4月の月例更新でIE 11とMicrosoft EdgeでのRC4暗号サポートがデフォルトで無効化へ

Microsoftは16日、Internet Explorer 11およびMicrosoft EdgeでのRC4暗号サポートを4月に終了することを発表した(Microsoft Edge Dev Blogの記事、 Neowinの記事、 VentureBeatの記事)。

4月12日の月例更新でパッチが配布され、デフォルトでRC4暗号は無効となる。RC4暗号の危険性は以前から指摘されており、Microsoftでは2013年からRC4暗号の無効化を推奨している。

昨年9月1日にはMicrosoftとGoogle、Mozillaが同時にWebブラウザーにおけるデフォルトでのRC4暗号無効化を2016年の早い時期に実施することを発表。GoogleとMozillaはそれぞれ1月にリリースしたFirefox 44とChrome 48でRC4暗号をデフォルトで無効にしている。

Operaも

[caret (47533)]

Opera 35 [opera.com]でRC4 暗号のサポートを削除したようです。
あとOpera 12.18 [it.srad.jp]も。

Re:Operaも

[Anonymous Coward]

Opera 15以降はだいたいOpera N==Chrome N+13だから何も驚きはない。Opera 12系が更新されたのは驚いたけど。
あとSSLv3を無効にする前にChromeは採用しなかった独自対策を導入したのにも驚いた。NPAPIのサポートを独自に継続していたりOpera 36(==Chrome 49はWindows XPをサポートする最後のバージョン)をLTSにしてセキュリティ修正をバックポートする予定だったりと、単なるChromiumのデッドコピーではなくそれなりに開発リソースを費やしている様子が伺える。

Re:

[Anonymous Coward]

加算では無くて減算ではないのか

Re:

[Anonymous Coward]

N=36の具体例まで書いてるのになぜそう思ったのか

Re:Operaも

[M-FalconSky (8868)]

数式的に書くと
Opera (n) == Chrome (n-13)
的になりそうだけどね

同じN使うとややこしくなるな...Opera m = Chrome n (m + 13 = n)
的なのがいいかな?

--
M-FalconSky (暑いか寒い)

Re:

[M-FalconSky (8868)]

やっぱなんか間違えてるな...
最初のはnに同じ数値なら
Opera (n) == Chrome (n+13)が正しいか

nをChrome側を正(というか基準)にしたくなっちゃうのがいけなかったかな

--
M-FalconSky (暑いか寒い)

Re:

[Anonymous Coward]

確かに Chrome 基準で考えたとき、
　Chrome のバージョンから 13 引いたのが Opera のバージョンになる
　→Chrome N-13 じゃね
と錯覚はするね。

printf("Opera %d==Chrome %d+13", N, N);
となら皆納得するかな

Macは安全だから安全です

[Anonymous Coward]

AppleはいつになったらSafariのRC4を無効にするんですかねえ。

Re:Macは安全だから安全です

[Anonymous Coward]

MSもサーバ側を早くデフォルトで無効化してほしいですよね

Re:

[Anonymous Coward]

BEAST対策として、SSL 3.0ではCBCモードを完全に無効化してRC4推しなんてアホなことやらかした前科持ちですからねぇ

Re:Macは安全だから安全です

[ogino (1668)]

まるで Apple が RC4推しをしたかのような言い方だが、そんな記憶は無いな。ソースはありますか。それとも単なるアンチですか。

JVNDB-2011-002305: SSL と TLS の CBC モードに選択平文攻撃の脆弱性 [jvndb.jvn.jp]でも、RC4 を優先する方法が紹介されている。

[ワークアラウンドを実施する]
以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

　・TLS 1.1 や TLS 1.2 を有効にする
　・RC4 アルゴリズムを優先して使用する

なお、これらのワークアラウンドを有効にするには、サーバとクライアントの双方で対応する必要があります。

"What is RC4?"以降は前回の記事のコピペ

[Anonymous Coward]

変わったのは、具体的な日程が発表されたことと他社ブラウザの事実関係についての更新だけですな。

なんでアンチM$(笑)は批判しないの?

[Anonymous Coward]

特に余計なことするな [it.srad.jp]とか言ってたヤツ

Re:

[Anonymous Coward]

まずどう批判して欲しいのか書かないと。

Re:

[Anonymous Coward]

業務で設定を変えられないサーバーもあるのにけしからん
互換性を大事にするとは何だったのか
Microsoft は謝罪と賠償を

みたいな？

Re:暗号化が危険？

[Anonymous Coward]

脆弱性が発見された暗号は平文と大差ないという事です。
まだ脆弱性が発見されていない強固な暗号を使用しましょう。

脆弱な暗号でも使用するとブラウザの画面では暗号化されてる表示になってしまい、技術に明るくない一般ユーザーは安全だと誤解してしまいます。