Desventajas de deshabilitar RC4 en SSL / TLS [cerrado]

5

Además de requerir más recursos del servidor, ¿hay alguna desventaja de que el servidor web Apache no pueda usar RC4? Mi principal preocupación es evitar el acceso desde navegadores antiguos.

    
pregunta user1032531 18.05.2015 - 14:49
fuente

3 respuestas

6

Deshabilitar RC4 por completo sería genial en un mundo ideal, pero desafortunadamente no vivimos en un mundo ideal. Si lo deshabilita, es posible que ciertos dispositivos móviles e integrados no puedan comunicarse con usted. Tenga en cuenta que IE en Windows XP solo puede usar RC4 porque la API criptográfica subyacente (CAPI) en el sistema no tiene AES.

En cuanto al riesgo, los ataques de sesgo RC4 generalmente se consideran relativamente inviables debido a los requisitos, en el orden de unos pocos miles de millones de solicitudes. Si bien esto claramente no es bueno, también es muy difícil hacer algo práctico con.

Actualmente, a partir de mayo de 2015, recomendaría lo siguiente:

  • Habilite TLS 1.2 con los conjuntos de cifrado AES-GCM, ChaCha20-Poly1305, AES-CBC y RC4.
  • Habilite TLS 1.1 con conjuntos de cifrado AES-CBC y RC4.
  • Habilite TLS 1.0 con conjuntos de cifrado RC4 (evite los cifrados de bloque CBC en TLS 1.0 debido a BEAST)
  • Deshabilitar SSLv3 y versiones anteriores.
  • Configure las preferencias de orden de su suite de cifrado para tener las suites AES-GCM y ChaCha20-Poly1305 en la parte superior.
  • Prefiera suites de cifrado con intercambio de claves DHE / ECDHE sobre intercambio de claves RSA / DSA para promover el intercambio de claves efímeras.

Tenga en cuenta que esto está sujeto a cambios. Debe verificar la información actualizada en el futuro.

En una configuración de este tipo, todos los navegadores menos los más antiguos (es decir, todo lo que sea posterior a los 90) deberían funcionar bien, y los navegadores modernos utilizarán el protocolo y los cifrados más sólidos posibles.

    
respondido por el Polynomial 18.05.2015 - 15:42
fuente
3

Creo que estás haciendo la pregunta incorrecta. Para mí, "¿Cuánto molestarán a mis usuarios?", Es mucho menos importante que "¿Qué tan confidencial es la información en este servidor?", O "¿Cuánto me importaría si fuera pirateada?".

El endurecimiento de un sistema generalmente conlleva algunos inconvenientes. El nivel de inconveniencia que está dispuesto a soportar (e infligir a sus usuarios) debe depender de cuán valiosos sean los datos que intenta proteger. En otras palabras, cuanto más valioso sea un objetivo, más probabilidades hay de que un pirata informático gaste los recursos para romper su RC4.

    
respondido por el Mike Ounsworth 18.05.2015 - 15:38
fuente
1
Se ha comprobado que

RC4 está roto, por lo que es probablemente una opción inteligente desactivarlo desde un servidor web.

No debe molestarse en mantenerlo solo para proporcionar acceso a navegadores web obsoletos. Después de todo, se les llama obsoletos por una razón, y dar incentivos al visitante para que actualice su antiguo navegador es bueno.

    
respondido por el dr01 18.05.2015 - 15:28
fuente

Lea otras preguntas en las etiquetas