正如人们所期待的那样，谷歌公司在上一周正式宣布，他们将停止对RC4加密技术以及SSLv3协议的技术支持。因为在过去的这么多年时间里，研究人员已经在这两种技术中发现了大量的设计缺陷。

Adam Langley是谷歌公司的一名安全工程师，他在周四所发表的一篇文章中正式宣布了谷歌公司的这一计划。尽管他并没有提及该计划实施的具体时间，但Langley表示，谷歌公司正在计划从公司旗下的前端服务器，Chrome浏览器，安卓系统，网络爬虫，以及SMTP服务器中停止对RC4流密码以及SSLv3协议的技术支持。

实际上，谷歌公司的这一举措并不会引起人们过多的惊讶。

谷歌公司在去年就曾发表过一份关于SSLv3漏洞的简要分析报告，根据谷歌公司的描述，所有的SSLv3协议都存在有这些漏洞，利用这些漏洞，黑客可以通过中间人攻击等类似的攻击方式获取到目标设备的传输数据（例如cookies）。

网络工程公司Task Force就曾在一篇互联网标准跟踪文件中提到过SSLv3协议的设计缺陷，并认为该协议的安全性能不高，甚至任意一个版本的安全传输层协议（TLS）都比SSLv3协议安全得多。

Langley还在文章中提到，RC4加密技术诞生于1987年，距今已经有28年的历史了。在早期应用时，该技术还可以称得上是一个实用性较高的加密技术，但随着时间的推移，越来越多的网络攻击开始针对RC4了，而RC4加密技术中的设计缺陷将导致安全传输层协议的会话信息（TLS会话）受到黑客的攻击，以及cookie数据被解密。

除此之外，谷歌公司还表示他们将会继续对TLS客户端提供技术支持，并公布了一个最低标准的集合。根据文章的内容，谷歌公司最终将会在公司旗下的设备中采用下列标准：

－设备必须支持TLS 1.2；

－服务器名字指示（SNI）必须引入握手机制，而且必须包含可链接的域名地址；

－密码套件TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256必须支持P-256；

－设备至少要信任来源于https://pki.google.com/roots.pem#sthash.mceaAuo2.dpuf的证书。

－证书的处理必须能够支持DNS主题备用名称；

Langley表示，那些不符合上述要求的设备仍然可以继续使用，但据了解，那些不符合上述要求的设备有可能会受到TLS协议变更的影响。

Langley在文章中写到：“如果你的TLS客户端，web服务器或者电子邮件服务器仍然在使用SSLv3协议或者RC4加密技术的话，你早就该对这些设备进行更新了，但是现在更新也不迟，毕竟晚做总比不做的好要。但用户需要注意的是，如果你目前仍然在使用RC4加密技术的话，这并不意味着你的客户端或者网站将会停止工作，因为TLS将会与设备中的密码套件自动进行适配。但是，如果你的设备仅支持RC4加密技术的话，那么可能就会产生一系列的问题了。”

在这个月的月初，Langley曾在一封发送给security@chromium.org的电子邮件中粗略地描述了他们将取消支持RC4加密技术的计划，并表示下一个版本的Chrome浏览器将禁用RC4加密技术，该计划具体的实施时间大约为2016年的一月份或者二月份。

谷歌公司表示，SSLv3 回退将导致攻击者可以强制使网站的连接使用 SSLv3 加密，而研究人员已经在这个版本的 SSL协议中发现了安全漏洞。一些只支持 SSLv3 的 HTTPS 服务器可能会无法正常使用，但解决的办法只能是修复这些 HTTPS 服务器。公司计划将在下一版本的Chrome浏览器中完全禁用 SSLv3协议，当然我们会一直关注这个问题的兼容性影响范围。

文章原文链接:https://www.anquanke.com/post/id/82442