Connexion

Catégories

Droit Économie Flock Hardware IA Internet Logiciel Sciences Sécurité Société

Nous Suivre

Contact rédaction Contact site Forum
Flux RSS GitHub Discord

À propos

Abonnez-vous

Chiffrement : plus de RC4 dans Edge et Internet Explorer 11

Sans regret

Chiffrement : plus de RC4 dans Edge et Internet Explorer 11

Le 11 août 2016 à 08h30

L’algorithme de chiffrement RC4 vit ses derniers temps, après qu’une majorité d’éditeurs ont annoncé son abandon. Dernier en date, Microsoft, qui a profité des dernières mises à jour pour le désactiver dans Edge et Internet Explorer 11.

RC4 (Rivest Cipher 4) est un algorithme de chiffrement qui n’est plus de première jeunesse. Conçu en 1987 au sein des laboratoires de la société RSA, il a été utilisé dans certains protocoles de sécurité, notamment WEP pour les réseaux Wi-Fi ou d’anciennes versions de SSL. Depuis, tout comme ces protocoles, il n’est plus considéré comme sûr, de nombreuses attaques ayant montré notamment que son générateur de chiffres aléatoires privilégiait certaines séquences d'octets.

Presque plus aucun navigateur ne gère RC4 désormais

L’année 2016 est bien partie pour sonner le glas du RC4. Firefox a été le premier à en être débarrassé dès janvier avec la version 44. Puis ce fut au tour de Chrome 49, avec là encore un retrait du support. Un changement qui a rejailli peu de temps après sur Opera, qui a même publié une dernière mise à jour pour l’ancienne branche 12.X du navigateur.

Cette vague de suppression faisait en fait écho à un message fort envoyé par l’IETF (Internet Engineering Task Force) en février 2015 : RC4 ne devait plus être considéré comme sûr. Il était demandé à l’ensemble des éditeurs, des sites et autres de s’en débarrasser au profit de la révision 1.2 de TLS. Dans un billet, Microsoft indique que l’algorithme n’est désormais plus présent dans Edge et Internet Explorer 11.

Pas de changement notable à prévoir

Son champ d’utilisation était déjà largement réduit, car il ne servait plus que de « fallback » depuis TLS 1.2, c’est-à-dire quand ce dernier ne pouvait pas être utilisé, pour une raison ou une autre. Sur une vieille architecture, la connexion pouvait retomber sur TLS 1.0 avec RC4. Selon l’éditeur, ce genre de cas rare provient habituellement d’une erreur « innocente », mais il est impossible côté utilisateur de distinguer cette bascule d’une attaque de type « homme du milieu ».

L’éditeur recommande le passage à TLS 1.2 depuis novembre 2013, via un bulletin de sécurité. Il estime actuellement que le nombre de connexions non sécurisées s’appuyant sur RC4 est très bas et continue de chuter. Microsoft ne s’attend pas à ce que les utilisateurs remarquent le changement, pas plus finalement que pour Chrome ou Firefox il y a quelques mois.

Commentaires (32)

Vous devez être abonné pour pouvoir commenter.

Abonnez-vous
votre avatar

Le rc4 c’est so 1996 !

votre avatar

Bon, aucun navigateurs récent ne proposent plus le RC4.



Maintenant, il faudrait que les serveurs le vire de leur infrastructure mais cela pose le problème des vieux navigateurs …

votre avatar

Sur le coup j’ai lu : “Chiffrement : plus (+) de RC4 dans Edge et Internet Explorer 11”

Me faites plus de fausse joie comme ça, je pensais avoir un argument massue pour dire aux gens de ne jamais utiliser IE11/Edge

votre avatar







Soriatane a écrit :



Bon, aucun navigateurs récent ne proposent plus le RC4.



Maintenant, il faudrait que les serveurs le vire de leur infrastructure mais cela pose le problème des vieux navigateurs …









un vieux navigateur n’a aucune raison d’être utilisé en même temps…

et les version LTS sont suffisamment récente, pour FF c’est la 45 il me semble


votre avatar



RC4 (Rivest Cipher 4) est un algorithme de chiffrement qui n’est plus de

première jeunesse. Conçu en 1987 au sein des laboratoires de la société

RSA



 

1987 ? Trop vieux ?&nbsp;<img data-src=" />

votre avatar







Soriatane a écrit :



Bon, aucun navigateurs récent ne proposent plus le RC4.



Maintenant, il faudrait que les serveurs le vire de leur infrastructure mais cela pose le problème des vieux navigateurs …





Je travaille avec le Credit Agricole, on leur fait des sites web, et ils veulent qu’on soient compatible IE11 … et ils veulent de la sécu….&nbsp;<img data-src=" />


votre avatar

IE11 ça va encore, par exemple pour RC4 il suffisait de ne pas la choisir quand le client la listait dans ses cipher suites.

