已启用 RC4 密码
相关警告
“此服务器使用不安全的 RC4 加密算法。禁用 RC4 密码套件并更新 Web 服务器或设备以支持高级加密标准 (AES) 加密算法。”
问题
RC4 是由 Ron Rivest 在 1987 年设计的流密码。2011 年，发现了 BEAST 攻击。降低这种攻击的解决方案是对服务器和浏览器启用 TLS 1.1 和 TLS 1.2。
但是，如果您无法启用 TLS 1.1 和 TLS 1.2，可以使用变通方案：配置 SSL 使 RC4 密码优先于基于块的密码。该变通方案无法消除 BEAST 攻击暴露风险，但可以“限制”BEAST 攻击暴露风险。
由于 RC4 非常容易实现，再加上 BEAST 攻击变通方案，RC4 流密码的使用非常广泛。
一群研究人员（Nadhem AlFardan、Dan Bernstein、Kenny Paterson、Bertram Poettering 和 Jacob Schuldt）发现了一种针对 TLS 的新型攻击，攻击者一边使用浏览器发起无数次连接，一边观看和记录这些连接的通信。
解决方案
在支持这些协议的服务器上启用 TLS 1.2 或 TLS 1.3，并改用 AEAD 密码套件 (AES-GCM)。
在支持这些协议的浏览器上启用 TLS 1.2 或 TLS 1.1。
变通方案
在服务器的 SSL 配置中禁用所有基于 RC4 的密码套件。仅当您无法对服务器和浏览器启用 TLS 1.2 或 TLS 1.3 时，才使用此变通方案。