Anzeige
Die RC4-Verschlüsselung gilt als unsicher - neue Angriffe werden bald veröffentlicht.
Die RC4-Verschlüsselung gilt als unsicher - neue Angriffe werden bald veröffentlicht. (Bild: Matt Crypto, Wikimedia Commons)

Verschlüsselung: Neue Angriffe auf RC4

Die RC4-Verschlüsselung gilt als unsicher - neue Angriffe werden bald veröffentlicht.
Die RC4-Verschlüsselung gilt als unsicher - neue Angriffe werden bald veröffentlicht. (Bild: Matt Crypto, Wikimedia Commons)

Zwei Forscherteams kündigen unabhängig voneinander an, bald neue Angriffe gegen den RC4-Verschlüsselungsalgorithmus vorzustellen. Knapp ein Prozent der Webserver setzt immer noch ausschließlich auf RC4.

Anzeige

Weitere Forscher haben angekündigt zu zeigen, wie der RC4-Verschlüsselungsalgorithmus angegriffen werden kann. Auf der Real-World-Crypto-Konferenz hatte bereits ein Forscherteam angekündigt, bald einen neuen Angriff auf mit RC4 übertragene Passwörter vorzustellen. Auf der Black Hat Asia soll ein weiterer Angriff präsentiert werden, der bereits beim passiven Abhören von Paketen praktikabel ist.

Im März 2013 stellte ein Kryptographenteam um Dan Bernstein und Kenny Paterson zum ersten Mal einen umsetzbaren Angriff auf das RC4-Verfahren innerhalb von TLS vor. Doch den Angriff praktisch auszunutzen ist relativ schwierig, denn dafür müssen mehrere Gigabyte an Daten abgefangen werden.

Zwei neue Angriffe

Auf der Real-World-Crypto-Konferenz zeigten Christina Garman, Kenny Paterson und Thyla van der Merwe auf einem Poster erste Details zu einem neuen Angriff auf RC4, den das Forscherteam bald publizieren will. Der Ansatz: Mit Hilfe statistischer Analysen soll es gelingen, ein Passwort innerhalb von Datenströmen mit einer vorgegebenen Passwortliste abzugleichen. Das funktioniert bei Protokollen, in denen das Passwort mehrfach an derselben Stelle im Datenstrom übertragen wird. Als Beispiele werden IMAP und die HTTP-Authentifizierung Basicauth genannt. Dadurch wird ein Wörterbuchangriff auf ein Passwort offline mittels abgefangener Datenpakete möglich.

Noch gravierender klingt eine weitere bevorstehende Veröffentlichung: Für die Konferenz Black Hat Asia, die Ende März in Singapur stattfinden wird, ist ein Vortrag des israelischen Forschers Itsik Mantin angekündigt. Der von ihm beschriebene Angriff trägt den Namen Bar-Mitzva. Es soll sich dabei laut dem Titel um eine seit 13 Jahren bekannte Schwäche in RC4 handeln. Daher der Name - die Bar-Mitzwa bezeichnet in der jüdischen Religion die Religionsmündigkeit, Jungen erhalten sie mit 13 Jahren.

Mantin hatte 2001 ein Papier über Schwächen in RC4 veröffentlicht, die für Angriffe gegen die WLAN-Verschlüsselung WEP genutzt werden konnten. Möglicherweise bezieht sich der neue Angriff auf diese Forschungsarbeit. Laut der Black-Hat-Ankündigung soll der Angriff anders als viele bisherige Angriffe gegen TLS auch beim rein passiven Abhören der Leitung funktionieren.

Gerüchte über NSA-Angriff auf RC4

Dass das RC4-Verfahren nicht als sonderlich sicher gilt, ist schon länger klar, doch seit der NSA-Affäre machen Gerüchte die Runde, dass der US-Geheimdienst in der Lage sei, RC4 in Echtzeit praktisch zu brechen. Belege für diese Behauptung gibt es bislang allerdings nicht. Klar ist: RC4 sollte nicht mehr eingesetzt werden. Die TLS-Arbeitsgruppe der IETF arbeitet zurzeit an einem RFC, der die Nutzung von RC4 verbieten soll. Eine Verabschiedung steht wohl bald an. Danach wird von standardkonformen Browsern und Servern verlangt, die Unterstützung für RC4 generell zu deaktivieren.

Nach wie vor gibt es einige Server im Netz, die ausschließlich mit RC4 erreichbar sind. Der Red-Hat-Entwickler Hubert Kario erstellt regelmäßig Statistiken über die Verbreitung von TLS-Verschlüsselungsalgorithmen auf Basis der eine Million beliebtesten Webseiten laut den Daten von Alexa. In der Erhebung im Dezember 2014 gab es darunter noch 0,87 Prozent, die ausschließlich mit dem RC4-Algorithmus erreichbar waren.

80 Prozent mit RC4 erreichbar

Über 80 Prozent der Webseiten ermöglichen zudem optional eine Verbindung mit RC4. Das ist allerdings weniger problematisch, da praktisch alle aktuellen Browser auch AES unterstützen und somit nur wenige Verbindungen über RC4 abgehandelt werden.

