Cisco IOS service password-encryption
シスコではIOS service password-encryptionコマンドを使用して、構成ファイル内のすべてのパスワードを暗号化し、権限のない個人がそれらを表示できないようにします。
http://www.Cisco.com/c/en/us/td/docs/ios/12_2/security/configuration/guide/fsecur_c/scfpass.html からの引用
注意service password-encryptionコマンドは、高レベルのネットワークセキュリティを提供しません。このコマンドを使用する場合は、追加のネットワークセキュリティ対策も講じる必要があります。
それは書かれています：
失われた暗号化パスワードを回復することはできません（つまり、元のパスワードを取り戻すことはできません）
それで、彼らは正確にはどういう意味ですか？弱い暗号化が使用されているため、または構成ファイル内のパスワードの表示からユーザーを保護するだけであるため、あまり保護されませんか？
ネットワーキングアカデミーの資料で彼らが言うので、私は混乱しています
Service password-encryptionコマンドは、すべての暗号化されていないパスワードに弱い暗号化を適用します。
割れやすいので弱いのでしょうか？
TL; DRType 7を使用しないでください。可能な場合はType 5の使用を控え、ほとんどの場合、タイプ8を使用する（残念ながら、シスコの世界ではタイプ8がすべてのデバイスで利用できるとは限りません。1）
ここでユーザーが述べたように、「2つ」（実際にはより多くのコードと特定の製品の一部の機能しかなく、後で説明するため、ここではスピーチマークを使用しています）ですが、タイプ7とタイプ5が一般的です。
タイプ7は非常に簡単にクラックされると言われているように、クイックGoogle検索を使用すると、例としてオンラインで解読プログラムを見つけることができます ここ は、私が使用したものです過去。重要なのは、簡単に元に戻すことができ、その背後にセキュリティがないため、絶対に使用しないでください（ラボを実行している場合を除いて、使用できると思います）。
言われていないそれが安全でない理由です-タイプ7は Vigenère暗号を使用します この暗号は完全に破られたと見なされますつまり、この暗号は
キーワードの文字に基づいて織り込まれた一連の Caesar暗号 。
これが本質的に意味することは、複数のCeaser暗号を順番に使用することですが、シフト値を毎回変更します。したがって、Ceaserでは、Vigenère暗号で3のシフトを使用するだけで、毎回異なる値でシフトします。 Vigenère暗号がどのように機能するかを確認するのに適したWebサイトは、この Crypto Corner です。
では、Type 5の方が安全ですか？はい、それはもっと安全です、それは良いですか？まあ、パスワードを保存するためではなく、本当に。タイプ5はMD5ハッシュを使用します。 MD5はパスワードの保存にまったく適していません MD5は安全ではないと見なされていますか？ （以下のCodesInChaosの回答とThomas Porninsの回答の両方を読むことをお勧めします）どちらの回答も素晴らしいです。 MD5にパスワードを保存するべきではありません。本質的に、MD5は高速であり、毎秒数十億のパスワードをハッシュできます。シスコによるMD5の実装では Salt を使用しますが、Tom Leekによる here で言及されているように、実際にはMD5でSaltを使用しても違いはありませんスピードのために。したがって、タイプ5を使用するかどうかは、正直に脅威モデルに依存しますが、可能であればお勧めしません。先に述べたように、実際には他のタイプがあります。
CiscoのIOSの新しいバージョンでは、タイプ8およびタイプ9のパスワードが追加されました。これらははるかにより安全です。
