Connectrix B-Series: Seccryptocfg ei ehkä päivitä SSHD-kokoonpanoa oikein, jos useita SSH-parametreja muutetaan samanaikaisesti
Summary: Tässä artikkelissa on kiertotapa, kun seccryptocfg ei päivitä SSHD-kokoonpanoa oikein.
Symptoms
Kun käyttäjä suorittaa seccryptocfg-komennon muuttaakseen useita SSH-parametreja (salaus, kex, mac) samassa komennossa, SSHD-määritystä ei ehkä päivitetä oikein tai SSHD-prosessi ei ehkä käynnisty uudelleen. seccryptocfg-komennon tulos saattaa näyttää, että SSH on määritetty halutulla tavalla, mutta näytetty määritys ei välttämättä ole toimiva.
Kun SSH-parametreja on muutettu, seccryptocfg saattaa näyttää SSH-määrityksen eri tavalla kuin käytössä oleva SSHD-kokoonpano.
Tämä näkyy yleensä päivitettäessä SSH-parametreja raportoitujen tietoturvatarkistuksen haavoittuvuuksien ratkaisemiseksi. Kun käyttäjä on poistanut haavoittuvat kohteet käytöstä eivätkä ne enää näy seccryptocfg-komennon tuloksessa, tietoturvatarkistukset saattavat edelleen ilmoittaa niistä, koska SSHD-prosessia ei päivitetty oikein.
Cause
seccryptocfg-komento yrittää käynnistää SSHD-prosessin uudelleen jokaisen SSH-parametrin muutoksen jälkeen (salaus, kex, mac), ja kun samaan komentoon on määritetty useita parametreja, käyttäjän SSH-istunto voidaan lopettaa ennen kuin kaikki pohjana olevien määritystiedostojen SSH-parametrit on päivitetty tai SSH-istunto saattaa päättyä ennen SSHD:n uudelleenkäynnistymistä.
Ohjelmistoversio, jota asia koskee: v8.2.2c ja aiemmat versiot
Resolution
Kiertotapa:
Käytettävissä on muutamia kiertotapoja:
-
Kun käytät seccryptocfg : tä SSH-parametrien päivittämiseen, muuta vain yhtä parametria kerrallaan.
Esimerkiksi seuraava komento päivittää sekä 'cipher' että 'kex' parametrit samassa komennossa, ja se saattaa kohdata tämän ongelman:
seccryptocfg --replace -type SSH -cipher aes128-ctr,aes192-ctr -kex ecdh-sha2-nistp256,ecdh-sha2-nistp384
Kun edellä oleva komento jaetaan kahteen komentoon, ongelma vältetään:
seccryptocfg --replace -type SSH -cipher aes128-ctr,aes192-ctr
seccryptocfg --replace -type SSH -kex ecdh-sha2-nistp256,ecdh-sha2-nistp384
-
Toinen tapa välttää ongelma on käyttää seccryptocfg-komentoa joko telnet-istunnossa tai sarjakonsolin porttiyhteydessä.
Ratkaisu:
Päivitä versioon FOS 8.2.2d tai FOS 9.0.0 tai uudempaan ja suorita seccryptocfg-komento .