Y a 2 ans j’avais du developpé un site web compatible IE8, la on commence à s’amuser pour que la mise en page marche encore ^^

votre avatar

Si tu fais de la sécu comme tu conjugues les verbes à la troisième personne du singulier, j’ai peur…

votre avatar

C’est une obligation pour les anciens softs maison…&nbsp;

(a cause de l’absence/&nbsp;non respect des standards)

&nbsp;&nbsp;

IE6 a eu une trèèèèèès longue vie a près sa mort officielle.

votre avatar







boogieplayer a écrit :



Je travaille avec le Credit Agricole, on leur fait des sites web, et ils veulent qu’on soient compatible IE11 … et ils veulent de la sécu….&nbsp;<img data-src=" />





C’est un peu votre boulot, non ? xD IE11 n’est pas un vieux navigateur et il est toujours mis à jour par Microsoft, ça me semble être un peu la moindre des choses que les sites des&nbsp;banques soient compatibles avec ce navigateur.


votre avatar







Cedrix a écrit :



Si tu fais de la sécu comme tu conjugues les verbes à la troisième personne du singulier, j’ai peur…



heu ? à quelle moment j’ai utiliser le “il” ou le “elle” ?





Tetram100 a écrit :



IE11 ça va encore, par exemple pour RC4 il suffisait de ne pas la choisir quand le client la listait dans ses cipher suites.

Y a 2 ans j’avais du developpé un site web compatible IE8, la on commence à s’amuser pour que la mise en page marche encore ^^





<img data-src=" /><img data-src=" />


votre avatar

“et ils veulent qu’on soient compatible IE11”

on = 3eme personne du singulier

(et quand bien même, le “soient” aurait impliqué un s à compatible)

votre avatar







Pr. Thibault a écrit :



C’est un peu votre boulot, non ? xD IE11 n’est pas un vieux navigateur et il est toujours mis à jour par Microsoft, ça me semble être un peu la moindre des choses que les sites des&nbsp;banques soient compatibles avec ce navigateur.





On peut le voir comme ça, c’est vrai. MAIS.



1/ ça pose des problème de possibilités technique : IE11 n’as plus que des correctifs de sécurité, pas de fonctionnalité. Du coup ce qu’on peut faire avec Edge ou Chrome ou Firefox, tu ne peux pas le faire avec IE11, ça oblige à des ligne de code en plus ou particulières. Ce qui augmente les coups de dev. Tu comprendras doute mieux avec ce lien : &nbsp;http://caniuse.com/&nbsp;et plus le temps va passer plus les lacunes de IE11 vont nous poser problème.



2/ problème juridique, quand tu bosses avec le C.A tu signe des contrat qui t’engage juridiquement et pécuniairement sur le fonctionnement et la sécurité. Nos CGV prennent ça en charge en “échange” de leur garantie d’utiliser des navigateurs à jours et une politique de mots de passes qui tiennent la route. &nbsp;


votre avatar







WereWindle a écrit :



“et ils veulent qu’on soient compatible IE11”

on = 3eme personne du singulier

(et quand bien même, le “soient” aurait impliqué un s à compatible)





Bon, effectivement, les faute de frappe ou les coquille c’est pour tout le monde. &nbsp;Ta remarque NOUS a touché, merci à toi.


votre avatar

Quand je vois que je n’ai que le choix d’un password &nbsp;à 6 chiffres pour protéger mon compte, et que mon identifiant est égal à mon numéro de compte, ça me fait bien marrer les mots “politique de mot de passe ” et “crédit agricole” ensemble&nbsp;<img data-src=" />

C’est une des raisons qui m’ont fait partir d’ailleurs…

votre avatar

à titre perso, je pars du principe que le troll sur l’ortho/la conjugaison est débile et sans apport à la discussion (parce qu’en général même pas drôle) <img data-src=" />

Je répondais juste à ta question <img data-src=" />

votre avatar







egoz a écrit :



Quand je vois que je n’ai que le choix d’un password &nbsp;à 6 chiffres pour protéger mon compte, et que mon identifiant est égal à mon numéro de compte, ça me fait bien marrer les mots “politique de mot de passe ” et “crédit agricole” ensemble&nbsp;<img data-src=" />

C’est une des raisons qui m’ont fait partir d’ailleurs…





J’ai rendez vous demain avec eux justement pour une extension de projet, on va se marrer encore tiens&nbsp;<img data-src=" />


votre avatar







WereWindle a écrit :



à titre perso, je pars du principe que le troll sur l’ortho/la conjugaison est débile et sans apport à la discussion (parce qu’en général même pas drôle) <img data-src=" />

Je répondais juste à ta question <img data-src=" />





Pas de prob, j’avais compris&nbsp;<img data-src=" />


votre avatar

Sur une grande population d’utilisateurs, demander un mot de passe trop complexe (chiffres, minuscules, majuscules, caractères spéciaux, longueur de 12 caractères) risque de provoquer chez les plus béotien des mots de passe faible car trop semblable entre eux et pas assez aléatoire et ressemblant trop à des mots de passe déjà utilisés ailleurs.

