Heise berichtet, dass laut Jakob Appelbaum, dem TOR Entwickler, die NSA RC4 in Echtzeit brechen kann.

Gut, die meisten von uns dürften nicht auf dem Radar der NSA sein, aber es ist eine reale Gefahr. Geschäftsdaten, Banking usw. über einen Algorithmus, der nicht mehr sicher ist, das geht nicht.

Wer Mozilla Firefox benutzt, kann dort jedoch den RC4 Algorithmus blockieren, dann wird bei SSL Verbindungen AES benutzt.

Das geht so:

In der Adressleiste about:config eingeben. Eventuell kommt dann eine Sicherheitsbelehrung, das man wissen sollte, was man ab hier tut.

Dann gibt man in der Leiste Suchen: die Zeichen RC4 ein.

Dann wird unten eine Liste von Werten ausgegeben, die die Zeichenfolge RC4 enthält, rechts sieht man den eingestellten Wert, der kann false oder true lauten.

Alle Werte in dieser Liste stellt man nun auf false.

Dazu klickt man mit der rechten Maustaste auf den Wert und wählt umschalten.

Danach den Firefox neu starten.

Firefox verwendet RC4 jetzt nicht mehr. Man kann das dann bei seiner Bank Webseite testen, indem man in der Adressleiste links auf das Schloss klickt und dann in dem Info-Feld auf Weitere Informationen geht.

Bei den technischen Infos steht dann der benutzte Algorithmus. RC4 darf dann dort nicht mehr erscheinen.

Hier auch noch ein Artikel dazu
http://www.heise.de/newsticker…41383.html

Nochwas, wenn man RC4 im Firefox blockiert, kann man evt. manche verschlüsselte Webseiten nicht mehr benutzen!



Es gibt Webserver, die RC4 erzwingen, aus welchen Gründen auch immer.

Ein Beispiel ist die Ausweisapp-Webseite für den neuen Personalausweis:

https://www.ausweisapp.bund.de/

Wer RC4 blockiert, kann diese Webseite nicht mehr benutzen. Ich habe die mal angeschrieben, warum die RC4 erzwingen. Ich bin auf die Antwort mal gespannt.

Hi,

noch schöner:

vgl Artikel https://www.bsi.bund.de/DE/Pre…02013.html

mit

https://www.ssllabs.com/ssltes…si.bund.de

ROFL

vader, man muss den Artikel genau lesen, damit es nicht so schlimm ist wie es ist


und


Aber es ist trotzdem seltsam, dass die nicht wenigstens mit gutem Beispiel voran gehen :lool:

Denn das sollten die selbst auch beherzigen:

Microsoft Security Advisory (2868725)
Update for Disabling RC4
https://technet.microsoft.com/…ry/2868725

Die Browser-Hersteller greifen jetzt anscheinend durch und deaktivieren per default.

dh. für den User - mehr Sicherheit
und für den Server-Admin, nochmals zu prüfen, ob RC4 deaktiviert ist, denn bei einer Server-Analayse mit bspw. https://www.ssllabs.com/ssltest/analyze.html, erfolgt eine Abwertung und zudem folgender Hinweis