ASA での SSH サーバ CBC モード暗号の無効化

はじめに

このドキュメントでは、ASA で SSH サーバ CBC モードの暗号を無効にする方法について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

• 適応型セキュリティアプライアンス(ASA)プラットフォームアーキテクチャ
• 暗号ブロック連鎖（CBC）

使用するコンポーネント

このドキュメントの情報は、OS 9.6.1 が稼働する Cisco ASA 5506 に基づいています。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

背景説明

スキャンの脆弱性 CVE-2008-5161 には、暗号ブロック連鎖（CBC）モードでブロック暗号アルゴリズムを使用すると、リモート攻撃者が不明な経路を介して、SSH 内の任意の暗号テキストブロックから特定のプレーンテキストデータを簡単に回復できることが文書化されています。

Cipher Block Chaining(CBC)は、暗号ブロックの動作モードです。このアルゴリズムは、ブロック暗号を使用して、機密性や信頼性などの情報サービスを提供します。

問題

デフォルトでは、ASAのCBCモードはASAで有効になっています。これは、お客様の情報に対する脆弱性である可能性があります。

解決方法

Cisco Bug ID CSCum63371の拡張後、ASA SSH暗号を変更する機能はバージョン9.1(7)で導入されましたが、公式にはssh cipher encryptionコマンドとssh cipher integrityコマンドを含むリリースは9.6.1です。

SSHでCBCモードの暗号を無効にするには、次の手順を使用します。

ASAでsh run all sshを実行します。

ASA(config)# show run all ssh
ssh stricthostkeycheck
ssh 0.0.0.0 0.0.0.0 outside
ssh timeout 60
ssh version 2
ssh cipher encryption medium
ssh cipher integrity medium
ssh key-exchange group dh-group1-sha1

ssh cipher encryption mediumコマンドが表示された場合、これはASAがデフォルトでASAに設定された中および高強度の暗号を使用していることを意味します。

ASA で使用可能な SSH 暗号化アルゴリズムを確認するには、show ssh ciphers コマンドを実行します。

ASA(config)# show ssh ciphers
Available SSH Encryption and Integrity Algorithms Encryption Algorithms:
        all:     3des-cbc     aes128-cbc   aes192-cbc   aes256-cbc   aes128-ctr   aes192-ctr   aes256-ctr
        low:     3des-cbc     aes128-cbc   aes192-cbc   aes256-cbc   aes128-ctr   aes192-ctr   aes256-ctr
        medium:  3des-cbc     aes128-cbc   aes192-cbc   aes256-cbc   aes128-ctr   aes192-ctr   aes256-ctr
        fips:    aes128-cbc   aes256-cbc
        high:    aes256-cbc   aes256-ctr
Integrity Algorithms:
        all:     hmac-sha1    hmac-sha1-96 hmac-md5     hmac-md5-96
        low:     hmac-sha1    hmac-sha1-96 hmac-md5     hmac-md5-96
        medium:  hmac-sha1    hmac-sha1-96
        fips:    hmac-sha1
        high:    hmac-sha1

出力には、使用可能なすべての暗号化アルゴリズム3des-cbc aes128-cbc aes192-cbc aes256-cbc128-ctr aes192-ctr aes256-ctrが示されます。

SSH設定で使用できるようにCBCモードをディセーブルにするには、使用する暗号化アルゴリズムを次のコマンドでカスタマイズします。

ssh cipher encryption custom aes128-ctr:aes192-ctr:aes256-ctr

この作業が完了したら、show run all sshコマンドを実行します。 現在、ssh暗号暗号化設定では、すべてのアルゴリズムがCTRモードのみを使用します。

ASA(config)# show run all ssh
ssh stricthostkeycheck
ssh 0.0.0.0 0.0.0.0 outside
ssh timeout 60
ssh version 2
ssh cipher encryption custom "aes128-ctr:aes192-ctr:aes256-ctr"
ssh cipher integrity medium
ssh key-exchange group dh-group1-sha1

同様に、SSH 整合性アルゴリズムは、ssh cipher integrity コマンドを使用して変更できます。