Clés pré-partagées stockées sécurisées dans un routeur

Introduction

Ce document décrit comment configurer le chiffrement des clés prépartagées actuelles et nouvelles dans un routeur.

Conditions préalables

Exigences

Aucune exigence spécifique n'est associée à ce document.

Composants utilisés

L’information contenue dans le présent document est fondée sur cette version logicielle:

• Logiciel Cisco IOS XE® version 16.9

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Conventions

Référez-vous à Conventions relatives aux conseils techniques Cisco pour plus d'informations sur les conventions relatives aux documents.

Informations générales

Le code de la version 12.3(2)T du logiciel Cisco IOS introduit la fonctionnalité qui permet au routeur de chiffrer la clé pré-partagée ISAKMP (Internet Security Association and Key Management Protocol) au format sécurisé de type 6 dans la mémoire vive non volatile (NVRAM). La clé pré-partagée à chiffrer peut être configurée soit en standard, sous un anneau de clés ISAKMP, en mode agressif, ou comme mot de passe de groupe sous un serveur Easy Virtual Private Network (EzVPN) ou une configuration client. 

Configurer

Cette section vous présente les informations que vous pouvez utiliser pour configurer les fonctionnalités décrites dans ce document.

Ces deux commandes ont été introduites afin d'activer le chiffrement de clé pré-partagée :

• key config-key password-encryption [clé primaire]

• password encryption aes

La [clé primaire] est le mot de passe/clé utilisé pour chiffrer toutes les autres clés dans la configuration du routeur à l'aide d'un chiffrement symétrique AES (Advanced Encryption Standard). La clé primaire n'est pas stockée dans la configuration du routeur et ne peut être vue ou obtenue de quelque manière que ce soit lorsqu'elle est connectée au routeur.

Une fois configurée, la clé primaire est utilisée pour chiffrer toutes les clés actuelles ou nouvelles dans la configuration du routeur. Si la [clé primaire] n'est pas spécifiée sur la ligne de commande, le routeur invite l'utilisateur à entrer la clé et à la saisir de nouveau pour vérification. Si une clé existe déjà, l'utilisateur est invité à saisir l'ancienne clé en premier. Les clés ne sont pas chiffrées tant que vous n'exécutez pas la commande password encryption aes.

La clé primaire peut être modifiée (bien que cela ne soit pas nécessaire à moins que la clé ne soit compromise d'une certaine manière) avec la commande key config-key password-encryption à nouveau avec la nouvelle [primary-key].  Toutes les clés chiffrées actuelles de la configuration du routeur sont chiffrées à nouveau avec la nouvelle clé.

Vous pouvez supprimer la clé primaire lorsque vous émettez la commande no key config-key password-encryption. Cependant, cela rend inutilisables toutes les clés actuellement configurées dans la configuration du routeur (un message d'avertissement s'affiche pour le détailler et confirmer la suppression de la clé primaire). Comme la clé primaire n'existe plus, les mots de passe de type 6 ne peuvent pas être déchiffrés et utilisés par le routeur.

Remarque : Pour des raisons de sécurité, ni la suppression de la clé primaire, ni la suppression de la commande password encryption aes ne déchiffre les mots de passe dans la configuration du routeur. Une fois les mots de passe chiffrés, ils ne sont pas déchiffrés. Les clés chiffrées actuelles de la configuration peuvent toujours être déchiffrées, à condition que la clé primaire ne soit pas supprimée.

De plus, afin de voir les messages de type debug des fonctions de chiffrement de mot de passe, utilisez la commande password logging dans le mode de configuration.

Configurations

Ce document utilise ces configurations sur le routeur :

• Chiffrer la clé pré-partagée actuelle

• Ajouter une nouvelle clé primaire de manière interactive

• Modifier la clé primaire actuelle de manière interactive

• Supprimer la clé primaire

Router#show running-config 
Building configuration...
!
crypto isakmp policy 10
 authentication pre-share
crypto isakmp key cisco123 address 10.1.1.1
!
<output omitted>
!
end

Router#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#key config-key password-encrypt testkey123
Router(config)#password encryption aes
Router(config)#^Z
Router#
Router#show running-config 
Building configuration...
!
!
password encryption aes
!
!
crypto isakmp policy 10
 authentication pre-share
crypto isakmp key 6 FLgBaJHXdYY_AcHZZMgQ_RhTDJXHUBAAB address 10.1.1.1
!
<output omitted>
!
end

Router(config)#key config-key password-encrypt 
New key: 
Confirm key: 
Router(config)#

Router(config)#key config-key password-encrypt
 Old key: 
New key: 
Confirm key: 
Router(config)#
*Jan  7 01:42:12.299: TYPE6_PASS: Master key change heralded, re-encrypting the keys with the new primary key

Router(config)#no key config-key password-encrypt 
WARNING: All type 6 encrypted keys will become unusable
Continue with primary key deletion ? [yes/no]: yes
Router(config)#

Vérifier

Aucune procédure de vérification n'est disponible pour cette configuration.

Informations connexes

• Page de support IPsec
• Assistance technique de Cisco et téléchargements