호화 사용
관련 경고
"이 서버는 안전하지 않은 RC4 암호화 알고리즘을 사용합니다. RC4 암호화 모음을 사용 중지하고 웹 서버 또는 어플라이언스를 업데이트하여 AES(Advanced Encryption Standard) 암호화 알고리즘을 지원하십시오."
문제점
RC4는 Ron Rivest가 1987년 설계한 스트림 암호화입니다. BEAST공격은 2011년 발견되었습니다. 공격을 완화하는 솔루션은 서버에서 및 브라우저에서 TLS 1.1 또는 TLS 1.2을 사용하는 것입니다.
그렇지만 TLS 1.1 및 TLS 1.2를 사용할 수 없는 경우 해결 방법이 제공됩니다. SSL을 블록 기반 암호화보다 RC4 암호화를 우선하도록 구성합니다. 이 해결 방법은 BEAST 공격에 노출을 제거하지 않지만 BEAST 공격에 노출을 "제한"합니다.
RC4는 구현하기 쉽고 BEAST 공격 해결 방법 때문에 RC4 스트림 암호화의 사용은 널리 퍼져 있습니다.
연구자 그룹(Nadhem AlFardan, Dan Bernstein, Kenny Paterson, Bertram Poettering 및 Jacob Schuldt)은 공격자들이 브라우저를 사용하여 많은 수의 연결을 만들어서 그 연결의 트래픽을 관찰하고 기록하는 새로운 TLS에 공격을 발견했습니다.
솔루션
이 프로토콜을 지원하는 서버에서 TLS 1.2 또는 TLS 1.3을 사용하고 AEAD 암호화 모음(AES-GCM)로 전환합니다.
TLS 1.2 또는 TLS 1.1을 지원하는 브라우저에서 이 프로토콜을 사용합니다.
해결 방법
서버의 SSL 구성에서 모든 RC4 기반 암호 제품/도구를 사용 중지합니다. 이 해결 방법은 서버에서 및 브라우저에서 TLS 1.2 또는 TLS 1.3을 사용할 수 없는 경우에만 사용하십시오.