web-dev-qa-db-ja.com

SSLの暗号としてのDHE-RSA-AES256-SHAとRC4の違いは何ですか？

私は現在そのことを述べている多くの問題[1]を読みましたRC4は壊れており、危険にさらされています。

Webサーバー（nginx）を確認したところ、デフォルト設定を使用しています。

DHE-RSA-AES256-SHA

このCipherはRC4と比較してどうですか？

遅いですか（そう思います）しかし、より安全ですか？

[1] http://blog.cryptographyengineering.com/2013/03/attack-of-week-rc4-is-kind-of-broken-in.html

tlsweb-browserhttprc4
6
Howard

暗号化された「壊れた」と単純な「壊れた」は別物です。前者は通常、「ブルートフォース未満」を意味します（これを達成するにはかなりの費用がかかります）。

2つの暗号、AESとRC4が内部的に異なるという事実（それぞれCBCブロック暗号とストリーム暗号）を除いて、AES-256は256ビットであり（正しく示唆されているように）高速ではありません。 128ビットRC4。速度が Googleがそれを好む の理由として挙げられることがあります。 「DHE」の部分はephemeral Diffie–Hellmanを意味し、 [〜＃〜] pfs [〜＃〜] 、一般的に良いことです。 AESとRC4はどちらもメッセージの整合性チェックにSHA-1とMD5をサポートします。前者が推奨されます（TLSv1.2よりアルゴリズムを追加する前に、いずれかを使用する必要があります）。

Thomas Porninは、RC4とBEASTの両方の問題を非常に簡潔にまとめています。

RC4の脆弱性により、接続の最初の256バイトの大部分が、少なくとも次の条件で正確に推測される可能性があります。

  • 回復可能なコンテンツは、攻撃の間、同じである必要があります
  • 攻撃者は大量のトラフィックをキャプチャする必要があります。24—232 有用なパケットの数（セッションの開始時に区別できる）
  • 推測されたコンテンツは、それが終わってもまだ有用です（つまり、HTTPセッションCookie）
  • sSLセッションキーは回復されず、partialコンテンツのみが回復されます

迅速なエンベロープ計算により、表示しているidealトラフィックでwifiリンク（たとえば20Mbps）を飽和させることができるかどうかがわかります。最初の3〜4バイトの回復には2時間、最初の256バイトのほぼ完全な回復には約10日。 （これは帯域幅を考慮に入れているだけであり、分析のCPU要件は無視できます。）

これは RC4の問題はかなり古い であり、新しいバイアスの定量化のみです。

私はRC4よりもAES暗号を推奨しました（BEASTはクライアント側の問題です。この時点でユーザーがまだ脆弱なブラウザーを使用している場合は、解決する必要があるより大きな問題がある可能性があります）。

これらの問題の一部は（IMHO）少し強調されていますが、最良の結果は、TLSv1.1以降のクライアントとサーバーの統一サポートに向けてさらに進歩しています。 BEASTが公開された頃、 サポートはかなり貧弱でした 。

6
mr.spuratic