谷歌宣布這是最后一次調整舊有Web安全協議。具體而言,谷歌計劃禁用傳輸層安全協議SSLv3以及前端服務器的RC4流密碼,最終,擴展至其旗下所有軟件,包括Chrome、Android、郵件服務器以及Web爬蟲程序。供互聯網任務工作任務組使用的RC4和SSLv3均被認為是不安全的。
谷歌在其一篇博客中指出SSLv3已經過時了16年,雖然RC4還沒有面臨相同的問題,但最近儼然已成了攻擊研究的主要目標??紤]到其強度,事實上早在2015年2月IETF就已禁止在TLS中使用RC4了。SSLv3實乃歷史遺留問題,而最近因為POODLE攻擊遭到多方封殺。
谷歌認為尚有許多網站和瀏覽器用戶仍在使用這些有漏洞的協議。根據博客中的SSL Pulse調查顯示,在前200,000 HTTPS網站中58%仍置有RC4,34%仍置有SSLv3。
根據Chase Cunningham博士的說法,沒有禁用SSLv3的網站會處于很多攻擊的危險之下。
"留有這些SSL運行的每個網站將處于中間人和下載型攻擊的威脅下,因此,訪問該網站的任何人都大有可能違背規則或是遭遇攔截,"Cunningham說。"對于擁有以這類事情知名的網站的企業來說,這并不是什么好事。"
谷歌稱其將緩慢推行在其前端服務器禁用SSLv3和RC4,并最終擴大范圍至所有產品,包括Chrome瀏覽器。盡管谷歌指出得是你的服務器依賴這些中的某個協議,不過TLS用戶應該能夠自動根據這些改變做出調整。
相反,谷歌在服務器識別、密碼套件、信任證書以及證書處理方面為其TLS 1.2設置了最小的安全要求。為了使這些轉換更容易,谷歌專門準備了一款測試工具。
Cunningham稱谷歌所要做的這些改變并不繁重,甚至對個別企業來說相當輕松,但總體而言卻可以發揮很大的作用。"我們企業將在周末做出整個轉換。擁有一個像樣的IT部門的企業能夠在很短的時間內完成,"Cunningham說道。"這是項大工程,至少從舊有標準升級鏈這只是個開始。這是沿著正確的方向邁出的一小步,但彌足珍貴。"