16-07-2015, 16:47 door Anoniem: RC4 is volgens mij al in 2010 onveilig verklaard, net als RC5. Was er nog geen proof of concept dan, dat dit nieuws is? Dat door Vanhoef en Piessens is aangetoond dat een aanval nu in enkele dagen i.p.v. enkele maanden mogelijk is, zou amper nieuws zijn als niemand het meer zou gebruiken. Helaas wordt RC4 nog ontzettend veel gebruikt, bijvoorbeeld door 2 webservers van een gemeente die recentelijk een bonus heeft uitgeloofd voor kwetsbaarheden die iemand als jij ontdekt (mits je die volgens hun voorwaarden aan ze meldt). Zie ook https://www.security.nl/posting/423314/Onderzoekers+onthullen+SSL-aanval+via+13-jaar+oud+RC4-lek en mijn bijdrage daaronder voor de recente historie van RC4 (o.a. een formeel "verbod" op het gebruik daarvan in RFC7465). De vraag is vooral wat er nog moet gebeuren om beheerders en softwarefabrikanten ertoe te brengen te stoppen met het gebruik van ombetrouwbare cryptografie. Ik sluit niet uit dat ook dit nieuws als een theoretische aanval wordt ...