Unter den Seiten, die nur RC4 unterstützen, befinden sich auch einige Banken, darunter die zur Volksbanken-Gruppe gehörende DZ Bank. Auch Sony Pictures betreibt einen HTTPS-Webserver, der nur mittels RC4 erreichbar ist. Für Hackerangriffe auf den Konzern dürfte dies allerdings kaum ausnutzbar sein, denn die HTTPS-Verbindung dient nur zur Weiterleitung auf die unverschlüsselte Webseite.


eye home zur Startseite
cdjm 27. Jan 2015

Naja. Solange die Army auf einigen Subdomains noch RC4 supported kann es ja so schlimm...

Labtecs 20. Jan 2015

ich habe RC4 in meinem Browser deaktiviert.

RipClaw 20. Jan 2015

Dann hast du vermutlich CBC deaktivert. Hier findest du alle Infos zu dem was der IE...

hannob (golem.de) 20. Jan 2015

Es gibt für einen Angreifer keine Möglichkeit, einem Nutzer einen Algorithmus...

ikhaya 20. Jan 2015

https://bugzilla.mozilla.org/show_bug.cgi?id=999544 ist schon vorgeschlagen wordne

Kommentieren



Anzeige

  1. Einkäufer IT (m/w) Workplace Services
    über HRM CONSULTING GmbH, Nürnberg
  2. IT Infrastruktur Support (m/w)
    RATIONAL AG, Landsberg am Lech
  3. Projektmanager (m/w)
    T-Systems International GmbH, Berlin, Bonn, Darmstadt, München, Münster
  4. IT-Scrum Master Payment Solutions (m/w)
    Media-Saturn IT Services GmbH, Ingolstadt

Detailsuche



Anzeige
Top-Angebote
  1. NUR BIS MONTAG 9 UHR UND SOLANGE DER VORRAT REICHT: Fallout 4 Uncut USK 18 - PC
    19,99€ inkl. Versand
  2. Fallout 4 Uncut USK 18 - PS4
    24,99€ inkl. Versand
  3. Fallout 4 Uncut USK 18 - Xbox One
    24,99€ inkl. Versand

Weitere Angebote


Folgen Sie uns
       


  1. Section Control

    Bremsen vor Blitzern soll nicht mehr vor Bußgeld schützen

  2. Beam

    ISS-Modul erfolgreich aufgeblasen

  3. Arbeitsbedingungen

    Apple-Store-Mitarbeiterin gewährt Blick hinter die Kulissen

  4. Modulares Smartphone

    Project-Ara-Ideengeber hat von Google mehr erwartet

  5. Telekom-Chef

    "Vectoring schafft Wettbewerb"

  6. Model S

    Teslas Autopilot verursacht Auffahrunfall

  7. Security

    Microsoft will Passwort 'Passwort' verbieten

  8. Boston Dynamics

    Google will Roboterfirma an Toyota verkaufen

  9. Oracle-Anwältin nach Niederlage

    "Google hat die GPL getötet"

  10. Selbstvermessung

    Jawbone steigt offenbar aus Fitnesstracker-Geschäft aus



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Oracle vs. Google: Wie man Geschworene am besten verwirrt
Oracle vs. Google
Wie man Geschworene am besten verwirrt
  1. Java-Rechtsstreit Oracle verliert gegen Google
  2. Oracle vs. Google Wie viel Fair Use steckt in 11.000 Codezeilen?

GPD XD im Test: Zwischen Nintendo 3DS und PS Vita ist noch Platz
GPD XD im Test
Zwischen Nintendo 3DS und PS Vita ist noch Platz
  1. Xbox Scorpio Schneller als Playstation Neo und mit Rift-Unterstützung
  2. Playstation 4 Rennstart für Gran Turismo Sport im November 2016
  3. AMD Drei Konsolen-Chips für 2017 angekündigt

Intels Compute Stick im Test: Der mit dem Lüfter streamt (2)
Intels Compute Stick im Test
Der mit dem Lüfter streamt (2)
  1. Stratix 10 MX Alteras Chips nutzen HBM2 und Intels Interposer-Technik
  2. Apple Store Apple darf keine Geschäfte in Indien eröffnen
  3. HBM2 eSilicon zeigt 14LPP-Design mit High Bandwidth Memory

  1. Re: Definiere "Aufstieg"

    SchreibenderLeser | 06:47

  2. Re: Und das hat...was genau...mit "Internet" zu tun?

    Ovaron | 06:42

  3. Re: Smalltalk hat in einer Fachberatung nichts zu...

    Peter Brülls | 06:42

  4. Re: Früher ist man mit dem rechten Fuß vom...

    mic1982 | 06:41

  5. Re: Stimme Hakkens 100% zu!

    Peter Brülls | 06:39


  1. 12:45

  2. 12:12

  3. 11:19

  4. 09:44

  5. 14:15

  6. 13:47

  7. 13:00

  8. 12:30


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel