Contents

Introdução

Background

Problemas de criptografia TLS ASDM

Problema 1. O ASDM não pode se conectar ao firewall devido a problemas de cifra TLS

Problema 2. O ASDM não pode se conectar ao devido à falha de handshake TLS1.3

Problemas de Certificado ASDM

Problema 1. "O certificado presente neste dispositivo não é válido. A data do certificado expirou ou não é válida de acordo com as datas atuais." mensagem de erro

Problema 2. Como instalar ou renovar certificados usando o ASDM ou o ASA CLI?

Problemas de vulnerabilidade do ASDM

Problema 1. Vulnerabilidade detectada no ASDM

Referências

Introdução

Este documento descreve o processo de solução de problemas de segurança, certificado e vulnerabilidade do ASDM Transport Layer Security (TLS).

Background

O documento faz parte da série de solução de problemas do Adaptive Security Appliance Device Manager (ASDM) juntamente com estes documentos:

- Identificar e Solucionar Problemas de Inicialização do ASDM

- Solucionar Problemas de Configuração, Autenticação e Outros Problemas do ASDM

- Solucionar Problemas de Licença, Atualização e Compatibilidade do ASDM

Problemas de criptografia TLS ASDM

Problema 1.  O ASDM não pode se conectar ao firewall devido a problemas de cifra TLS

O ASDM não pode se conectar ao firewall. Um ou mais destes sintomas são observados:

- O ASDM mostra as mensagens de erro "Não foi possível abrir o dispositivo" ou "Não foi possível iniciar o gerenciador de dispositivos do <ip>".

- A saída do comando show ssl error contém o erro de biblioteca SSL. Função: ssl3_get_client_hello Motivo: no shared cipher" message.

- Os registros do console Java mostram a "javax.net.ssl.SSLHandshakeException: Alerta fatal recebido: mensagem de erro handshake_failure":

javax.net.ssl.SSLHandshakeException: Received fatal alert: handshake_failure

at sun.security.ssl.Alerts.getSSLException(Alerts.java:192)

at sun.security.ssl.Alerts.getSSLException(Alerts.java:154)

at sun.security.ssl.SSLSocketImpl.recvAlert(SSLSocketImpl.java:2033)

Solução de problemas - Ações recomendadas

Uma causa raiz comum dos sintomas é a falha de negociação do conjunto de cifras TLS entre o ASDM e o ASA. Nesses casos, dependendo da configuração de codificação, o usuário precisa ajustar o certificado no lado ASMD e/ou ASA.

Siga uma ou mais destas etapas até que a conectividade seja bem-sucedida:

1. No caso do ASDM com OpenJRE, se conjuntos de cifras TLS fortes forem usados, aplique a solução do bug do software Cisco ID CSCv12542 "O ASDM open JRE deve usar cifras mais altas por padrão":

2. Iniciar Bloco de Notas (executar como administrador)

3. Abra o arquivo: C:\Program Files\Cisco Systems\ASDM\jre\lib\security\java.security

4. Procurar: crypto.policy=ilimitado

5. Remova # na frente dessa linha para que todas as opções de criptografia fiquem disponíveis

6. Save

2. Altere os conjuntos de cifras TLS no ASA.

ASA(config)# ssl cipher ?

configure mode commands/options:

default   Specify the set of ciphers for outbound connections

dtlsv1    Specify the ciphers for DTLSv1 inbound connections

dtlsv1.2  Specify the ciphers for DTLSv1.2 inbound connections

tlsv1     Specify the ciphers for TLSv1 inbound connections

tlsv1.1   Specify the ciphers for TLSv1.1 inbound connections

tlsv1.2   Specify the ciphers for TLSv1.2 inbound connections

tlsv1.3   Specify the ciphers for TLSv1.3 inbound connections

As opções de codificação para TLSv1.2:

ASA(config)# ssl cipher tlsv1.2 ?

configure mode commands/options:

all     Specify all ciphers

low     Specify low strength and higher ciphers

medium  Specify medium strength and higher ciphers

fips    Specify only FIPS-compliant ciphers

high    Specify only high-strength ciphers

custom  Choose a custom cipher configuration string.

aviso: As alterações no comando ssl cipher são aplicadas ao firewall inteiro, incluindo as conexões VPN de site para site ou de acesso remoto.

Problema 2.  O ASDM não pode se conectar ao devido à falha de handshake TLS1.3

O ASDM não pode se conectar ao devido à falha de handshake TLS1.3.

Os registros do console Java mostram a "java.lang.IllegalArgumentException: Mensagem de erro TLSv1.3":

java.lang.IllegalArgumentException: TLSv1.3

at sun.security.ssl.ProtocolVersion.valueOf(Unknown Source)

at sun.security.ssl.ProtocolList.convert(Unknown Source)

at sun.security.ssl.ProtocolList.<init>(Unknown Source)

at sun.security.ssl.SSLSocketImpl.setEnabledProtocols(Unknown Source)

at sun.net.www.protocol.https.HttpsClient.afterConnect(Unknown Source)

Solução de problemas - Ações recomendadas

A versão TLS 1.3 deve ser suportada no ASA e no ASDM.  O TLS versão 1.3 é suportado nas versões 9.19.1 e posteriores do ASA (Release Notes for the Cisco Secure Firewall ASA Series, 9.19(x)).  O Oracle Java versão 8u261 ou posterior é necessário para suportar TLS versão 1.3 (Release Notes for Cisco Secure Firewall ASDM, 7.19(x)).

