Introducción
Este documento describe cómo inhabilitar los cifradores de modo CBC del servidor SSH en ASA.
Prerequisites
Requirements
Cisco recomienda que tenga conocimiento sobre estos temas:
- Arquitectura de plataforma del dispositivo de seguridad adaptable (ASA)
- Encadenamiento de bloques de cifrado (CBC)
Componentes Utilizados
La información de este documento se basa en un Cisco ASA 5506 con OS 9.6.1.
La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.
Antecedentes
En la vulnerabilidad de escaneo CVE-2008-5161 se documenta que el uso de un algoritmo de cifrado de bloques en el modo Cipher Block Chaining (CBC), facilita que los atacantes remotos recuperen ciertos datos de texto sin formato de un bloque arbitrario de texto cifrado en una sesión SSH a través de vectores desconocidos.
Cipher Block Chaining es un modo de funcionamiento para el bloque de cifrado. Este algoritmo utiliza un cifrado de bloque para proporcionar un servicio informativo como confidencialidad o autenticidad.
Problema
De forma predeterminada, el modo ASA CBC está habilitado en el ASA, lo que podría suponer una vulnerabilidad para la información de los clientes.
Solución
Después de la mejora del ID de bug Cisco CSCum6371, la capacidad de modificar los cifrados ssh ASA se introdujo en la versión 9.1(7), pero la versión que oficialmente tiene los comandos ssh cipher encryption y ssh cipher integration es 9.6.1.
Para inhabilitar los cifrados del modo CBC en SSH, utilice este procedimiento:
Ejecute sh run all ssh en ASA:
ASA(config)# show run all ssh
ssh stricthostkeycheck
ssh 0.0.0.0 0.0.0.0 outside
ssh timeout 60
ssh version 2
ssh cipher encryption medium
ssh cipher integrity medium
ssh key-exchange group dh-group1-sha1
Si ve el comando ssh cipher encryption medium, esto significa que ASA utiliza cifradores de media y alta resistencia que se configuran de forma predeterminada en el ASA.
Para ver los algoritmos de cifrado ssh disponibles en el ASA, ejecute el comando show ssh ciphers:
ASA(config)# show ssh ciphers
Available SSH Encryption and Integrity Algorithms Encryption Algorithms:
all: 3des-cbc aes128-cbc aes192-cbc aes256-cbc aes128-ctr aes192-ctr aes256-ctr
low: 3des-cbc aes128-cbc aes192-cbc aes256-cbc aes128-ctr aes192-ctr aes256-ctr
medium: 3des-cbc aes128-cbc aes192-cbc aes256-cbc aes128-ctr aes192-ctr aes256-ctr
fips: aes128-cbc aes256-cbc
high: aes256-cbc aes256-ctr
Integrity Algorithms:
all: hmac-sha1 hmac-sha1-96 hmac-md5 hmac-md5-96
low: hmac-sha1 hmac-sha1-96 hmac-md5 hmac-md5-96
medium: hmac-sha1 hmac-sha1-96
fips: hmac-sha1
high: hmac-sha1
La salida muestra todos los algoritmos de cifrado disponibles: 3des-cbc aes128-cbc aes192-cbc aes256-cbc aes128-ctr aes192-ctr aes256-ctr.
Para inhabilitar el modo CBC de modo que se pueda utilizar en la configuración ssh, personalice los algoritmos de cifrado que se utilizarán, con este comando:
ssh cipher encryption custom aes128-ctr:aes192-ctr:aes256-ctr
Una vez hecho esto, ejecute el comando show run all ssh. Ahora, en la configuración de cifrado ssh, todos los algoritmos utilizan sólo el modo CTR:
ASA(config)# show run all ssh
ssh stricthostkeycheck
ssh 0.0.0.0 0.0.0.0 outside
ssh timeout 60
ssh version 2
ssh cipher encryption custom "aes128-ctr:aes192-ctr:aes256-ctr"
ssh cipher integrity medium
ssh key-exchange group dh-group1-sha1
Del mismo modo, los algoritmos de integridad SSH se pueden modificar con el comando ssh cipher integration.
Comentarios