Oltre a richiedere più risorse del server, ci sono degli svantaggi nel disabilitare l'uso di RC4 da parte di un server web Apache? La mia preoccupazione principale è impedire l'accesso da browser meno recenti.
Oltre a richiedere più risorse del server, ci sono degli svantaggi nel disabilitare l'uso di RC4 da parte di un server web Apache? La mia preoccupazione principale è impedire l'accesso da browser meno recenti.
Disattivare RC4 completamente sarebbe fantastico in un mondo ideale, ma sfortunatamente non viviamo in un mondo ideale. Se lo disabiliti, alcuni dispositivi mobili e integrati potrebbero non essere in grado di comunicare con te. Tieni presente che Internet Explorer in Windows XP può utilizzare RC4 solo perché l'API crittografica sottostante (CAPI) sul sistema non dispone di AES.
Per quanto riguarda il rischio, gli attacchi di polarizzazione RC4 sono generalmente considerati non fattibili a causa dei requisiti - dell'ordine dell'ordine di qualche miliardo di richieste. Anche se chiaramente non è buono, è anche molto difficile fare qualcosa di pratico con.
Al momento, a maggio 2015, raccomanderei quanto segue:
Tieni presente che questo è soggetto a modifiche: dovresti verificare la presenza di informazioni aggiornate in futuro.
In una configurazione del genere, tutti i browser meno recenti (vale a dire tutti i post-90) dovrebbero funzionare perfettamente e i browser moderni useranno il protocollo e le crittografie più potenti possibili.
Penso che tu stia facendo la domanda sbagliata. Per me, "Quanto saranno i miei utenti disturbati?", È molto meno importante di "Quanto sono sensibili le informazioni su questo server?" O "Quanto mi interessa se sia stato violato?".
Indurire un sistema porta solitamente a qualche inconveniente. Il livello di disagio che sei disposto a sopportare (e infliggere ai tuoi utenti) dovrebbe dipendere dal valore dei dati che stai cercando di proteggere. In altre parole, più un bersaglio è più prezioso, più è probabile che un hacker spenda le risorse per interrompere il tuo RC4.
RC4 ha dimostrato di essere danneggiato, quindi è probabilmente una cosa sensata disabilitarlo da un server web.
Non dovresti preoccuparti di tenerlo acceso solo per fornire l'accesso a browser Web obsoleti - dopo tutto, sono chiamati obsoleti per una ragione, e dare agli incentivi del visitatore l'opportunità di aggiornare il suo vecchio browser è buono.