Computerbeveiliging - Hoe je bad guys buiten de deur houdt

Nokia Ovi Store met 'lage' RC4-MD5 beveiliging als MAX

26-05-2009, 12:51 door Kukel, 8 reacties
Afgelopen nacht is de Nokia Ovi Store https://store.ovi.com/ open gegaan. Nu kreeg ik verbazendwekkend genoeg de volgende melding in FF:

Beveiligde verbinding mislukt

Fout tijdens het verbinden met store.ovi.com.

Kan niet beveiligd communiceren met peer: geen algeme(e)n(e) versleutelingsalgoritme(n).

(Foutcode: ssl_error_no_cypher_overlap)

Redelijk snel was het duidelijk waar dit door kwam. De cipher die de site wilde gebruiken was RC4-MD5, die ik (natuurlijk) had uitgezet. Vaag alleen dat dit de *hoogste* cipher lijkt te zijn die ze ingesteld hebben. Dat er voor een dergelijke grote (althans dat hoopt Nokia) site dan iemand zo matig met de beveiliging omgaat.

Ronald
Reacties (8)
26-05-2009, 15:08 door SirDice
Volgens mij is er niets mis met RC4 in SSL. Wel met de implementatie zoals gebruikt in WEP.
26-05-2009, 15:14 door Kukel
Het ging me ook helemaal niet over RC4 en zelfs niet zozeer over het feit dat ik MD5 'gewoon' had uitgezet, maar dat dit dan ook de meest 'sterke' cipher is die ze aanbieden. Terwijl het bij mij de ondergrens was (niet meer is dus) van wat ik accepteerde. Ik heb met RC4-MD5 uit namelijk op geen enkele andere site problemen.
26-05-2009, 15:29 door SirDice
MD5 is geen cipher maar een hash. MD5 heeft alleen als probleem dat er collisions mogelijk zijn. Niets om je zorgen over te maken met SSL.
26-05-2009, 15:35 door Kukel
I know, sorry. Heb daar de terminology van FF overgenomen, niet helemaal goed. Maar nogmaals het ging me erom dat het het MAXIMUM is dat ze bieden.....
26-05-2009, 15:37 door SirDice
Het heeft nog steeds de breedste ondersteuning. Maar goed, ze kunnen die ook als ondergrens aanbieden inderdaad. Waarschijnlijk is dit goed genoeg? Vergeet ook niet de kosten (performance) van de hogere crypto's. Die site is nu al niet vooruit te branden ;)
27-05-2009, 12:49 door rob
Door SirDice: MD5 is geen cipher maar een hash. [

Ik kan ook bij de hand doen. MD5 is een hash algoritme (of hash functie).

En RC4-MD5 is een cipher-suite.
28-05-2009, 01:27 door Anoniem
Een vraagje: is dit inmiddels gewijzigd op de site? Ik zie namelijk "Certificate Signature Algorithm: PKCS #1 SHA-1 With RSA Encryption" staan. Of is dit iets anders?
En hoe kan je uitschakelen deze oude certificaten te accepteren? (Ik weet alleen van de 'Use SSL 3.0' en 'Use TLS 1.0' opties)
28-05-2009, 11:32 door rob
Door Anoniem: Een vraagje: is dit inmiddels gewijzigd op de site? Ik zie namelijk "Certificate Signature Algorithm: PKCS #1 SHA-1 With RSA Encryption" staan. Of is dit iets anders?
En hoe kan je uitschakelen deze oude certificaten te accepteren? (Ik weet alleen van de 'Use SSL 3.0' en 'Use TLS 1.0' opties)

Dat is (zoals er staat) het 'certificate signature algorithm'. Dat is een verschil met de encryptie methode die gebruikt wordt voor het versleutelen van de verbinding zelf... In firefox kun je als je op het 'slotje' klikt de stream cipher zien onder 'technische details'. Als ik dat bij die site doe, zie ik: Beveiligde verbinding: hoge graad van versleuteling (RC4 128-bits).
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search