Het Nationaal Cyber Security Center (NCSC) waarschuwt beheerders om het RC4 encryptiealgoritme niet meer te gebruiken om verkeer mee te versleutelen. Halverwege maart gaven onderzoekers een demonstratie hoe een kwetsbaarheid in RC4 het mogelijk maakt om versleuteld verkeer te onderscheppen. Een aanvaller zou bijvoorbeeld het session cookie uit het HTTPS verkeer kunnen halen.

Hierdoor is het mogelijk om de inlogsessie van de gebruiker over te nemen. RC4 wordt onder andere in het Transport Layer Security-protocol (TLS) gebruikt. Dit protocol biedt meerdere vormen van versleuteling voor het beveiligen van verkeer. Deze vormen vallen in twee categorieën uiteen: versleuteling per blok bits (block cipher) of versleuteling van de stroom bits een voor een (stream cipher).

BEAST
De afgelopen jaren zijn er twee aanvallen gevonden op de block ciphers die TLS biedt: BEAST en Lucky 13. Als reactie op deze aanvallen hebben veel organisaties besloten om in hun TLS-implementaties alleen nog maar stream ciphers toe te laten, op basis van RC4-encryptie, zo stelt het NCSC.

Aangezien de recente aanval zich op RC4 in TLS richt en de BEAST-aanval in de meeste browsers is verholpen, geeft de overheidsorganisatie het advies om RC4 niet meer te gebruiken als cryptosysteem voor TLS.