Tu oublies aussi que souvent les banques limites le nombre d’essai possible.



Il faut parfois mieux une politique de mot de passe moins exigeante mais mieux suivie, la sécurité de l’ensemble de l’édifice sera meilleur.



Exemple: la CB demande un code à 4 chiffre avec 3 essais et personne ne dit que sa sécurité est pourrie.

votre avatar

Je peux ? Je peux ?



Vu que le “on” ici représente un pluriel, le verbe est bien au singulier mais “compatible” doit être au pluriel et donc prendre un “s” !



C’est tellement simple la langue française <img data-src=" />

votre avatar







Edtech a écrit :



Je peux ? Je peux ?



Vu que le “on” ici représente un pluriel, le verbe est bien au singulier mais “compatible” doit être au pluriel et donc prendre un “s” !



C’est tellement simple la langue française <img data-src=" />





Sérieux ?

j’aurais dit qu’on se fichait de qui représentait le “on” pour n’accorder qu’avec ce qu’il est (pronom indéfini singulier… comme “la plupart”) <img data-src=" />


votre avatar

Eh oui, il faut bien que les sites soient accessibles pour le personnel de la banque.

Beaucoup de banques viennent de passer sous Windows 7, il faut déjà que les applicatifs existants tournent avec. C’est loin d’être évident.

votre avatar

Et oui, et je peux te dire que tout le monde fait l’erreur !



D’ailleurs, on le remarque tout de suite au féminin : “On est trop belles !” et pas “On est trop beau !”.

votre avatar

Pour la CB la différence c’est qu’en plus d’avoir une authentification par un élément de connaissance (le code) tu as une identification par un élèment physique (la carte).



Je trouve justement que les politiques d’authentification des banques françaises sont desastreuses. Franchement à quoi ça sert d’imposer les mots de passes à 6 chiffres ? Ca rend l’authentification ultra faible et ne repose sur aucune justification technique (et ne parlons pas du pseudo clavier virtuel qui n’a jamais rien protégé). Dans d’autre pays la plupart des banques donnent des boitiers qui génères des codes uniques par exemple. En France les banques préfèrent faire des économies et ne pas changer leurs habitudes.



Mais je suis d’accord que demander un mot de passe trop complexe peut reduire son entropie. Mais il y a un milieu entre ce que demande les banques et des mdp de 12 caractère mini.

votre avatar







Edtech a écrit :



Et oui, et je peux te dire que tout le monde fait l’erreur !



D’ailleurs, on le remarque tout de suite au féminin : “On est trop belles !” et pas “On est trop beau !”.





Anéfé, vu comme ça.

(Après je pourrais être tatillon et signaler que l’usage du on à la place du nous est en soi une faute à l’origine et que “on” étant indéfini, lui accoler un attribut est bizarre <img data-src=" /> )



fin du HS linguistique ;)


votre avatar

A quel moment (moment est singulier), j’ai utilisé (utiliser est un participe passé dans ce cas-ci).



Je ne voulais pas te prendre en grippe mais c’était trop tentant (désolé :rouge:)

votre avatar

Tu sais la part de marché mondiale d’Internet Explorer ? Rien qu’en France c’est énorme, il faut donc que ça soit compatible avec tous les principaux navigateurs.

votre avatar

Ce qui est amusant, c’est que le RFC qui interdis le RC4 à été écrit par Microsoft.

Dommage que Skype for Business nécessite toujours ce RC5

votre avatar







Z-os a écrit :



Eh oui, il faut bien que les sites soient accessibles pour le personnel de la banque.

Beaucoup de banques viennent de passer sous Windows 7, il faut déjà que les applicatifs existants tournent avec. C’est loin d’être évident.





Tu as 100% raison. C’est même impossible pour eux dans beaucoup de cas pour être honnête, c’est un casse tête technique et sécuritaire.


votre avatar







Cedrix a écrit :



A quel moment (moment est singulier), j’ai utilisé (utiliser est un participe passé dans ce cas-ci).



Je ne voulais pas te prendre en grippe mais c’était trop tentant (désolé :rouge:)





<img data-src=" /> <img data-src=" />


votre avatar







matroska a écrit :



Tu sais la part de marché mondiale d’Internet Explorer ? Rien qu’en France c’est énorme, il faut donc que ça soit compatible avec tous les principaux navigateurs.





Hélas. Mais ça baisse au profit de edge, c’est pas si mal !<img data-src=" />


votre avatar

[quote::5716112:Z-os].[/quote]

Chiffrement : plus de RC4 dans Edge et Internet Explorer 11

  • Presque plus aucun navigateur ne gère RC4 désormais

  • Pas de changement notable à prévoir

Fermer