RC4-cipher ingeschakeld
Gerelateerde waarschuwing:
"Deze server gebruikt het RC4-coderingsalgoritme dat niet veilig is. Schakel de RC4-ciphersuite uit en werk de webserver of het apparaat bij om het coderingsalgoritme Advanced Encryption Standard (AES) te ondersteunen."
Probleem
RC4 is een streamcipher ontworpen door Ron Rivest in 1987. De BEAST-aanval werd ontdekt in 2011. De oplossing om de aanval te helpen voorkomen is om TLS 1.1 en TLS 1.2 op servers en in browsers in te schakelen.
Mocht u TLS 1.1 en TLS 1.2 niet kunnen inschakelen, dan is er deze tijdelijke oplossing: configureer SSL om prioriteit te geven aan RC4-coderingen boven blokgebaseerde codering. Deze oplossing elimineert niet blootstelling aan de BEAST-aanval, maar beperkt wel blootstelling daaraan.
Omdat RC4 eenvoudig te implementeren is en vanwege de BEAST-aanvalsoplossing, wordt het gebruik van de RC4-stroomcodering wijdverbreid gebruikt.
Een groep onderzoekers (Nadhem AlFardan, Dan Bernstein, Kenny Paterson, Bertram Poettering en Jacob Schuldt) ontdekte een nieuwe aanval op TLS waarbij een aanvaller een browser gebruikt om talloze verbindingen te maken terwijl hij het verkeer van deze verbindingen bekijkt en registreert.
Oplossing
Schakel TLS 1.2 of TLS 1.3 in op servers die deze protocollen ondersteunen en schakel over naar AEAD-coderingssuites (AES-GCM).
Schakel TLS 1.2 of TLS 1.1 in in browsers die deze protocollen ondersteunen.
Tijdelijke oplossing
Schakel alle op RC4 gebaseerde ciphersuites in de SSL-configuratie van uw server uit. Gebruik deze tijdelijke oplossing alleen als u TLS 1.2 of TLS 1.3 niet kunt inschakelen op servers en in browsers.