シスコのルータとスイッチの設定ミスにより、ネットワークにいくつかの問題があります。これらの脆弱性と構成の問題を修正するためのアドバイスや解決策を教えてください。
脆弱性名:SSH CBCモードの暗号化が有効
説明:CBCモードの暗号はSSHサーバーで有効になっています
解決策:CBCモード暗号を無効にし、CTRモード暗号を使用します
脆弱性名:SSH非セキュアHMACアルゴリズムが有効
説明:安全でないHMACアルゴリズムが有効になっています
解決策:96ビットHMACアルゴリズムを無効にし、MD5ベースのHMACアルゴリズムを無効にします。
以下の回答を参照して、より正確に編集しない
これをCiscoルータで実施する方法はありません。セットアップを強化する唯一の方法は、少なくともSSHv1を無効にすることです。
#ip ssh version 2
ただし、これでもCBCおよび96ビットHMAC/MD5アルゴリズムは無効になりません。シスコは、SSHサーバをそれほど細かく調整する機能を提供していません。あなたができる唯一のことは、上記のアルゴリズムのどれも使用しないサーバーへの接続を強制することです。 clientはこれを行う必要があり、サーバーからクライアントに強制することはできないことに注意してください。
ここでは、CiscoルータのSSHクライアントがSSH接続を開始するために使用できるオプションを確認できます。
ssh [-v {1 | 2} |-c {aes128-ctr |aes192-ctr|aes256-ctr |aes128-cbc | 3des-cbc | aes192-cbc | aes256-cbc} |-l user-id | -l user-id:vrf-name number ip-address ip-address | -l user-id:rotary number ip-address | -m {hmac-md5 | hmac-md5-96 | hmac-sha1 | hmac-sha1-96} | -o numberofpasswordprompts n | -p port-num] {ip-addr | hostname} [command | -vrf]
機能を追加する 機能のリクエストは、最近のリリースで解決されたようです IOSリリース、機能を追加します。
(非常に)最近のIOSバージョン(特定のトレインに制限されている可能性があり、ドキュメントが非常に少ない)の場合)、次のことができるはずです。
> enable
# configure terminal
(config)# ip ssh server algorithm encryption aes128-ctr aes192-ctr aes256-ctr
(config)# ip ssh server algorithm mac hmac-sha1
「?」で確認することもできますより良いオプションが利用可能になった場合、特に私のリストをそのまま使用する前のMACから...
直接関連はありませんが、おそらくこれも構成に含める必要があります。
(config)# ip ssh version 2
ip ssh server algorithm hostkey
も存在し、OpenSSHのPubkeyAcceptedKeyTypes
オプションと同等のようです。
SSH構成ガイド (コマンドは マスターコマンドリストにありません まだ、興味深いことに...)