タイプ8はPBKDF2-SHA-256（私は暗号の専門家ではありません）を使用しますが、MD5がそうでない場合は遅くなるように設計されているため、PBKDF2は優れています。タイプ8は非常に遅いため、特にルーターやスイッチなどで問題になる可能性があります。これは、強力なCPUを使用していないためです。Ciscoのような会社は、使用しているCPUを具体的に開示していないため、使用しているCPUは論理的です。 「たとえば、実際にはスイッチが実行していることはそれほど強力ではないので、スイッチはそれほど集中的ではないため、非常に強力なハードウェアを使用することはありません。これは、Ciscoスイッチで4096ビットのRSAキーを生成すると明らかになります。一般にPBKDF2は、Tomが述べたようにパスワード保存の標準であるようです ここ また、パスワードの保存にはNISTが推奨するようですので、オプションがある場合は、タイプ8は、タイプ7よりもはるかに安全で、タイプ5よりもはるかに安全です。そのため、能力があればそれを使用してください。繰り返しますが、これはすべて Threat Model にとって主観的なものです。一般に、これを顧客のネットワークで使用している場合（顧客はクライアントである場合もあり、ネットワークソリューションも販売している可能性があります）、可能であればType 8を使用してみてください。
最後に、タイプ9 Scrypt がありますが、これのセキュリティを十分に評価することはできません（私は暗号の専門家ではないため）Scryptは一般に「Bcryptよりも安全」です。それに関する問題は、それがはるかに最近のものであるため、明らかに暗号の専門家が見る時間ははるかに少ないということです。ただし、単純に言えば、ScryptはType 7およびType 5よりもはるかに安全です。これは、低速になるように設計されているためです。つまり、計算時間が大幅に長くなるため、Scryptの優れたリソースである「安全性が高い」と考える必要があります。 here です。
要約すると、タイプ7またはタイプ5を使用する場合、答えは「いいえ」です。あなたは確かにタイプ7を使うべきではありません、それはひどいです。タイプ5に関しては、これは「意見」のように見えるかもしれませんが、そうではありません。 Type 5も使用しないでください。 MD5でパスワードを保存するのは良くないことで、安全ではありません。言ったように、それはあなたの脅威モデルに依存します。
本番環境では、必要に応じてタイプ7の使用を控え、タイプ5の使用を控えてください。 this Iに従ってPBKDF2がNISTから推奨されていることを考慮して、タイプ8またはタイプ9を実装してください。 Type 9でそれを使用することにもエッジがあります。Scryptの使用時間はlot短いため、テストが少なくなると何が起こるかわからなくなります。
最後に述べておきたいのはこれです-実はこれはローカルの資格情報のためだけです（私は願っています）本番ネットワークをインストールする場合はRADIUSある種のサーバーを使用してください、これははるかに安全です（特に、複数のエンジニアが作業するNOCがある場合）。
1-私はタイプ4に言及しなかったことに気づきましたが、それをネットワークに実装する場合、ITで作業するべきではなく、デバイスをアップグレードして、タイプ4がサポートされなくなることを楽しむ必要があります。
そこには2つのタイプがあります：
パスワード7-これは可逆的です
secret 5-ありません
したがって、パスワードの場合は、すべてをpasswordではなくsecretに置き換えてください。これで問題ありません。
例：
no username tmp2 password 7 013656474776742
username tmp2 privilege 15 secret YourNewPassword
はい、割れやすいので弱くて安全ではありません。サービスのパスワード暗号化の元の実装は、「肩越し」の攻撃を防ぐためであり、設定ファイルにアクセスできたかもしれないが実際には何をしているのかわからないランダムな人々のためのものでした。攻撃者が何をしているのかを知っていても、パスワード暗号化サービスによって停止されることはありません。そのため、攻撃者がそもそもそのポイントに到達するのを防ぐために、シスコは追加のネットワークセキュリティ対策を講じるとしています。例：Ciscoデバイスでユーザーをセットアップし、そのユーザーが実際に実行できるコマンドを指定できます。これは、すべてにアクセスできる1人の「admin」ユーザーよりも優れています。これは、AAAサーバーとTacacs +を使用して実行できます。
また、MD5は、オンラインツールが存在するため、強力であるとは言えません。パスワードを作成するときの長さはあなたの友人です。例：8文字のパスワードは、使用する豪華な記号や文字の数に関係なく、数分で解読できます。
サービスのパスワード暗号化は、タイプ7の暗号化を使用してCiscoルーターのすべてのパスワードを暗号化しますが、これは非常に脆弱であり、多くのオンラインツールを使用してハッシュからパスワードを回復できますが、たとえばシークレットを有効にするpassword有効化パスワードは、より強力なMD5を使用してハッシュされます。