7. April 2015 Wie Imperva aktuell ausführt, ist die RC4 Verschlüsselung noch schwächer als gedacht.

Daß RC4 nicht wirklich sicher ist, wissen wir schon seit 2002 - da wurde eine Vulnerability für RC4 bekannt. Trotzdem werden aktuell noch 30% aller verschlüsselten Verbindungen mit RC4 durchgeführt.

In der Abhandlung "Hii - Attacking SSL when using RC4" erklären die Securityspezialisten von Imperva genau, warum und wann RC4 besonders anfällig ist. Wenn man RC4 mit einem 8 Byte (64Bit) Key nutzt, dann gibt es nur 2 hoch 16 möglich Werte um den Key zu erraten. Das sind lächerliche 65536 Versuche - mit aktuellen CPUs geht das praktisch in ECHTZEIT.

Mit längeren Keys wird es zwar tendentiell besser, aber die etwas über 8 Millionen Werte, wenn der Key aus einem vielfachen von 4 Bytes besteht, kann man mit Hilfe von Lookuptabellen (Rainbow Tables) innerhalb von wenigen Sekunden knacken.

Wenn man viele dieser RC4 Verbindungsaufbauten "mitschneiden" kann und man annimmt, dass für den RC4 Key eines der TOP 10.000 Passwörter genutzt wird, kann man durchschnittlich mit 18 Versuchen (maximal mit 201 Versuchen) den Key mittels eines Brute Force Angriffs ermitteln! Laut den Spezialiisten von Imperva sind damit rund 30% aller RC4 Verschlüsselungen gehackt!

Zusammenfassung:

Wenn Sie RC4 noch einsetzen (müssen) ändern Sie die Key Passwörter auf einen zufälligen, möglichst langen String und setzen Sie alles daran RC4 in Zukunft nicht mehr zu nutzen.