IT之家 12 月 16 日消息，微軟 Windows 身份驗(yàn)證團(tuán)隊(duì)負(fù)責(zé)人 Steve Syfuhs 于 12 月 11 日在 Bluesky 上宣布，微軟正準(zhǔn)備徹底廢除已存在 25 年的過(guò)時(shí)加密算法 RC4。

IT之家注：RC4 全稱(chēng)為 Rivest Cipher 4，是一種誕生于 1987 年的老式流加密算法，曾廣泛用于網(wǎng)絡(luò)傳輸加密。由于設(shè)計(jì)年代久遠(yuǎn)，存在嚴(yán)重安全漏洞，就像一把鎖芯已經(jīng)生銹且配方泄漏的舊鎖，極易被撬開(kāi)。

他指出，該加密算法伴隨 Windows 系統(tǒng)發(fā)布長(zhǎng)達(dá) 25 年，且長(zhǎng)期作為默認(rèn)選項(xiàng)，因此現(xiàn)在想要徹底“殺死”，其難度遠(yuǎn)超預(yù)期。

問(wèn)題的核心不僅在于算法本身的存在，更在于其被調(diào)用的方式以及跨越 20 年的代碼變更規(guī)則，開(kāi)發(fā)人員在過(guò)去二十年間發(fā)現(xiàn)了大量 RC4 的嚴(yán)重漏洞，并不得不進(jìn)行多次“外科手術(shù)式”的修復(fù)。

微軟原計(jì)劃于今年徹底廢除 RC4，但因發(fā)現(xiàn)仍需修復(fù)新漏洞而被迫推遲。在此期間，微軟引入了一系列“微小改進(jìn)”，旨在引導(dǎo)系統(tǒng)優(yōu)先使用更安全的 AES 加密算法。

這一策略效果顯著，RC4 的使用率隨后呈數(shù)量級(jí)下降，目前已趨近于零。Syfuhs 表示，這種自然衰退為徹底移除該算法提供了絕佳契機(jī)，因?yàn)榇藭r(shí)采取強(qiáng)硬措施已不太可能破壞用戶的現(xiàn)有業(yè)務(wù)環(huán)境。

RC4 的核心安全缺陷在于其在 Active Directory 身份驗(yàn)證中的實(shí)現(xiàn)方式：它不使用“密碼學(xué)加鹽（Salt）”技術(shù)，且僅執(zhí)行單輪 MD4 哈希運(yùn)算。

“加鹽”是一種在哈希之前向密碼添加隨機(jī)輸入的關(guān)鍵技術(shù)，能大幅增加黑客破解的難度。相比之下，MD4 算法運(yùn)算速度極快，黑客僅需極少資源即可完成破解。這種設(shè)計(jì)缺陷直接導(dǎo)致了著名的 Kerberoasting 攻擊，讓攻擊者能輕易竊取服務(wù)賬號(hào)憑證。

Kerberoasting 攻擊是針對(duì) Windows 域環(huán)境（Active Directory）的一種攻擊手法。黑客利用系統(tǒng)允許任何用戶請(qǐng)求服務(wù)票據(jù)的機(jī)制，提取出用弱加密（如 RC4）保護(hù)的票據(jù)，然后在離線環(huán)境下暴力破解密碼，進(jìn)而獲取管理員權(quán)限。

作為 RC4 的替代方案，微軟推廣的 AES-SHA1 實(shí)現(xiàn)方式則安全得多。綜合來(lái)看，破解 AES-SHA1 加密的密碼所需的時(shí)間和資源大約是破解 RC4 的 1000 倍。

盡管微軟已在系統(tǒng)層面采取行動(dòng)，但鑒于 RC4 在行業(yè)內(nèi)的廣泛應(yīng)用，微軟仍強(qiáng)烈建議 Windows 管理員全面審計(jì)網(wǎng)絡(luò)環(huán)境，確保沒(méi)有任何遺留的 RC4 配置，以免讓防御者陷入被動(dòng)。

廣告聲明：文內(nèi)含有的對(duì)外跳轉(zhuǎn)鏈接（包括不限于超鏈接、二維碼、口令等形式），用于傳遞更多信息，節(jié)省甄選時(shí)間，結(jié)果僅供參考，IT之家所有文章均包含本聲明。