Включение набора шифров RC4 для Spring Boot Application

Question

Я пытаюсь включить комплекты шифров RC4 в Spring Boot Application(Приложение поддерживает только комплекты шифров JSEE http://docs.oracle.com/javase/7/docs/technotes/guides/security/SunProviders.html).

Приведенная выше ссылка имеет так много наборов шифров RC4, что все наборы шифров должны быть включены, чтобы избежать атаки BEAST? Есть ли способ поддержать шифр RC4 только для TLS v1.0 в Spring Boot Application?

Answer 1

Ваша информация немного устарела. Да, RC4 может быть использован для смягчения атаки BEAST. Положительным фактором RC4 в отношении BEAST является то, что это потоковый шифр, а не блочный шифр.

Однако RC4 как алгоритм шифрования имеет несколько недостатков, которые можно использовать для атаки на само шифрование.

Поэтому общая рекомендация по безопасности - вообще отключить шифры RC4.

Лучше обновить ваши системы и использовать только соединения TLS 1.2. Это также предотвращает Зверя.