RC4 è un algoritmo realizzato da RSA Data Security, Inc. Era rimasto protetto dal segreto commerciale finchè qualcuno spedì il codice sorgente di un algoritmo "equivalente" a RC4 nelle Usenet News. L'algoritmo è molto veloce e forzare la sicurezza sembra non triviale dato che può accettare chiavi di lunghezza arbitraria. RC4 è essenzialmente un generatore di numeri pseudo casuali, la cui uscita è usata per fare lo XOR con il flusso di dati ; per questo motivo è necessario che la stessa chiave non sia usata per cifrare due diversi flussi di dati. Il governo USA ha approvato l'esportazione di RC4 con chiavi di 40 bits: chiavi cosi piccole possono essere facilmente forzate da istituzioni come il governo, l'esercito etc. E' interessante notare che SSL, versione export, che usa RC4 con chiavi di 40, bits è stato recentemente forzato da almeno due gruppi indipendenti in circa otto giorni di attività. Qualche tempo dopo lo stesso attacco è stato effettuato con successo in soli 35 minuti. Il codice usato da questo sistema ha una lunghezza dieci volte inferiore rispetto al DES (minore sicurezza), ma il vantaggio sta nella velocità di esecuzione (circa 5 volte più veloce).

Il tipo di algoritmo utilizzato dai sistemisti Microsoft era inizialmente l 'algoritmo RC4 per la cifratura e quindi un'ottima protezione dal punto di vista crittografico. A causa di qualche problema i programmatori Microsoft implementarono una versione dell'RC4 leggermente modificata a livello di codice, ma completamente stravolta a livello di funzionalità. Con semplici operazioni di X0R e di traslazione e grazie a numerosi programmi freeware si possono decodificare tutte le password contenute nel file .PWL. Un esempio di programma atto a questo tipo di cose può essere PWL-TOOL questo tool è facile ed immediato da utilizzare grazie alla sua interfaccia grafica davvero molto friendly, scaricabile sul sito www.webdor.com.
Questo dovrebbe farci riflettere sul fatto che una software house di un così grande prestigio non abbia ritenuto opportuno dedicare sufficiente attenzione alla implementazione di un algoritmo sicuro per la protezione delle password di sistema.