فهم وقائع تشفير كلمة مرور Cisco IOS

المقدمة

يصف هذا المستند نموذج الأمان خلف تشفير كلمة مرور Cisco، وقيود الأمان الخاصة بهذا التشفير.

الخلفية

لقد أصدر مصدر غير تابع لشركة Cisco برنامجًا لفك تشفير كلمات مرور المستخدم (وكلمات المرور الأخرى) في ملفات تكوين Cisco. لا يقوم البرنامج بفك تشفير كلمات المرور المعينة مع enable secret erasecat4000_flash:. أدى القلق غير المتوقع الذي سببه البرنامج بين مستخدمي Cisco إلى الشك في أن العديد من المستخدمين يعتمدون على تشفير كلمة مرور Cisco للحصول على قدر من الأمان أكبر مما كان مصمما لتقديمه.

ملاحظة: توصي Cisco بأن تنفذ جميع أجهزة Cisco IOS® نموذج أمان المصادقة والتفويض والمحاسبة (AAA). يمكن أن تستخدم المصادقة والتفويض والمحاسبة (AAA) قواعد بيانات محلية و RADIUS و TACACS+.

المتطلبات الأساسية

المتطلبات

لا توجد متطلبات خاصة لهذا المستند.

المكونات المستخدمة

لا يقتصر هذا المستند على إصدارات برامج ومكونات مادية معينة.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

الاصطلاحات

للحصول على مزيد من المعلومات حول اصطلاحات المستندات، ارجع إلى اصطلاحات تلميحات Cisco التقنية.

كلمات مرور المستخدم

كلمات مرور المستخدم ومعظم كلمات المرور الأخرى (لا enable secrets) في ملفات تكوين Cisco IOS، يتم تشفيرها بمخطط ضعيف للغاية بواسطة المعايير المشفرة الحديثة.

على الرغم من أن Cisco لا تقوم بتوزيع برنامج فك تشفير، إلا أن هناك على الأقل برنامجين مختلفين لفك التشفير لكلمات مرور Cisco IOS متاحين للعامة على الإنترنت؛ الإصدار العام الأول من هذا البرنامج الذي تعلم Cisco أنه كان في أوائل عام 1995. ونتوقع من أي مشفر هاو أن يتمكن من إنشاء برنامج جديد بأقل جهد ممكن.

لم يكن المقصود من النظام الذي يستخدمه Cisco IOS لكلمات مرور المستخدم هو مقاومة هجوم ذكي ومحدد. تم تصميم نظام التشفير لتجنب سرقة كلمة المرور من خلال التطفل أو التطفل البسيط. لم يكن الغرض منه الحماية ضد شخص يقوم بعمل جهد تكسير كلمة المرور على ملف التكوين.

نظرا لضعف خوارزمية التشفير، كان دائما موقف Cisco هو أن المستخدمين يتعاملون مع أي ملف تكوين يحتوي على كلمات مرور على أنها معلومات حساسة، بنفس الطريقة التي يتعاملون بها مع قائمة نصية واضحة لكلمات المرور.

ال enable سر و enable كلمة أمر

يعرض الأمر enable password لم يعد من المستحسن إستخدام الأمر. أستخدم enable secret لتحقيق مستوى أعلى من الأمان. المثيل الوحيد الذي enable password الأمر الذي يمكن إختباره هو عندما يكون الجهاز في وضع التمهيد الذي لا يدعم enable secret erasecat4000_flash:.

تمكين تجزئة الأسرار باستخدام خوارزمية MD5. على قدر ما يعرفه أي شخص في Cisco، من المستحيل إستعادة أمر enable secret استنادا إلى محتويات ملف تكوين (بخلاف هجمات القاموس الواضحة).

ملاحظة: لا ينطبق هذا إلا على كلمات المرور المعينة مع enable secret، وليس على كلمات المرور المعينة مع enable password. والواقع أن قوة التشفير المستخدمة هي الفارق المهم الوحيد بين الأمرين.

ما هي صورة Cisco IOS التي تدعم أمر enable secret؟

انظر إلى صورة التمهيد باستخدام show version أمر من وضع التشغيل العادي لديك (صورة برنامج Cisco IOS الكاملة) لمعرفة ما إذا كانت صورة التمهيد تدعم enable secret erasecat4000_flash:. إذا كان كذلك، فقم بإزالة enable password. إذا كانت صورة التمهيد لا تدعم enable secretلاحظ هذه المحاذير:

• قد يكون إستخدام كلمة مرور enable غير ضروري إذا كان لديك تأمين طبيعي بحيث لا يمكن لأحد إعادة تحميل الجهاز إلى صورة التمهيد.

• إذا كان شخص ما لديه وصول طبيعي إلى الجهاز، فيمكنه تخريب أمان الجهاز بسهولة دون الحاجة إلى الوصول إلى صورة التمهيد.

