RC4 (ARCFOUR): Stream-chifferets funktion, anvendelse og sikkerhedsproblemer

RC4 (ARCFOUR): Lær hvordan det hurtige stream-chiffer fungerer, hvor det bruges (SSL/WEP/TLS) og hvilke alvorlige sikkerhedsproblemer der gør det risikabelt.

Inden for kryptografi er RC4 (også kendt som ARC4 eller ARCFOUR, der betyder Alleged RC4, se nedenfor) en af de mest udbredte software-stream ciphers. Den har været benyttet i populære protokoller som Secure Sockets Layer (SSL) (til beskyttelse af internettrafik) og WEP (til sikring af trådløse netværk). RC4 er kendt for at være enkel og hurtig, men der findes alvorlige sikkerhedsproblemer, især hvis starten af output-nøglestrømmen ikke fjernes, eller hvis en nøglestrøm genbruges; nogle måder at bruge RC4 på kan derfor resultere i meget usikre kryptosystemer, som fx WEP.

Hvordan RC4 fungerer

RC4 er en symmetrisk stream-chiffer, hvilket betyder, at kryptering og dekryptering sker ved at XOR'e plaintext med en pseudo-tilfældig nøglestrøm. Algoritmen består af to hoveddele:

• Nøgleplanlægningsalgoritmen (KSA): Starter med en hemmelig nøgle (typisk mellem 40 og 256 bit) og initialiserer en intern permutation S af 256 bytes. KSA blander permutationens tilstand ud fra den hemmelige nøgle for at opnå en initial tilstand.
• Generatoren for pseudo-tilfældig strøm (PRGA): Fra den initialiserede tilstand produceres en strøm af output-bytes ved hjælp af to indekser (ofte kaldt i og j), der opdateres og bruges til at bytte elementer i S og vælge en output-byte. Output-byten XOR'es med plaintext-byten for at producere ciphertext.

Konsekvensen er, at samme nøgle og samme initielle tilstand altid producerer samme nøglestrøm. Dette gør det ekstremt vigtigt, at nøglestrømmen ikke genbruges (se nedenfor om "two-time pad"). Implementationsmæssigt er RC4 meget let at kode og hurtigt i både software og hardware, fordi operationerne er simple byte-manipulationer og bytterskift.

Sikkerhedsproblemer og kendte angreb

RC4 opfylder på mange måder ikke de moderne standarder, som kryptograferne har fastsat for en sikker kryptering, og det anbefales derfor ikke at bruge RC4 i nye applikationer. De vigtigste sikkerhedsproblemer omfatter:

• Biases i nøglestrømmen: Tidlige bytes i RC4's nøglestrøm viser statistiske skævheder (biases). Disse kan udnyttes til at afsløre information om den hemmelige nøgle, især hvis mange krypterede meddelelser med samme eller relaterede nøgler analyseres. Mange angreb fokuserer derfor på de første hundreder eller tusinder bytes af strømmen.
• FMS-angrebet og WEP: Fluhrer–Mantin–Shamir (FMS) angrebet udnyttede svagheder i måden WEP brugte RC4 (især 24-bit IV'er, der blev kombineret med en hemmelig nøgle), hvilket førte til nem nøglegendannelse. Kombinationen af korte IV'er og gentagen brug af samme hemmelige nøgle gjorde WEP katastrofalt usikkert.
• Gendannelse af nøgle ved gentagen nøglestrøm: Hvis samme nøglestrøm bruges to gange (to-time pad), kan en angriber kombinere de to ciphertexts for at få XOR'en af de to plaintexts, hvilket ofte muliggør fuld eller delvis genoprettelse af data. Dette er et fundamentalt problem for alle stream-chiffre.
• Praktiske angreb mod TLS/SSL: Forskere fandt metoder til at udnytte RC4-biases i TLS-forbindelser, hvilket kunne føre til få-bit-lækager fra HTTP-cookies og andre sensitive data. På baggrund af sådanne angreb anbefalede standardorganer at udfase RC4 i TLS.
• Drop-N løsninger er utilstrækkelige: Nogle implementeringer forsøgte at forbedre sikkerheden ved at kassere de første N bytes af nøglestrømmen (fx RC4-drop-768 eller drop-3072). Dette reducerer visse biases, men fjerner ikke alle svagheder, og betragtes ikke som en tilstrækkelig løsning til moderne sikkerhedskrav.

Anvendelser og historik

RC4 blev skabt af Ron Rivest fra RSA Security i 1987. Det officielle navn er "Rivest Cipher 4". RC-forkortelsen er også blevet omtalt uformelt som "Rons kode" (se også RC2, RC5 og RC6). Algoritmen var oprindeligt en forretningshemmelighed, men i september 1994 blev en beskrivelse sendt til Cypherpunks-mailinglisten. Den blev derefter delt i sci.crypt og på mange websteder på internettet. Det blev bekræftet, at koden var ægte, fordi dens output matchede output fra proprietær software, som anvendte licenseret RC4. Når algoritmen er kendt, er den ikke længere en forretningshemmelighed, men navnet "RC4" er et varemærke, og derfor omtales den ofte som "ARCFOUR" eller "ARC4".

RC4 har været indbygget i mange populære krypteringsprotokoller og -standarder, herunder WEP og WPA til trådløse kort samt TLS. På grund af de nævnte svagheder er RC4 dog gradvist udfaset i moderne implementeringer og standarder.

Anbefalinger og sikre alternativer

På grund af dokumenterede svagheder anbefales det:

• Undgå RC4 i nye systemer og protokoller.
• Opgrader eksisterende systemer væk fra RC4 hvor muligt (fx opdater TLS-konfiguration til at bruge moderne AEAD-cifre).
• Brug moderne og godkendte alternativer som AES-GCM eller ChaCha20-Poly1305, som tilbyder både konfidensialitet og integritet (AEAD).
• For trådløse netværk: fjern brug af WEP og brug sikre protokoller som WPA2 eller WPA3 sammen med stærke nøgler.
• Følg officielle anbefalinger og standarder (fx IETF-beslutninger om udfasning af RC4 fra TLS) og hold software og biblioteker opdaterede.

Samlet set var RC4 vigtig i kryptografiens historie på grund af sin enkelhed og ydeevne, men dens statistiske svagheder og praktiske angreb gør den uegnet til moderne sikkerhedsbehov. Hvis man kun har adgang til systemer, der stadig understøtter RC4, bør man prioritere opgraderinger og migration til sikre alternativer.

Spørgsmål og svar

Spørgsmål: Hvad er RC4?

Sp: Hvem skabte RC4?

Spørgsmål: Hvordan blev algoritmen offentliggjort?

Spørgsmål: Er RC4 et varemærkebeskyttet?

Spørgsmål: Hvad er to grunde til, at det er blevet meget udbredt?

Spørgsmål: Hvordan fungerer krypteringsalgoritmen?

Spørgsmål: Er RC4 sikker til nye applikationer?

Søg efter bogstav