Ako blokovať nezabezpečenú šifru RC4 v prehliadačoch Firefox a Chrome
- Kategórie: Zabezpečenia
Kedykoľvek sa pripojíte k zabezpečenej webovej stránke pomocou prehliadača Firefox alebo iného moderného prehliadača, na pozadí dôjde k rokovaniam, ktoré určia, čo sa používa na šifrovanie pripojenia.
RC4 je prúdová šifra, ktorá je v súčasnosti podporovaná väčšinou prehľadávačov, aj keď ju možno použiť iba ako záložnú (ak iné rokovania zlyhajú) alebo pre zoznamy povolených adries.
využije mať vyšli najavo v poslednom čase, ktoré využívajú slabé stránky v RC4, ktoré umožňujú útočníkom spúšťať útoky v primeranom časovom rámci, napríklad dešifrovať webové súbory cookie, ktoré často obsahujú autentifikačné informácie.
Mozilla chcela odstrániť RC4 z Firefoxu úplne pôvodne vo verzii 38 alebo 39 prehliadača, ale rozhodol sa proti nemu na základe telemetrických údajov. V súčasnom stave nebude RC4 vo Firefoxe 39 alebo 40 deaktivovaný.
Tip : môžete skontrolovať, či je váš webový prehliadač zraniteľný návšteva tohto RC4 webové stránky. Ak sa po vykonaní textu na stránke zobrazia červené upozornenia, znamená to, že je náchylný na útoky.
Je potrebné poznamenať, že zraniteľné sú aj iné prehliadače, napríklad Google Chrome. Google zrejme tiež pracuje klesá RC4 podporu v prehliadači Chrome
Zakázanie RC4 vo Firefoxe
Používatelia Firefoxu môžu RC4 vo webovom prehliadači úplne vypnúť. Je potrebné poznamenať, že niektoré zabezpečené weby nemusia fungovať potom.
- Do adresného riadku prehliadača napíšte about: config a stlačte Enter.
- Ak dostanete výzvu, potvrďte, že budete opatrní.
- Vyhľadajte RC4 a dvojité kliknutie o nasledujúcich preferenciách na ich nastavenie nepravdivý ,
- security.ssl3.ecdhe_ecdsa_rc4_128_sha
- security.ssl3.ecdhe_rsa_rc4_128_sha
- security.ssl3.rsa_rc4_128_md5
- security.ssl3.rsa_rc4_128_sha
Po vykonaní zmien znova načítajte testovaciu stránku prepojenú vyššie. Keď tak urobíte, mali by ste namiesto upozornení dostať správy o zlyhaní pripojenia.
Ak narazíte na problémy s pripojením na zabezpečené stránky po vykonaní zmien, možno bude potrebné obnoviť podporu pre RC4. Ak to chcete zopakovať, vyššie uvedené kroky a uistite sa, že hodnoty predvolieb sú následne nastavené na hodnotu true.
Zakázanie RC4 v prehliadači Chrome
Tento postup je v prehliadači Chrome komplikovaný, pretože vo webovom prehliadači nemôžete jednoducho prepnúť niekoľko preferencií a vypnúť v ňom RC4.
Jedinou platnou možnosťou je spustenie prehliadača Chrome s parametrami príkazového riadku, ktoré blokujú RC4. Takto sa postupuje (pokyny pre systém Windows).
- Pravým tlačidlom myši kliknite na odkaz Chrome na paneli úloh operačného systému a potom znova kliknite pravým tlačidlom myši na prehliadač Chrome a vyberte položku vlastnosti z kontextovej ponuky, ktorá sa otvorí.
- Tým by sa mali otvoriť vlastnosti spustiteľného súboru.
- pridať --cipher-sada-čierna listina = 0x0004,0x0005,0xc011,0xc007 ako parameter na koniec cieľového riadku. Uistite sa, že pred parametrom je medzera.
- Cieľový riadok vyzerá takto v mojom počítači po pridaní parametra: C: Users Martin AppData Local Chromium Application chrome.exe --cipher-suite-blacklist = 0x0004,0x0005,0xc011,0xc007
- Poznámka: vaše sa bude líšiť v závislosti od vášho používateľského mena a verzie prehliadača Chrome, ktorú ste nainštalovali.
Príkaz pridá RC4 do čiernej listiny šifry, takže ho nebude prehliadač používať. Ak test znova spustíte, všimnete si, že zlyhá (čo je dobré).