Referências

1. Notas de versão do Cisco Secure Firewall ASA Series, 9.19(x)

2. Notas de versão do Cisco Secure Firewall ASDM, 7.19(x)

Problemas de Certificado ASDM

Problema 1. "O certificado presente neste dispositivo não é válido. A data do certificado expirou ou não é válida de acordo com as datas atuais." mensagem de erro

A mensagem de erro é mostrada ao executar o ASDM: "O certificado presente neste dispositivo não é válido. A data do certificado expirou ou não é válida de acordo com as datas atuais."

Sintomas semelhantes são descritos nas notas de versão:

"O certificado autoassinado do ASDM não é válido devido a uma incompatibilidade de data e hora com o ASA — o ASDM valida o certificado SSL autoassinado e, se a data do ASA não estiver dentro da data Emitido em e Expira em do certificado, o ASDM não será iniciado. Consultar Notas de compatibilidade do ASDM

Solução de problemas - Ações recomendadas

1. Verificar e confirmar certificados expirados:

# show clock

10:43:36.931 UTC Wed Nov 13 2024

# show crypto ca certificates

Certificate

Status: Available

Certificate Serial Number: 673464d1

Certificate Usage: General Purpose

Public Key Type: RSA (4096 bits)

Signature Algorithm: RSA-SHA256

Issuer Name:

unstructuredName=asa.lab.local

CN=CN1

Subject Name:

unstructuredName=asa.lab.local

CN=asa.lab.local

Validity Date:

start date: 10:39:58 UTC Nov 13 2011

end   date: 10:39:58 UTC Nov 11 2022

Storage: config

Associated Trustpoints: SELF-SIGNED

Public Key Hashes:

SHA1 PublicKey hash:   b9d97fe57878a488fad9de99186445f45187510a

SHA1 PublicKeyInfo hash: 29055b2efddcf92544d0955f578338a3d7831c63

1. Na CLI (Command Line Interface, interface de linha de comando) do ASA, remova a linha ssl trust-point <cert> <interface>, onde <interface> é o nome usado para conexões ASDM. O ASA usa o certificado autoassinado para conexões ASDM.

2. Se não houver um certificado autoassinado, gere um. Neste exemplo, o nome SELF-SIGNED é usado como um nome de ponto verdadeiro:

conf t

crypto ca trustpoint SELF-SIGNED

enrollment self

fqdn

subject-name CN=

,O=

,C=

,St=

,L=

exit

crypto ca enroll SELF-SIGNED

crypto ca enroll SELF-SIGNED

WARNING: The certificate enrollment is configured with an

that differs from the system fqdn. If this certificate will be

used for VPN authentication this may cause connection problems.

Would you like to continue with this enrollment? [yes/no]: yes

% The fully-qualified domain name in the certificate will be: asa.lab.local

% Include the device serial number in the subject name? [yes/no]:

Generate Self-Signed Certificate? [yes/no]: yes

3. Associe o certificado gerado à interface:

ssl trust-point SELF-SIGNED

4. Verifique o certificado:

# show crypto ca certificates

Certificate

Status: Available

Certificate Serial Number: 673464d1

Certificate Usage: General Purpose

Public Key Type: RSA (4096 bits)

Signature Algorithm: RSA-SHA256

Issuer Name:

unstructuredName=asa.lab.local

CN=CN1

Subject Name:

unstructuredName=asa.lab.local

CN=CN1

Validity Date:

start date: 12:39:58 UTC Nov 13 2024

end   date: 12:39:58 UTC Nov 11 2034

Storage: config

Associated Trustpoints: SELF-SIGNED

Public Key Hashes:

SHA1 PublicKey hash:     b9d97fe57878a488fad9de9912sacb3772777

SHA1 PublicKeyInfo hash: 29055b2efdd3737c8bb335f578338a3d7831c63

5. Verifique a associação do certificado com a interface:

# show run all ssl

Problema 2. Como instalar ou renovar certificados usando o ASDM ou o ASA CLI?

Os usuários querem esclarecer as etapas para instalar ou renovar certificados usando o ASDM ou a CLI do ASA.

Ações recomendadas

Consulte os guias para instalar e renovar certificados:

- ASA: Instalação e renovação do certificado digital SSL

- Instalar e renovar certificados no ASA gerenciado pela CLI

Problemas de vulnerabilidade do ASDM

Esta seção aborda os problemas mais comuns relacionados à Vulnerabilidade do ASDM.

Problema 1. Vulnerabilidade detectada no ASDM

Caso detecte uma vulnerabilidade no ASDM.

Solução de problemas - Etapas recomendadas

Passo 1: Identifique a ID do CVE (por exemplo, CVE-2023-21930)

Passo 2: Procure o CVE nas Cisco Security Advisories e na ferramenta Cisco Bug Search:

Navegue até a página de recomendação:

https://sec.cloudapps.cisco.com/security/center/publicationListing.x

Abra a recomendação e verifique se o ASDM é afetado, por exemplo:

Caso não seja encontrado um aviso, pesquise o ID do CVE na Cisco Bug Search Tool (https://bst.cisco.com/bugsearch)

Nesse caso, foi identificado um defeito. Clique nele e verifique seus detalhes e a seção ‘Versões fixas conhecidas’:

O defeito foi corrigido na versão 7.22.1.181 do software ASDM.

Se as pesquisas na ferramenta de consultoria e na ferramenta de pesquisa de bugs para o ID do CVE especificado não retornarem nada, você precisará trabalhar com o Cisco TAC para esclarecer se o ASDM é afetado pelo CVE.

Referências

- Guias de configuração do ASDM

- Compatibilidade do Cisco ASA e ASDM por modelo