Onderzoekers hebben een aanval gedemonstreerd op het RC4-algoritme, waarmee het mogelijk is om informatie uit versleutelde verbindingen te achterhalen, zoals cookies. Het RC4-algoritme wordt naar schatting voor 30% van de versleutelde verbindingen gebruikt die via HTTPS lopen. HTTPS ondersteunt verschillende algoritmen voor het opzetten van een versleutelde verbinding. Ondanks de leeftijd van RC4 en het feit dat onderzoekers er vaker aanvallen op hebben gedemonstreerd, is het nog steeds erg populair.

Onderzoekers Mathy Vanhoef en Frank Piessens van de Katholieke Universiteit Leuven in België hebben een aanval gedemonstreerd waarbij ze cookies, die normaal via HTTPS beschermd zijn, kunnen ontsleutelen. Met deze cookies kan een aanvaller vervolgens toegang tot het account van het doelwit krijgen. Voor het uitvoeren van de aanval zou een aanvaller maximaal 75 uur nodig hebben. Vanwege deze korte tijdsduur is de aanval ook in de praktijk uit te voeren. Tijdens een test met echte computers bleek dat de aanval in 52 uur kon worden uitgevoerd. De eerste aanval die twee jaar geleden op RC4 werd gedemonstreerd had meer dan 2.000 uur nodig.

Om de aanval uit te voeren moet een aanvaller zich tussen het doelwit en het internet bevinden. Vervolgens moet de aanvaller wachten totdat de gebruiker een website via HTTP bezoekt. Er kan dan kwaadaardig JavaScript aan de onversleutelde website worden toegevoegd. De code zal de computer versleutelde verzoeken laten versturen die het cookie van de gebruiker bevatten. Door deze versleutelde verzoeken te monitoren, kan de inhoud van het cookie uiteindelijk worden bepaald. Volgens de onderzoekers is dit de eerste keer dat zwaktes in RC4, wanneer gebruikt met TLS en HTTPS, voor aanvallen tegen echte computers zijn ingezet.

Vanhoef en Piessens hebben een onderzoeksrapport (pdf) met de details van hun onderzoek online gezet. Tijdens de USENIX Security 2015 conferentie zal het onderzoek worden gepresenteerd. Het probleem speelt niet alleen bij TLS en HTTPS. Elk protocol dat van RC4 gebruik maakt moet volgens de onderzoekers als kwetsbaar worden bestempeld. Zo slaagden ze erin om binnen een uur toegang tot een wifi-netwerk te krijgen dat met WPA-TKIP was beveiligd. Ook TKIP maakt gebruik van RC4. Als oplossing adviseren ze dan ook om met het gebruik van RC4 te stoppen.