목차

소개

사전 요구 사항

요구 사항

사용되는 구성 요소

문제

솔루션

소개

이 문서에서는 ASA에서 SSH 서버 CBC 모드 암호화를 비활성화하는 방법에 대해 설명합니다. 스캔 취약점 CVE-2008-5161에서는 CBC(Cipher Block Chaining) 모드에서 블록 암호 알고리즘을 사용하면 원격 공격자가 SSH 세션의 임의의 암호 텍스트 블록에서 알려지지 않은 벡터를 통해 특정 일반 텍스트 데이터를 더 쉽게 복구할 수 있다고 문서화되었습니다.

CBC(Cipher Block Chaining)는 암호 블록에 대한 작동 모드이며, 이 알고리즘은 블록 암호를 사용하여 기밀성이나 신뢰성과 같은 정보 서비스를 제공합니다.

사전 요구 사항

요구 사항

다음 주제에 대한 지식을 보유하고 있으면 유용합니다.

- ASA 플랫폼 아키텍처 적응형 보안 어플라이언스

- CBC(암호 블록 체인)

사용되는 구성 요소

이 문서의 정보는 Cisco ASA 5506(OS 9.6.1 포함)을 기반으로 합니다.

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.

문제

기본적으로 ASA CBC 모드에서는 ASA에서 활성화되며, 이는 고객 정보의 취약점이 될 수 있습니다.

솔루션

CSCum63371이 향상된 후 버전 9.1(7)에 ASA ssh 암호를 수정하는 기능이 도입되었지만 공식적으로 ssh 암호 암호화 및 ssh 암호 무결성 명령이 포함된 릴리스는 9.6.1입니다.

SSH에서 CBC 모드 암호를 비활성화하려면 다음 절차를 따르십시오.

ASA에서 "sh run all ssh"를 실행합니다.

ASA(config)# show run all ssh

ssh stricthostkeycheck

ssh 0.0.0.0 0.0.0.0 outside

ssh timeout 60

ssh version 2

ssh cipher encryption medium

ssh cipher integrity medium

ssh key-exchange group dh-group1-sha1

ssh cipher encryption medium 명령이 표시되면 이는 ASA가 기본적으로 ASA에 설정된 중간 및 고강도 암호를 사용함을 의미합니다.

ASA에서 사용 가능한 ssh 암호화 알고리즘을 보려면 show ssh ciphers 명령을 실행합니다.

ASA(config)# show ssh ciphers

Available SSH Encryption and Integrity Algorithms Encryption Algorithms:

all:     3des-cbc     aes128-cbc   aes192-cbc   aes256-cbc   aes128-ctr   aes192-ctr   aes256-ctr

low:     3des-cbc     aes128-cbc   aes192-cbc   aes256-cbc   aes128-ctr   aes192-ctr   aes256-ctr

medium:  3des-cbc     aes128-cbc   aes192-cbc   aes256-cbc   aes128-ctr   aes192-ctr   aes256-ctr

fips:    aes128-cbc   aes256-cbc

high:    aes256-cbc   aes256-ctr

Integrity Algorithms:

all:     hmac-sha1    hmac-sha1-96 hmac-md5     hmac-md5-96

low:     hmac-sha1    hmac-sha1-96 hmac-md5     hmac-md5-96

medium:  hmac-sha1    hmac-sha1-96

fips:    hmac-sha1

high:    hmac-sha1

출력은 사용 가능한 모든 암호화 알고리즘을 보여줍니다. 3des-cbc aes128-cbc aes192-cbc aes256-cbc128-ctr aes192-ctr aes256-ctr

ssh 컨피그레이션에서 사용할 수 있도록 CBC 모드를 비활성화하려면 다음 명령을 사용하여 사용할 암호화 알고리즘을 사용자 정의합니다.

ssh cipher encryption custom aes128-ctr:aes192-ctr:aes256-ctr

이 작업을 완료한 후 show run all ssh 명령을 실행합니다. 이제 ssh 암호화 컨피그레이션에서는 모든 알고리즘이 CTR 모드만 사용합니다.

ASA(config)# show run all ssh

ssh stricthostkeycheck

ssh 0.0.0.0 0.0.0.0 outside

ssh timeout 60

ssh version 2

ssh cipher encryption custom "aes128-ctr:aes192-ctr:aes256-ctr"

ssh cipher integrity medium

ssh key-exchange group dh-group1-sha1

마찬가지로, SSH 무결성 알고리즘은 ssh cipher integrity 명령을 사용하여 수정할 수 있습니다.