Slik blokkerer du den usikre RC4-koderen i Firefox og Chrome
- Kategori: Sikkerhet
Hver gang du kobler deg til et sikkert nettsted ved hjelp av Firefox eller en annen moderne nettleser, skjer det forhandlinger i bakgrunnen som avgjør hva som brukes til å kryptere forbindelsen.
RC4 er en strømkryptering som for øyeblikket støttes av de fleste nettlesere, selv om den bare kan brukes som et tilbakeslag (hvis andre forhandlinger mislykkes) eller for hviteliste nettsteder.
Utnytter ha kommer fram i nyere tid som drar fordel av svakheter i RC4 som lar angripere kjøre angrep i en rimelig tidsramme, for eksempel å dekryptere webkaker som ofte inneholder autentiseringsinformasjon.
Mozilla ønsket å fjerne RC4 fra Firefox helt opprinnelig i versjon 38 eller 39 av nettleseren, men bestemte seg for det basert på telemetri-data. Slik det står akkurat nå, vil ikke RC4 være deaktivert i Firefox 39 eller 40.
Tips : du kan sjekke om nettleseren din er sårbar av besøker denne RC4 nettside. Hvis du ser røde varsler på siden etter at teksten er blitt utført, betyr det at den er sårbar for angrep.
Det må bemerkes at andre nettlesere, for eksempel Google Chrome, også er sårbare. Google jobber tilsynelatende også med slipper RC4 støtte fullstendig i Chrome
Deaktiverer RC4 i Firefox
Firefox-brukere kan slå av RC4 i nettleseren fullstendig. Det må bemerkes at noen sikre nettsteder kan fungere etter å ha gjort det.
- Skriv om: konfigurer i nettleserens adressefelt og trykk enter.
- Bekreft at du vil være forsiktig hvis du får en melding.
- Søk etter RC4 og Dobbeltklikk på følgende preferanser for å angi dem falsk .
- security.ssl3.ecdhe_ecdsa_rc4_128_sha
- security.ssl3.ecdhe_rsa_rc4_128_sha
- security.ssl3.rsa_rc4_128_md5
- security.ssl3.rsa_rc4_128_sha
Når du har gjort endringene, kan du laste inn testsiden som er lenket over. Du bør få meldinger om feil i tilkoblingen i stedet for advarsler når du gjør det.
Hvis du får problemer med å koble til sikre nettsteder etter å ha gjort endringene, kan det hende du trenger å gjenopprette støtten for RC4. Gjør dette, gjenta trinnene ovenfor og sørg for at verdiene til preferansene er satt til å være sant i etterkant.
Deaktiverer RC4 i Chrome
Prosessen er komplisert i Chrome, da du ikke bare kan bytte et par preferanser i nettleseren for å deaktivere RC4 i den.
Det eneste gyldige alternativet er å kjøre Chrome med kommandolinjeparametere som blokkerer RC4. Slik gjør du dette (instruksjoner for Windows).
- Høyreklikk på Chrome-snarveien i oppgavelinjen til operativsystemet, og høyreklikk igjen på Chrome, og velg egenskaper fra hurtigmenyen som åpnes.
- Dette skal åpne egenskapene til den kjørbare filen.
- Legg til --cipher bad-svarteliste = 0x0004,0x0005,0xc011,0xc007 som en parameter til slutten av mållinjen. Forsikre deg om at det er et mellomrom foran parameteren.
- Mållinjen ser slik ut på datamaskinen min etter å ha lagt til parameteren: C: Brukere Martin AppData Local Chromium Application chrome.exe --cipher-suite-blacklist = 0x0004,0x0005,0xc011,0xc007
- Merk: ditt vil variere basert på brukernavnet ditt og Chrome-versjonen du har installert.
Kommandoen legger RC4 til chiffer-svartelisten, slik at den ikke blir brukt av nettleseren. Hvis du kjører testen på nytt, vil du merke at den vil mislykkes (noe som er bra).