簡介
本文檔介紹如何在ASA上停用SSH伺服器CBC模式密碼。
必要條件
需求
思科建議您瞭解以下主題：
- 自適應安全裝置(ASA)平台架構
- 密碼區塊鏈結(CBC)
採用元件
本文檔中的資訊基於採用作業系統9.6.1的Cisco ASA 5506。
本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。
背景資訊
在掃描漏洞CVE-2008-5161上，有文檔記錄了在加密塊連結(CBC)模式下使用塊加密演算法後，遠端攻擊者能夠更加輕鬆地在SSH會話中透過未知向量從任意塊加密文本恢復特定明文資料。
Cipher Block Chaining是密碼塊的操作模式。此演演算法使用區塊密碼來提供資訊服務，例如機密性或真實性。
問題
預設情況下，ASA上的ASA CBC模式已啟用，這可能會成為客戶資訊的漏洞。
解決方案
在增強思科漏洞ID CSCum63371之後，版本9.1(7)中引入了修改ASA ssh密碼的功能，但是正式包含ssh密碼加密和ssh密碼完整性命令的版本是9.6.1。
要在SSH上停用CBC模式密碼，請按照以下步驟操作：
在ASA上運行sh run all ssh：
ASA(config)# show run all ssh
ssh stricthostkeycheck
ssh 0.0.0.0 0.0.0.0 outside
ssh timeout 60
ssh version 2
ssh cipher encryption medium
ssh cipher integrity medium
ssh key-exchange group dh-group1-sha1
如果看到ssh cipher encryption medium命令，則這意味著ASA使用預設情況下在ASA上設定的中強度和高強度密碼。
要檢視ASA中可用的ssh加密演算法，請運行命令show ssh ciphers：
ASA(config)# show ssh ciphers
Available SSH Encryption and Integrity Algorithms Encryption Algorithms:
all: 3des-cbc aes128-cbc aes192-cbc aes256-cbc aes128-ctr aes192-ctr aes256-ctr
low: 3des-cbc aes128-cbc aes192-cbc aes256-cbc aes128-ctr aes192-ctr aes256-ctr
medium: 3des-cbc aes128-cbc aes192-cbc aes256-cbc aes128-ctr aes192-ctr aes256-ctr
fips: aes128-cbc aes256-cbc
high: aes256-cbc aes256-ctr
Integrity Algorithms:
all: hmac-sha1 hmac-sha1-96 hmac-md5 hmac-md5-96
low: hmac-sha1 hmac-sha1-96 hmac-md5 hmac-md5-96
medium: hmac-sha1 hmac-sha1-96
fips: hmac-sha1
high: hmac-sha1
輸出會顯示所有可用的加密演演算法：3des-cbc aes128-cbc aes192-cbc aes256-cbc aes128-ctr aes192-ctr aes256-ctr。
要停用CBC模式以便可以將其用於ssh配置，請使用此命令自定義要使用的加密演算法：
ssh cipher encryption custom aes128-ctr:aes192-ctr:aes256-ctr
完成此操作後，請運行show run all ssh命令。 現在，在ssh密碼加密配置中，所有演算法僅使用CTR模式：
ASA(config)# show run all ssh
ssh stricthostkeycheck
ssh 0.0.0.0 0.0.0.0 outside
ssh timeout 60
ssh version 2
ssh cipher encryption custom "aes128-ctr:aes192-ctr:aes256-ctr"
ssh cipher integrity medium
ssh key-exchange group dh-group1-sha1
同樣，可以使用ssh密碼完整性命令修改SSH完整性演算法。
意見