Connectrix B-serie: Seccryptocfg werkt de SSHD-configuratie mogelijk niet correct bij als meerdere SSH-parameters tegelijkertijd worden gewijzigd

Wanneer een gebruiker seccryptocfg uitvoert om meerdere SSH-parameters (cipher, kex, mac) in dezelfde opdracht te wijzigen, wordt de SSHD-configuratie mogelijk niet correct bijgewerkt of wordt het SSHD-proces mogelijk niet opnieuw gestart. De uitvoer van de opdracht seccryptocfg kan laten zien dat SSH is geconfigureerd zoals gewenst, maar de weergegeven configuratie is mogelijk niet effectief.

Na het wijzigen van SSH-parameters, kan seccryptocfg SSH anders geconfigureerd weergeven dan wat de actieve SSHD-configuratie is.

Dit wordt meestal gezien bij het bijwerken van SSH-parameters om gemelde beveiligingsscanbeveiligingslekken op te lossen. Nadat een gebruiker de kwetsbare items heeft uitgeschakeld en ze niet langer worden weergegeven in de uitvoer van de opdracht seccryptocfg , kunnen de beveiligingsscans deze blijven rapporteren omdat het SSHD-proces niet correct is bijgewerkt.

De seccryptocfg-opdracht probeert het SSHD-proces opnieuw te starten na elke wijziging van een SSH-parameter (cipher, kex, mac), en wanneer meerdere parameters in dezelfde opdracht zijn geconfigureerd, kan de SSH-sessie van de gebruiker worden beëindigd voordat alle SSH-parameters zijn bijgewerkt in de onderliggende configuratiebestanden of kan de SSH-sessie worden beëindigd voordat SSHD opnieuw wordt opgestart.

Betreffende softwarerelease: v8.2.2c en eerder

Tijdelijke oplossing:

Er zijn een aantal beschikbare tijdelijke oplossingen:

• Wanneer u seccryptocfg gebruikt om SSH-parameters bij te werken, wijzigt u slechts één parameter tegelijk.

  Met de volgende opdracht worden bijvoorbeeld zowel de parameters 'cipher' als 'kex' in dezelfde opdracht bijgewerkt en kan dit probleem zich voordoen:

  seccryptocfg --replace -type SSH -cipher aes128-ctr,aes192-ctr  -kex ecdh-sha2-nistp256,ecdh-sha2-nistp384

  Door de bovenstaande opdracht op te splitsen in de volgende twee opdrachten, wordt dit probleem voorkomen:

  seccryptocfg --replace -type SSH -cipher aes128-ctr,aes192-ctr

  seccryptocfg --replace -type SSH -kex ecdh-sha2-nistp256,ecdh-sha2-nistp384

• Een andere manier om het probleem te voorkomen is om de opdracht seccryptocfg te gebruiken in een telnet-sessie of een seriële consolepoortverbinding.

Oplossing:

Voer een upgrade uit naar FOS v8.2.2d of FOS v9.0.0 of hoger en voer vervolgens de opdracht seccryptocfg uit.