关于 Cisco 类型 7 密码加密
7型加密是什么? Cisco Type 7是一种简单的模糊方法,不是真实的加密. 它设计于20世纪80年代,目的是防止在配置文件中随意观察密码,但并没有为有决心的攻击者提供真正的安全.
第7类“催化”如何工作 :
- 固定盐: 7型使用硬码常数串:"dsfd;kfoA,.iyewrkldJKDHSUBsgvca69834ncxv9873254k;fg87".
- 索引选择 : 加密字符串的前两位数字表示要以 (0-52) 开头的盐中哪个字符
- XOR 操作 : 密码的每个字符都是由从盐中接续的字符组成的 XORED
- 十六进制编码 : XOR 结果转换为十六进制对并缩合
7型为何不安全 :
- 该算法被逆向设计并发布于1995年.
- 盐是众所周知的,永远不会改变
- 这是简单的XOR密码 不是密码加密
- 可以用随时可用的工具立即破解
- 提供零保护,防止任何人访问配置
攻击矢量 :
- SNMP 访问 : 攻击者可以通过 SNMP 查询网络设备以获取配置
- 备份服务器折中 : TFTP, FTP, 或 SCP 服务器存储备份可能很脆弱
- 电子邮件截取 : TAC通信通常包括配置
- 内幕威胁: 任何可读取配置的用户都可以解密密码
建议的解决办法:- 5型(MD5): 使用“ 允许的秘密” 而不是“ 允许密码 ” - 提供单向 MD5 散列
- 8型(PBKDF2-SHA256): 现代基于密码的密钥衍生(可在新的IOS版本上找到)
- 类型 9( 尖叫) : 最安全的选项,可抵御基于硬件的攻击(IOS-XE 16.9+)
- AA/TACACS+ : (中文(简体) ). 集中认证并使用更强大的协议
- 安全运输: 总是使用SSH 代替 Telnet, HTTPS 代替 HTTP
深度防御:
即使有适当的密码加密,执行这些安全措施:
- 使用控制平面警务( CPP) 保护管理平面
- 执行访问控制列表以限制管理访问
- 安全 SNMP 有强大的社区字符串和 ACL( 如果未使用则禁用)
- 使用适当的认证和加密保护配置备份服务器
- 使用 DNSSEC 来防止 DNS 中毒攻击
- 实施最低优惠准入和定期轮换证书
参考文献:
教育目的:
这一工具只用于教育目的和经授权的安全测试。 它显示了过时密码学方法的弱点,并突出了使用现代安全认证机制的重要性。 从不使用这个工具来擅自访问系统.