Claves previamente compartidas almacenadas seguras en un router

Introducción

En este documento se describe cómo configurar la encriptación de claves previamente compartidas tanto actuales como nuevas en un router.

Prerequisites

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

La información de este documento se basa en esta versión del software:

• Software Cisco IOS XE® versión 16.9

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Convenciones

Consulte Convenciones de Consejos Técnicos de Cisco para obtener más información sobre las convenciones sobre documentos.

Antecedentes

El código de la versión 12.3(2)T del software del IOS de Cisco introduce la funcionalidad que permite que el router cifre la clave precompartida del protocolo ISAKMP (Internet Security Association and Key Management Protocol) en formato de tipo 6 seguro en RAM no volátil (NVRAM). La clave previamente compartida que se va a cifrar se puede configurar como estándar, con un anillo de claves ISAKMP, en modo agresivo o como contraseña de grupo en una configuración de cliente o servidor de Easy Virtual Private Network (EzVPN). 

Configurar

En esta sección se presenta la información que se puede utilizar para configurar las funciones descritas en este documento.

Estos dos comandos se introdujeron para habilitar el cifrado de claves previamente compartidas:

• key config-key password-encryption [clave principal]

• password encryption aes

La [clave principal] es la contraseña/clave utilizada para cifrar todas las demás claves en la configuración del router con el uso de un cifrado simétrico del Estándar de cifrado avanzado (AES). La clave principal no se almacena en la configuración del router y no se puede ver ni obtener de ninguna manera mientras se está conectado al router.

Una vez configurada, la clave principal se usa para cifrar las claves actuales o nuevas en la configuración del router. Si no se especifica la [clave principal] en la línea de comandos, el router le solicita al usuario que ingrese la clave y que la vuelva a ingresar para su verificación. Si ya existe una clave, se le solicita al usuario que introduzca la clave anterior primero. Las claves no se cifran hasta que se ejecuta el comando password encryption aes .

La clave principal se puede cambiar (aunque esto no es necesario a menos que la clave se haya visto comprometida de alguna manera) con el comando key config-key password-encryption nuevamente con la nueva [primary-key].   Cualquier clave cifrada actual en la configuración del router se vuelve a cifrar con la nueva clave.

Puede eliminar la clave principal cuando ejecute nokey config-key password-encryption. Sin embargo, esto hace que todas las claves configuradas actualmente en la configuración del router sean inútiles (se muestra un mensaje de advertencia que detalla esto y confirma la eliminación de la clave principal). Dado que la clave principal ya no existe, el router no puede descifrar ni utilizar las contraseñas de tipo 6.

Nota: Por razones de seguridad, ni la remoción de la clave primaria, ni la remoción del comando password encryption aes descifra las contraseñas en la configuración del router. Una vez que se cifran las contraseñas, no se desencriptan. Las claves cifradas actuales en la configuración aún se pueden descifrar siempre que no se elimine la clave principal.

Además, para ver los mensajes de tipo debug de las funciones de cifrado de contraseña, utilice el comando password logging en el modo de configuración.

Configuraciones

Este documento usa estas configuraciones en el router:

• Cifrar la clave actual previamente compartida

• Agregar una nueva clave principal de forma interactiva

• Modificar la clave principal actual de forma interactiva

• Eliminar la clave principal

Router#show running-config 
Building configuration...
!
crypto isakmp policy 10
 authentication pre-share
crypto isakmp key cisco123 address 10.1.1.1
!
<output omitted>
!
end

Router#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#key config-key password-encrypt testkey123
Router(config)#password encryption aes
Router(config)#^Z
Router#
Router#show running-config 
Building configuration...
!
!
password encryption aes
!
!
crypto isakmp policy 10
 authentication pre-share
crypto isakmp key 6 FLgBaJHXdYY_AcHZZMgQ_RhTDJXHUBAAB address 10.1.1.1
!
<output omitted>
!
end

Router(config)#key config-key password-encrypt 
New key: 
Confirm key: 
Router(config)#

Router(config)#key config-key password-encrypt
 Old key: 
New key: 
Confirm key: 
Router(config)#
*Jan  7 01:42:12.299: TYPE6_PASS: Master key change heralded, re-encrypting the keys with the new primary key

Router(config)#no key config-key password-encrypt 
WARNING: All type 6 encrypted keys will become unusable
Continue with primary key deletion ? [yes/no]: yes
Router(config)#

Verificación

Actualmente, no hay un procedimiento de verificación disponible para esta configuración.

Información Relacionada

• Página de soporte de IPSec
• Soporte técnico y descargas de Cisco