Connectrix Brocade: SSH-haavoittuvuuden vanhentunut SHA1-asetus
Yhteenveto: SHA1 vanhentunut SSH-haavoittuvuuden asetus.
Oireet
SHA1-salauksia ei ole seccryptocfg tulos, mutta tietoturvatarkistus merkitsee silti tämän haavoittuvuuden.
/fabos/link_abin/seccryptocfg --show: SSH Crypto: SSH Cipher : aes128-ctr,aes192-ctr,aes256-ctr SSH Kex : ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group-exchange-sha256 SSH MAC : hmac-sha2-256,hmac-sha2-512 TLS Ciphers: HTTPS : !ECDH:!DH:HIGH:-MD5:!CAMELLIA:!SRP:!PSK:!AESGCM HTTPS_TLS_v1.3 : TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256 RADIUS : !ECDH:!DH:HIGH:-MD5:!CAMELLIA:!SRP:!PSK:!AESGCM LDAP : !ECDH:!DH:HIGH:-MD5:!CAMELLIA:!SRP:!PSK:!AESGCM SYSLOG : !ECDH:!DH:HIGH:-MD5:!CAMELLIA:!SRP:!PSK:!AESGCM TLS Protocol: HTTPS : Any RADIUS : Any LDAP : Any SYSLOG : Any --- Truncated ---
Syy
FOS 9.2.2:ta vanhemmissa versioissa RSA SSH hostkey/pubkey Käytä hashing algorithm (SHA1) jota ei enää pidetä riittävän vahvana ja josta skannaustyökalut (kuten Qualys) ilmoittavat yleisesti mahdollisena haavoittuvuutena.
Vaikka käyttäjät voivat luoda ja käyttää ECDSA SSH hostkey/pubkey Sijasta RSA. FOS 9.2.2:ta on parannettu niin, että järjestelmänvalvoja voi määrittää SSH HostkeyAlgorithms ja PubkeyAlgorithms for SSH yhteydet FOS:iin ja FOS:sta ja mahdollistavat vahvemmat RSA hostkey/pubkey Komennon käyttäminen seccryptocfg.
Tarkkuus
Päivitä kytkin FOS 9.2.2:een.
FOS 9.2.2:n salausmallit on päivitetty HostKeyAlgorithms ja PubKeyAlgorithms SSH:n tärkeimmät merkinnät.
Esimerkki ympäristöistä, joissa on tehtaalla FOS 9.2.2 -versio:
seccryptocfg --show SSH Crypto: SSH Cipher : aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,3des-cbc,aes192- cbc,aes256-cbc SSH Kex : ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffiehellman-group-exchange-sha256,diffie-hellman-group-exchange-sha1,diffie-hellman-group14- sha1 SSH MAC : hmac-sha2-256,hmac-sha2-512 SSH HostkeyAlg :rsa-sha2-512,rsa-sha2-256,ecdsa-sha2-nistp521 SSH PubkeyAlg :rsa-sha2-512,rsa-sha2-256,ecdsa-sha2-nistp521 TLS Ciphers: ------Truncated---------
Joten uudet määritteet HostkeyAlg ja PubkeyAlg ovat käytettävissä komennolla seccryptocfg --apply konfiguroidaksesi alustat, jotka on päivitetty versioon FOS 9.2.2.
SSH HostkeyAlgorithms ja PubkeyAlgorithms Käyttää seccryptocfg --apply, SSH-palvelu (FOS:ssa) käynnistetään uudelleen uuden määrityksen lataamiseksi, ja kaikki nykyiset SSH-istunnot nykyisessä CP:ssä sekä valmiustilassa olevassa CP:ssä (kotelossa) lopetetaan.
Esimerkki:
seccryptocfg --apply -group SSH -attr HostkeyAlg -value ‘rsa-sha2-512,rsa-sha2-256,ecdsasha2-nistp521’ seccryptocfg --apply -group SSH -attr PubkeyAlg -value ‘rsa-sha2-512,rsa-sha2-256,ecdsasha2-nistp521’