ルータに保存された事前共有キーの保護

はじめに

このドキュメントでは、ルータで現在の事前共有キーと新しい事前共有キーの両方の暗号化をセットアップする方法について説明します。

前提条件

要件

このドキュメントに関する固有の要件はありません。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアのバージョンに基づくものです。

• Cisco IOS XE®ソフトウェアリリース16.9

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

表記法

ドキュメント表記の詳細については、『シスコ テクニカル ティップスの表記法』を参照してください。

背景説明

Cisco IOSソフトウェアリリース12.3(2)Tコードでは、ルータがInternet Security Association and Key Management Protocol(ISAKMP)の事前共有キーを不揮発性RAM(NVRAM)の不揮発性RAM(NVRAM)にあるセキュアなタイプ6形式で暗号化できるようにする機能が導入されています。 暗号化される事前共有キーは、アグレッシブモードのISAKMPキーリングで標準として設定するか、Easy Virtual Private Network(EzVPN)サーバまたはクライアントのセットアップでグループパスワードとして設定することができます。 

設定

このセクションでは、このドキュメントで説明している機能の設定に使用するための情報を説明します。

事前共有キー(PSK)暗号化を有効にするために、次の2つのコマンドが導入されました。

• key config-key password-encryption [主キー]

• password encryption aes

[primary key]は、ルータ設定でのその他すべてのキーを高度暗号化規格(AES)対称暗号を使用して暗号化するために使用するパスワード/キーです。プライマリキーはルータ設定には保存されず、ルータに接続されている間は表示も取得もできません。

設定後は、ルータ設定の現在のキーまたは新しいキーを暗号化するためにプライマリキーが使用されます。[primary key]がコマンドラインで指定されていない場合、ルータはユーザに対してキーの入力と確認のための再入力を求めるプロンプトを出します。キーがすでに存在している場合は、まず古いキーを入力するようにプロンプトが表示されます。キーの暗号化は、password encryption aes コマンドを発行するまでは実行されません。

プライマリキーは、key config-key...コマンドを新しい[primary-key]で再び使用して変更できます（ただし、キーが何らかの形で侵害されない限り、これは必要ありません）。  ルータ設定内の現在の暗号化キーはすべて、新しいキーで再暗号化されます。

no key config-key...を発行すると、プライマリキーを削除できます。ただし、削除すると、ルータ設定に現在設定されているすべてのキーが使用できなくなります（詳細を示す警告メッセージが表示され、プライマリキーの削除を確認します）。 プライマリキーが存在しなくなるため、タイプ6パスワードを復号化してルータで使用することはできません。

注：セキュリティ上の理由から、プライマリキーを削除したり、password encryption aes コマンドを削除しても、ルータ設定のパスワードは復号化されません。パスワードは一度暗号化されると、復号化されません。設定内の現在の暗号化キーは、プライマリキーが削除されていなければ復号化できます。

また、パスワード暗号化機能のデバッグタイプメッセージを表示するには、コンフィギュレーションモードでpassword loggingコマンドを使用します。

コンフィギュレーション

このドキュメントでは、ルータでの次の設定を使用しています。

• 現在の事前共有キーの暗号化

• 対話形式で新しい主キーを追加する

• 対話形式で現在の主キーを変更する

• 主キーの削除

Router#show running-config 
Building configuration...
!
crypto isakmp policy 10
 authentication pre-share
crypto isakmp key cisco123 address 10.1.1.1
!
<output omitted>
!
end

Router#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#key config-key password-encrypt testkey123
Router(config)#password encryption aes
Router(config)#^Z
Router#
Router#show running-config 
Building configuration...
!
!
password encryption aes
!
!
crypto isakmp policy 10
 authentication pre-share
crypto isakmp key 6 FLgBaJHXdYY_AcHZZMgQ_RhTDJXHUBAAB address 10.1.1.1
!
<output omitted>
!
end

Router(config)#key config-key password-encrypt 
New key: 
Confirm key: 
Router(config)#

Router(config)#key config-key password-encrypt
 Old key: 
New key: 
Confirm key: 
Router(config)#
*Jan  7 01:42:12.299: TYPE6_PASS: Master key change heralded, re-encrypting the keys with the new primary key

Router(config)#no key config-key password-encrypt 
WARNING: All type 6 encrypted keys will become unusable
Continue with primary key deletion ? [yes/no]: yes
Router(config)#

確認

現在、この設定に使用できる確認手順はありません。

関連情報

• IPSec サポート ページ
• シスコのテクニカルサポートとダウンロード