Om Windowsgebruikers tegen afluisteren te beschermen heeft Microsoft een update uitgebracht die het mogelijk maakt om een populair algoritme voor het versleutelen van internetverkeer uit te schakelen. Het gaat om het uit 1987 stammende RC4-encryptiealgoritme dat wordt gebruikt bij opzetten van een HTTPS-verbinding.

Dit jaar zijn er praktische aanvallen tegen RC4 gedemonstreerd die lieten zien dat een aanvaller versleuteld verkeer kan ontsleutelen. Daardoor is het volgens Microsoft niet meer veilig om Windowsgebruikers het algoritme te laten gebruiken. In Windows 8.1 en Internet Explorer 11 is de ondersteuning van RC4 al verwijderd en wordt TLS1.2 standaard gebruikt voor het opzetten van beveiligde verbindingen.

Een nu door Microsoft gepubliceerde update doet dit ook voor Windows 7, Server 2008, Windows 8, Server 2012 en Windows RT. Deze update zal bij de meeste gebruikers automatisch via de Automatische Update-functie worden geïnstalleerd. De instellingen die ervoor zorgen dat RC4 niet meer wordt gebruikt moeten gebruikers echter zelf middels verschillende registerwijzigingen doorvoeren. De update maakt alleen het verwijderen van RC4 mogelijk.

Gebruik

Microsoft analyseerde 5 miljoen websites en ontdekte dat 58% van de websites geen RC4 gebruikt bij het opzetten van een versleutelde verbinding, terwijl zo'n 43% dit wel doet. Van deze 43% die RC4 gebruikt blijkt dat slechts 3,9% het algoritme echt vereist. "Door het standaard uitschakelen van RC4 kan het gebruik van RC4 met bijna veertig procent afnemen", aldus William Peteroy van het Microsoft Security Response Center.