• إذا قمت بضبط enable password إلى نفس enable secret، لقد صنعت enable secret كعرضة للهجوم مثل enable password.

• إذا قعدتي enable password إلى قيمة مختلفة لأن صورة التمهيد لا تدعم enable secret، يجب أن يتذكر مسئولي الموجه كلمة مرور جديدة يتم إستخدامها بشكل غير متكرر على ROMs التي لا تدعم enable secret erasecat4000_flash:. مع كلمة مرور تمكين منفصلة، يحتاج المسؤولون إلى تذكر كلمة المرور عند فرض وقت توقف عن العمل لترقية البرامج، وهو السبب الوحيد لتسجيل الدخول إلى وضع التمهيد.

كلمات المرور الأخرى

يتم تشفير معظم كلمات المرور سلاسل المصادقة الأخرى في ملفات تكوين Cisco IOS باستخدام النظام الضعيف القابل للعكس المستخدم لكلمات مرور المستخدم.

لتحديد النظام الذي تم إستخدامه لتشفير كلمة مرور معينة، تحقق من الرقم قبل السلسلة المشفرة في ملف التكوين. إذا كان هذا الرقم هو 7، فسيتم تشفير كلمة المرور باستخدام الخوارزمية الضعيفة. إذا كان الرقم هو 5، فسيتم تجزئة كلمة المرور باستخدام خوارزمية MD5 الأقوى.

على سبيل المثال، في أمر التكوين:

enable secret 5 $1$iUjJ$cDZ03KKGh7mHfX2RSbDqP.

تمت تجزئة أمر enable secret مع MD5، بينما في الأمر:

username jdoe password 7 07362E590E1B1C041B1E124C0A2F2E206832752E1A01134D

تم تشفير كلمة المرور باستخدام خوارزمية العكس الضعيفة.

ملفات التكوين

عند إرسال معلومات التكوين في بريد إلكتروني، قم بإزالة التكوين من كلمات المرور من النوع 7. يمكنك إستخدام show tech-support الأمر، والذي يعمل على تعقيم المعلومات بشكل افتراضي. عينة show tech-support يتم عرض إخراج الأمر هنا:

...
 hostname routerA
 !
 aaa new-model
 aaa authentication login default local
 aaa authentication ppp default if-needed local
 enable secret 5 
     
     
 !
 username jdoe password 7 
     
     
       username headquarters password 7 
      
        username hacker password 7 
        
       
     
 ...

عند حفظ ملفات التكوين الخاصة بك على خادم بروتوكول نقل الملفات المبسط (TFTP)، قم بتغيير الامتيازات الخاصة بذلك الملف عندما يكون غير قيد الاستخدام أو قم بوضعه خلف جدار حماية.

هل يمكن تغيير الخوارزمية؟

لا توجد لدى Cisco خطط فورية لدعم خوارزمية تشفير أقوى لكلمات مرور مستخدم Cisco IOS. إذا قررت Cisco تقديم مثل هذه الميزة في المستقبل، فإن هذه الميزة تفرض بشكل قاطع عبئا إداريا إضافيا على المستخدمين الذين يختارون الاستفادة منها.

لا يمكن، في الحالة العامة، تحويل كلمات مرور المستخدم إلى الخوارزمية المستندة إلى MD5 المستخدمة لتمكين الأسرار، لأن MD5 عبارة عن تجزئة أحادية الإتجاه، ولا يمكن إسترداد كلمة المرور من البيانات المشفرة على الإطلاق. لدعم بروتوكولات مصادقة معينة (وخاصة CHAP)، يحتاج النظام إلى الوصول إلى النص الواضح لكلمات مرور المستخدم، وبالتالي يجب تخزينها بخوارزمية قابلة للعكس.

قد تجعل مشاكل الإدارة الرئيسية من التحول إلى خوارزمية قابلة للعكس قوية مهمة غير بسيطة، مثل معيار تشفير البيانات (DES). على الرغم من أنه سيكون من السهل تعديل برنامج Cisco IOS لاستخدام DES لتشفير كلمات المرور، إلا أنه لن تكون هناك ميزة أمان في هذا النهج، إذا كانت جميع أنظمة Cisco IOS تستخدم مفتاح DES نفسه. إذا تم إستخدام مفاتيح مختلفة من قبل أنظمة مختلفة، فسيتم تقديم عبء إداري لجميع مسؤولي شبكة Cisco IOS، وستتعرض إمكانية نقل ملفات التكوين بين الأنظمة للتلف. كان طلب المستخدم لتشفير كلمة المرور الأقوى الذي يمكن عكسه صغيرا.

معلومات ذات صلة

• إجراءات استرداد كلمة المرور
• cisco مرشد أن يقسي cisco ios أداة
• الدعم الفني - Cisco Systems