Microsoft encerra oficialmente um cifrador obsoleto e vulnerável que o Windows mantinha como padrão há 26 anos. a medida segue ataques graves que exploraram a falha ao longo de mais de uma década e críticas de um senador americano.
A mudança impacta o Active Directory, serviço usado para gerenciar contas de administradores e usuários em grandes organizações. RC4, criado por Ron Rivest, ganhou fama por sua fragilidade já comprovada desde 1994, mas permaneceu ativo na autenticação por padrão.
Em 2026, as defaults do Kerberos KDC no Windows Server 2008 e versões posteriores passarão a permitir apenas criptografia AES-SHA1. RC4 ficará desativado por padrão, salvo se um administrador decidir configurá-lo explicitamente.
A transição ocorre depois de críticas de autoridades e de incidentes de segurança. O uso do RC4 esteve ligado a violação da rede de Ascension, que afetou 140 hospitais e dados de 5,6 milhões de pacientes.
Para facilitar a identificação de sistemas legados que ainda dependem do RC4, a Microsoft disponibiliza novas ferramentas. Entre elas, logs atualizados do KDC e scripts PowerShell para extrair uso problemático do RC4 em logs de segurança.
A Microsoft ressalta que, embora o RC4 seja vulnerável, a mudança visa reduzir brechas sem interromper funções essenciais. A empresa acredita que, ao ampliar AES-SHA1, o tempo de ataque de invasores fica consideravelmente maior.
Especialistas enfatizam que, mesmo com a desativação, alguns sistemas de terceiros ainda dependem de RC4. Administradores são orientados a auditar redes e preparar a migração para criptografia mais segura.
Entre na conversa da comunidade