[转]RC4加密已不再安全,破解效率极高
原文链接:http://freebuf.com/news/72622.html
原文发表时间:2015.7.17
安全研究人员称,现在世界上近三分之一的HTTPS加密连接可被破解,并且效率极高。这种针对RC4加密的破解技术,同样也可以用来破解WiFi数据包。
FreeBuf百科:RC4加密算法*
RC4(Rivest密码4)由RSA Security的Ron Rivest在1987年设计,因为其速度和简单性,这种加密算法已经成为使用最为广泛的流密码。它被用于常用协议中,包括有线等效保密(WEP),用于无线网络的安全算法,以及HTTPS的安全套接字层(SSL)和传输层安全(TLS)协议;事实上,在所有TLS流量中,约有50%的流量目前在使用RC4算法来保护。
破解RC4已成熟
研究人员很早前就发现可以利用RC4中的统计偏差,导致可对加密信息中的一些伪随机字节能进行猜测。在2013年,科学家利用这个漏洞设计了一次攻击实验:他们在2000小时内猜出一个基础身份认证cookie中包含的字符。后来技术改进后,研究人员只需约75小时猜解就能得到94%的准确率。
另外,针对WPA-TKIP网络的猜解攻击大概只需要花上1个小时的时间。研究人员表示,现在RC4加密已经不安全了,建议完全停止使用。
“我们研究出的方法能大大减少破解的执行时间,这种攻击效率的提升让我们感到很不安。我们觉得还有提升的空间,也能实现更高效的算法。我们希望将来会有更好的通讯加密技术。
Youtube原地址:https://youtu.be/d8MtmKrXlKQ
技术细节浅析
攻击者可以通过中间人手段,监控目标与Https网站之间的会话连接,或者监控WPA-TKIP保护的网络。在第一种情况下,攻击者向另一个非Https网站注入了Javascript代码,会诱使访问它的目标计算机迅速多次传输加密身份认证的cookie。通过分析约92^27个加密的cookie,攻击者可以将猜测准确率提升至94%。期间,攻击者需要让目标每秒发送4450个请求,在经过75小时后(特殊情况下只需52小时),就可以完成猜解攻击。在两年前发生的一次攻击中,研究人员需要122^30个cookie加密来推断实际内容,期间每秒产生了1700个请求。
新型针对WPA-TKIP的攻击只需要1个小时,攻击者可以任意注入、解密数据包。
这项技术不仅可以解密cookie和Wifi数据包,其他高速传输的加密数据流也有可能被解密。技术是通过向加密payload中注入数据,如每个认证cookie或者Wifi数据包中的标准头部。攻击者会通过组合所有可能的值,通过使用统计偏差找出最有可能的组合。
加密保护和思考
目前攻击Https保护的网站理论上只需要75小时,但鉴于推广应用技术的难度,研究人员决定只是发出警示表明RC4并不是一个安全的解决方案。工程师们需要现在就采取行动拒绝继续使用这种加密,现如今https网站中大约有30%的使用的是RC4加密,比2013年下降了约一半。
*参考来源:arstechnica,由FreeBuf小编dawner翻译整理,转载请注明来自FreeBuf黑客与极客(FreeBuf.COM)
[转]RC4加密已不再安全,破解效率极高的更多相关文章
- js jquery版本的 金额千分位转换函数(非正则,效率极高)
没想到js里面没有 金额千分位格式化的处理函数(例:1,234.01 这样的格式),网上搜了一圈,都是使用正则的方式处理的.正则的效率不敢恭维啊,又耗费资源速度又慢(虽然处理起来会直观一些). 因此专 ...
- 整体读入cmd结果,而不是分行读入,效率极高
public static long GetDirectorySize(string path) { long res = 0; System.Diagnostics.Process p = new ...
- 【阿里聚安全·安全周刊】 全美警局已普遍拥有破解 iPhone 的能力 | 女黑客破解任天堂Switch,称硬件漏洞无法修复
本周的七个关键词: 破解 iPhone丨 女黑客破解任天堂丨假的身份证 丨 扫黄打非丨华盛顿特区发现手机间谍设备 丨 Telegram被俄罗斯监管机构告上法庭丨价值5万美金的Firefox浏览器漏洞 ...
