W ubiegłym roku Microsoft zapowiedział wygaszenie wsparcia dla szyfrowania strumieniowego RC4 w przeglądarkach Edge i Internet Explorer 11. W tym roku firma potwierdziła plany, tłumacząc, że RC4 nie jest dostatecznie bezpieczny pod względem kryptograficznym i ostatecznie zakończyła wspieranie szyfru. Zmiany weszły w życie wraz ze wczorajszą aktualizacją zbiorczą KB3151631.
RC4 jest metodą szyfru strumieniowego, opisaną po raz pierwszy w 1987 r. Od tego czasu zdobyła sporą popularność i do dziś wykorzystuje się ją w wielu usługach i protokołach internetowych, wliczając w to SSL i WEP. Prawie dwudziestoletnia technologia nie oparła się jednak próbie czasu. "Nowoczesne ataki dowiodły, że RC4 można złamać w przeciągu kilku godzin lub dni" - tłumaczy Microsoft. W lutym 2015 r. skłoniło to stowarzyszenie Internet Engineering Task Force do zakazu używania RC4 w standardzie TLS.
Dotychczas Microsoft Edge i IE 11 pozwalały na działanie RC4 tylko w przypadku cofnięcia się z TLS 1.2 lub TLS 1.1 do TLS 1.0. Przyjęcie wcześniejszego standardu było zwykle skutkiem ataku man-in-the-middle i właśnie z tego powodu obie przeglądarki domyślnie nie wspierają RC4. Dotyczy to systemów Windows 7, Windows 8.1 i Windows 10.
Czy na wejście nowych zmian w życie należy się jakoś przygotować? Niezupełnie. "Spodziewamy się, że większość użytkownikó nie zauważy tej zmiany. Odsetek niezabezpieczonych usług sieciowych, które wspierają jedynie RC4, jest niewielki i wciąż kurczący się" - tłumaczy Microsoft.
Z uwagi na zmiany pewne działania powinni podjąć raczej deweloperzy usług internetowych. Microsoft zaleca im uzyskanie zgodności z obowiązującym TLS 1.2 oraz usunięcie wsparcia dla RC4.
