幹壞事是進步最大的原動力
在 Twitter 上看到 18F 貼了 DHS 的新規定：「Enhance Email and Web Security」。
Just launched by our friends at DHS! A new federal directive to require DMARC and STARTTLS, and to cut RC4 and 3DES: https://t.co/gp5G7A6LMA pic.twitter.com/6V4UJ9sGIo
— 18F (@18F) October 16, 2017
郵件系統的部份，要求要有 STARTTLS，並且設定 SPF 與 DMARC。另外禁用 SSLv2 與 SSLv3，以及 RC4 與 3DES。
網站的部份，則是要求 HTTPS 以及 HSTS。另外也與郵件系統一樣禁用 SSLv2、SSLv3，以及 RC4 與 3DES。
不只 18F 一個單位在推動，這樣整體的速度才會加快...
看到「OpenSSL 1.1.0 released」這篇得知大家期待已久的 OpenSSL 1.1.0 出了，在 1.1.0 的重要新功能中，對 ChaCha20 + Poly1305 的支援算是大家等很久的：
- Support for ChaCha20 and Poly1305 added to libcrypto and libssl
由於 RC4 已經被證明不安全，OpenSSL 內變成沒有堪用的 stream cipher，這邊總算要補上來了...
另外兩個也頗有趣的：
- Support for scrypt algorithm
- Support for X25519
多了些東西...
Gmail 的 SMTP 決定在近期內拔掉 SSLv3 與 RC4 了：「Disabling support for SSLv3 and RC4 for Gmail SMTP in 30 days」。
Gmail 的 SMTP 應該是 Google 少數還支援 SSLv3 與 RC4 的服務？總算是要拔了...
雖然才 Beta 1，但 OpenSSL 先放出 1.1.0 的 Release Notes 了：「OpenSSL 1.1.0 Series Release Notes」。
有幾個新的功能以及重大的改變，包括了對 ChaCha20 與 Poly1305 的支援，並且把 SSLv2、RC4、所有 40bits 與 56bits 的 cipher 拔掉，然後支援 Certificate Transparency。
讓人頗期待... 不知道來不來得及跟上 Ubuntu 16.04？
在 Twitter 上看到對 RC4 的新攻擊，可以直接攻擊 TLS 與 WPA-TKIP，沒有 workaround：「All Your Biases Belong To Us: Breaking RC4 in WPA-TKIP and TLS」。
對 TKIP 可以在一個小時內打下來：
In practice the attack can be executed within an hour.
對於 TLS 則是 75 個小時有 94% 成功率，實際測試時只用了 52 個小時就順利攻下來：
We also attack TLS as used by HTTPS, where we show how to decrypt a secure cookie with a success rate of 94% using 9·227 ciphertexts. This is done by injecting known data around the cookie, abusing this using Mantin's ABSAB bias, and brute-forcing the cookie by traversing the plain-text candidates. Using our traffic generation technique, we are able to execute the attack in merely 75 hours.
When we tested the attack against real devices, it took merely 52 hours to successfully perform the attack.
看起來唯一的解法是停用...
SSL Labs 的「SSL Server Test」是個經常被拿來檢測 SSL/TLS 相關設定的服務。
這兩天公佈了對 RC4 的退役計畫：「SSL Labs RC4 Deprecation Plan」。
分成兩個階段進行。
第一個階段會在五月啟用，對於因為需要支援舊的 client 而針對 SSLv3/TLSv1 + RC4 組合的，會給予 B 評價。而全面支援 RC4 的 (包括 TLSv1.1+) 則會給予 C 評價。
到了第二階段 (暫定九月)，全面支援 RC4 的將會給予最低的 F 評價。
在「RC4 must die」這個網站寫的真直接，正式標題是「Attacks Only Get Better: Password Recovery Attacks Against RC4 in TLS」。
可以在 226 次嘗試取得 TLS 裡傳輸的 password，相較於之前的 234 低了非常多。另外論文裡也說明了他們成功實作 PoC，取得 IMAP (TLS) 與 HTTP Basic Auth (TLS) 的密碼部份。
不過 RC4 的使用率比想像中高好多 (出自 ICSI Certificate Notary project 的「Connection Cipher Details」數據)：
Despite 2013's high-profile attacks on the RC4 algorithm in TLS, its usage is today (March 2015) still running at about 30% of all TLS traffic.
現在的超級低標應該是 TLS 1.0 的 3DES (給 Windows XP + IE8 的情況下用)，不過也已經不夠安全，能拔掉的就先拔...
在 Firefox 36 的 Release Notes 內宣佈預設啟用 HTTP/2：
Support for the full HTTP/2 protocol. HTTP/2 enables a faster, more scalable, and more responsive web.
另外 Firefox 36 也拔除 RC4：
No longer accept insecure RC4 ciphers whenever possible
接下來應該是 Google Chrome 預設啟用，以及 nginx 的 server implementation...
CloudFlare 同時宣佈了停用 RC4 與支援 ChaCha20+Poly1305 的計畫：「End of the road for RC4」、「Do the ChaCha: better mobile performance with cryptography」。
2014 年年初的時候，CloudFlare 先把 RC4 從 TLS 1.1+ 的連線拿掉，而 2014 年五月時，再把 RC4 搬到 cipherlist 裡優先權最低的，成功的讓 99.9991% 的 request 改用 AES 與 3DES (大約五個 9 )：
而九個月後的現在，CloudFlare 上 RC4 使用的比率則是降到了 0.000002%，反過來說也就是 99.999998% 的等級 (七個 9)，也讓 CloudFlare 決定直接停用掉 RC4。
另外一個重大的新進展則是 ChaCha20+Poly1305，兩個都是 Daniel J. Bernstein 的作品。其中 ChaCha20 是 stream cipher，Poly1305 是 MAC。
由於 RC4 已經不夠安全，在行動平台上要夠安全必須使用 AES，但 AES 在 ARM 上面還沒有普及：在 Nexus 6 用的 ARMv7 不支援，是透過 Qualcomm Snapdragon 805 的加掛模組做的，而在低階手機支援度就更不用說了。
Google 大力推動 ChaCha20+Poly1305 的目的，是為了在行動平台上找到一個與 RC4 可以匹敵的速度，而且有著可以超越 AES-GCM 安全性的 cipher+MAC。
在 CloudFlare 採用 ChaCha20+Poly1305 前，Google 是唯一一個在 HTTPS 上大幅採用的單位，而瀏覽器的部份也只有 Google Chrome 有支援。雖然 Firefox 一直有喊著要支援，但這是個雞生蛋蛋生雞的問題，可以看到進度不怎麼快 (Bug 917571 - Support ChaCha20+Poly1305 cipher suites)。
CloudFlare 支援之後，使用 ChaCha20+Poly1305 的 pool 瞬間大了不少。可以看到一上線的使用率不算低，瞬間就有 10% 了：
希望可以推動 Firefox 快一點支援... (這是養大 pool 的下一步)
在 Twitter 上看到 Jeff Barr 轉貼自論壇的公告：「Announcement: Elastic Load Balancing releases security update to disable RC4」。
ELB Security Update - Disable RC4 - http://t.co/vQiGko8IR3 (follow directions to update existing ELBs). #aws pic.twitter.com/jHMOg9cbg0
— Jeff Barr (@jeffbarr) February 12, 2015
既有的 ELB 不受影響，不過官方還是建議把現有的 RC4 關閉。新開的 ELB 如果需要 RC4 也還是可以手洞開回來：
If you require RC4 ciphers you can re-enable them by selecting the 2014-10 SSL Security Policy or by manually configuring the SSL ciphers used by the load balancer.