Abo
  • IT-Karriere:

Verschlüsselung: Der lange Abschied von RC4

Er ist angreifbar - und die NSA liest angeblich mit: Die Internet Engineering Taskforce hat den Einsatz des einst beliebtesten Verschlüsselungsalgorithmus RC4 untersagt. Doch Sicherheit lässt sich nicht einfach verordnen.

Artikel von veröffentlicht am
Die Nachschlagephase von RC4 bei einem Alphabet der Größe eines Bytes.
Die Nachschlagephase von RC4 bei einem Alphabet der Größe eines Bytes. (Bild: Matt Crypto/Public Domain)

Minimale Codebasis, einfache Implementierung und ein sehr geringer Ressourcenverbrauch in der Anwendung: Lange galt RC4 als beliebtester Verschlüsselungsalgorithmus - obwohl Sicherheitsforscher im Lauf der Jahre kritische Lücken fanden. Aber erst 2014 kam das Aus: Die Internet Engineering Task Force (IETF) verbot den Einsatz von RC4 für TLS-Verbindungen.

Vor wenigen Tagen haben Forscher erneut verbesserte Angriffe gegen RC4 veröffentlicht. Dennoch ist RC4 auf vielen Webseiten weiter im Einsatz, und der Abschied von dem unsicheren System vollzieht sich nur schleppend. Denn viele Webdienste fürchten Kompatibilitätsprobleme, wenn sie den Algorithmus einfach abschalten.

Verschlüsselung in Block und Strom

Außerdem befinden sich nach jahrelanger Nutzung RC4 und ähnliche veraltete Kryptostandards tief in vielen Programmbibliotheken. Der Algorithmus wurde 1987 von dem Mathematiker und Kryptologen Ron Rivest vorgestellt. RC4 steht wahlweise für Rivest Cipher oder Rons Code. Mit Hilfe eines deterministischen Pseudozufallszahlengenerators wird dabei aus einem vorliegenden Schlüssel ein Schlüsselstrom erzeugt. Der Schlüsselstrom wird dann mit Hilfe einer XOR-Verknüpfung mit dem zu verschlüsselnden Text verknüpft.

RC4 ist eine sogenannte Stromverschlüsselung. Im Unterschied zu Blockchiffren werden die zu verschlüsselnden Informationen Bit für Bit mit dem Schlüsselstrom zu einer Nachricht verschlüsselt. Aus diesem Grund eignen sich Stromchiffren vor allem für Anwendungsszenarien, die Echtzeit-Verschlüsselung verlangen. Sie sind schlicht schneller als Blockchiffren, bei denen immer erst der nächste Block mit Daten aufgefüllt werden muss, bevor die eigentliche Chiffrierung beginnen kann.

Die Zufallszahlen können berechenbar sein

Stellenmarkt
  1. Bundeskriminalamt, Wiesbaden
  2. we.CONECT Global Leaders GmbH, Berlin

Die Verschlüsselung arbeitet schnell und lässt sich ohne großen Aufwand implementieren - deshalb fand sie eine weite Verbreitung. Der Algorithmus war lange ein Geschäftsgeheimnis der Firma RSA Security, bis der Quellcode im Jahr 1994 auf einer Mailingliste auftauchte. Der Schöpfer des Codes bestätigte die Echtheit der geleakten Informationen später indirekt, indem er auf die Wikipedia-Seite zu dem Thema verlinkte. Dass RC4 unter dem Namen Arcfour (Alleged RC4) nun öffentlich verfügbar war, trug zur weiteren Verbreitung des Algorithmus bei.

RC4 hat jedoch ein grundlegendes Problem: Die Pseudozufallszahlen, die der Algorithmus als Basis für die Verschlüsselung benutzt, nehmen bestimmte Werte mit einer höheren Wahrscheinlichkeit an. Mit RC4 verschlüsselter Text weist somit wiederkehrende Elemente auf. Für sich betrachtet, ist das zunächst kein großes Problem. Wenn ein Angreifer jedoch viele so verschlüsselte Dokumente zur Verfügung hat, kann er mittels stochastischer Analysen den Ausgangstext bestimmen.

Erste Angriffe stoppen die Verbreitung nicht 
  1. 1
  2. 2
  3. 3
  4. 4
  5.  


Anzeige
Hardware-Angebote
  1. 199,90€
  2. täglich neue Deals bei Alternate.de

crypt0 21. Jul 2015

Jap, meine Implementierungen sind reiner Java-Code, keine nativen Aufrufe etc. Github...

Dünnbier 18. Jul 2015

@tritratrulala Gute Algorithmen wie Twofish und Serpent werden ignoriert weil sie zu...


Folgen Sie uns
       


Ikea-Symfonisk-Lautsprecher im Test

Wir haben Ikeas erste beiden Symfonisk-Lautsprecher getestet. Sie sind vollständig Sonos-kompatibel und können mit anderen Sonos-Lautsprechern verbunden werden. Klanglich liefern sie gute Ergebnisse und das zu einem niedrigeren Preis als die Modelle von Sonos direkt.

Ikea-Symfonisk-Lautsprecher im Test Video aufrufen
Harmony OS: Die große Luftnummer von Huawei
Harmony OS
Die große Luftnummer von Huawei

Mit viel Medienaufmerksamkeit und großen Versprechungen hat Huawei sein eigenes Betriebssystem Harmony OS vorgestellt. Bei einer näheren Betrachtung bleibt von dem großen Wurf allerdings kaum etwas übrig.
Ein IMHO von Sebastian Grüner


    Arbeit: Hilfe für frustrierte ITler
    Arbeit
    Hilfe für frustrierte ITler

    Viele ITler sind frustriert, weil ihre Führungskraft nichts vom Fach versteht und sie mit Ideen gegen Wände laufen. Doch nicht immer ist an der Situation nur die Führungskraft schuld. Denn oft verkaufen die ITler ihre Ideen einfach nicht gut genug.
    Von Robert Meyer

    1. IT-Forensikerin Beweise sichern im Faradayschen Käfig
    2. Homeoffice Wenn der Arbeitsplatz so anonym ist wie das Internet selbst
    3. Bundesagentur für Arbeit Informatikjobs bleiben 132 Tage unbesetzt

    Google Maps: Karten brauchen Menschen statt Maschinen
    Google Maps
    Karten brauchen Menschen statt Maschinen

    Wenn Karten nicht mehr von Menschen, sondern allein von Maschinen erstellt werden, erfinden diese U-Bahn-Linien, Hochhäuser im Nationalpark und unmögliche Routen. Ein kurze Liste zu den Grenzen der Automatisierung.
    Von Sebastian Grüner

    1. Kartendienst Google bringt AR-Navigation und Reiseinformationen in Maps
    2. Maps Duckduckgo mit Kartendienst von Apple
    3. Google Maps zeigt Bikesharing in Berlin, Hamburg, Wien und Zürich

      •  /