- RC4加密解密算法
RC4相对是速度快.安全性高的加密算法.在实际应用中,我们可以对安全系数要求高的文本进行多重加密,这样破解就有一定困难了.如下测试给出了先用RC4加密,然后再次用BASE64编码,这样双重锁定,保证数 ...
- 这里已不再更新,访问新博客请移步 http://www.douruixin.com
这里已不再更新,访问新博客请移步 http://www.douruixin.com
- 本博客已不再更新,新文章将发布在我的个人博客:https://www.tapme.top
如题,本博客已不再更新,请访问个人博客:www.tapme.top
- RDIFramework.NET ━ .NET快速信息化系统开发框架 V3.2->WinForm版本新增新的角色授权管理界面效率更高、更规范
角色授权管理模块主要是对角色的相应权限进行集中设置.在角色权限管理模块中,管理员可以添加或移除指定角色所包含的用户.可以分配或授予指定角色的模块(菜单)的访问权限.可以收回或分配指定角色的操作(功能) ...
- 取代 Mybatis Generator,这款代码生成神器配置更简单,开发效率更高!
作为一名 Java 后端开发,日常工作中免不了要生成数据库表对应的持久化对象 PO,操作数据库的接口 DAO,以及 CRUD 的 XML,也就是 mapper. Mybatis Generator 是 ...
- sql server中如何查看执行效率不高的语句
sql server中,如果想知道有哪些语句是执行效率不高的,应该如何查看呢?下面就将为您介绍sql server中如何查看执行效率不高的语句,供您参考. 在测量功能时,先以下命令清除sql se ...
随机推荐
- 【Semantic Segmentation】Segmentation综述
部分转自:https://zhuanlan.zhihu.com/p/37618829 一.语义分割基本介绍 1.1 概念 语义分割(semantic segmentation) : 就是按照" ...
- 【网络结构】MobileNets: Efficient Convolutional Neural Networks for Mobile Vision Applications论文解析
目录 0. Paper link 1. Overview 2. Depthwise Separable Convolution 2.1 architecture 2.2 computational c ...
- 《用 Python 学微积分》笔记 1
<用 Python 学微积分>原文见参考资料 1. 1.多项式 f(x)=x3-5x2+9 def f(x): return x**3 - 5*x**2 + 9 print f(3) pr ...
- Mac 升级node与npm
第一步,先查看本机node.js版本: node -v 第二步,清除node.js的cache: sudo npm cache clean -f 第三步,安装 n 工具,这个工具是专门用来管理node ...
- less文件的运行
例:在任意处创建一个.less文件,比如在桌面2017.06.28文件中创建了一个main.less文件,然后通过命令行编译main.less,步骤: win+R,cmd打开命令面板,切换到main. ...
- Ubuntu下搭建Spark运行环境
安装Spark的方式 现在有两种安装方式: 安裝spark notebook:已經把spark, scala, hadoop等等包起來了,裝好就能用GUI介面操作,適合測試用. 傳統方式安裝:慢慢裝s ...
- 深入理解AUC
https://tracholar.github.io/machine-learning/2018/01/26/auc.html 我觉得作者写的很不错
- 基础系列(1)之干掉JavaScript变量作用域
今天去某顺公司面试,发现一些基础知识都不记得了,于是乎决定把js基础系列的全部梳理一遍,今天就整理下js变量作用域的相关基础知识点,配合最常遇到的笔试题阐述. 题一: var g = "a ...
- String类的subString(a,b)方法(基于jdk 1.9)
基于上文:http://www.jianshu.com/p/a20ee3bb9c1b public String substring(int beginIndex, int endIndex) { i ...
- IOS-涂鸦
// // PaintView.m // IOS_0224_涂鸦 // // Created by ma c on 16/2/24. // Copyright © 2016年 博文科技. All ri ...