谷歌計劃這周開始正式放棄支持流計算RC4和SSlv3協(xié)議。二者都有很長的歷史，它們也曾暴露出了很多漏洞。

該計劃預(yù)計將在周四發(fā)布，谷歌意在2016年在其所有的前端服務(wù)器，Chrome，Android，webcrawlers和SMTP服務(wù)器放棄使用RC4和SSLv3。國際互聯(lián)網(wǎng)工程任務(wù)組(IETF)早在今年六月宣稱SSLv3死亡，并明確指出其危險性——任何版本的TLS都比SSLv3安全。

不安全導(dǎo)致被淘汰

去年11月谷歌就禁止了SSLv3的回落機制以應(yīng)對POODLE攻擊。POODLE攻擊技術(shù)允許攻擊者強制服務(wù)器放棄先進的協(xié)議SSL/TLS轉(zhuǎn)而使用更低級的SSLv3，許多TLS客戶端支持降級機制，第一次握手提供能支持的最高協(xié)議版本,如果握手失敗就用更原始的協(xié)議。這需要控制受害者的網(wǎng)絡(luò)連接，并在其瀏覽器中執(zhí)行一些腳本。可是當時谷歌還依然支持SSLv3，沒有完全廢除這項已經(jīng)16歲的協(xié)議。

RC4已經(jīng)28歲了，最初它很好用，今年來成為了綜合攻擊的目標，一些可以延伸到解密會話和cookie。RC4是流密碼，用隨機數(shù)加密明文，沒有密鑰就不能解密。但是用來加密的隨機數(shù)不像預(yù)想的那樣隨機，至少在進程開始攻擊者可以利用足夠的TLS請求解密出明文。

谷歌宣布了一些未來TLS客戶端的最低安全性標準

1,TLS 1.2一定支持

2,一個服務(wù)器名字特征(SNI server name indication)擴展一定要包含在握手包里，還要包含將要鏈接的域名

3,至少https://pki.google.com/roots.pem 的證書要信任

4,證書操作一定能支持DNS Subject Alternative Names 并且這些CAN 包含一個單獨的通配符作為名字最左邊的標簽。

安全專家Langley說：不滿足需求的設(shè)備不會很快就停止，但也承認目前的現(xiàn)狀會維持到2020年。

如果你的TLS客戶端，web服務(wù)器或者郵件服務(wù)器使用SSLv3或RC4，建議你立即更新。然而不更新不意味著無法工作，TLS可以做替代工作，但是如果你只支持RC4那就要出問題了。