RC4暗号の脆弱性を使ったセッションハイジャック手法が発表される

2015年7月23日 19:22

あるAnonymous Coward 曰く、　 RC4暗号の脆弱性を使い、HTTPSでのWeb閲覧時にそのCookieを解読する新たな攻撃手法が見つかったそうだ（ITmedia）。

　この攻撃は、JavaScriptを使ってRC4で暗号化されたリクエストを大量に送信させるというもの。その大量の暗号化されたリクエストの中から、Cookieなどの繰り返し送信されるデータを解読するというものである。

　中間者攻撃が可能な状態でCookieが漏れた場合、サーバー側のCookieの取扱いによってはセッションハイジャックが行われる可能性がある。そのため公衆無線LANサービスを使う場合にはブラウザのRC4暗号を無効にするなどの対策が望ましい（RC4を無効にする方法）。

　発見者はRC4 NOMOREというサイトを立ち上げて、RC4を使わないよう注意喚起を行っている。