فهم تشفير كلمة مرور Cisco IOS

المقدمة

يصف هذا المستند نموذج الأمان خلف تشفير كلمة مرور Cisco، وقيود الأمان الخاصة بهذا التشفير.

الخلفية

لقد أصدر مصدر غير تابع لشركة Cisco برنامجًا لفك تشفير كلمات مرور المستخدم (وكلمات المرور الأخرى) في ملفات تكوين Cisco. لا يقوم البرنامج بفك تشفير كلمات المرور المعينة باستخدام enable secret الأمر. أدى القلق غير المتوقع الذي سببه البرنامج بين مستخدمي Cisco إلى الشك في أن العديد من المستخدمين يعتمدون على تشفير كلمة مرور Cisco للحصول على قدر من الأمان أكبر مما كان مصمما لتقديمه.

ملاحظة: توصي Cisco بأن تنفذ جميع أجهزة Cisco IOS® نموذج أمان المصادقة والتفويض والمحاسبة (AAA). يمكن أن تستخدم المصادقة والتفويض والمحاسبة (AAA) قواعد بيانات محلية و RADIUS و TACACS+.

المتطلبات الأساسية

المتطلبات

لا توجد متطلبات خاصة لهذا المستند.

المكونات المستخدمة

لا يقتصر هذا المستند على إصدارات برامج ومكونات مادية معينة.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

الاصطلاحات

للحصول على مزيد من المعلومات حول اصطلاحات المستندات، ارجع إلى اصطلاحات تلميحات Cisco التقنية.

كلمات مرور المستخدم

يتم تشفير كلمات مرور المستخدم ومعظم كلمات المرور الأخرى (وليس enable secrets) في ملفات تكوين Cisco IOS باستخدام نظام ضعيف جدا بواسطة المعايير المشفرة الحديثة.

على الرغم من أن Cisco لا تقوم بتوزيع برنامج فك تشفير، إلا أن هناك على الأقل برنامجين مختلفين لفك التشفير لكلمات مرور Cisco IOS متاحين للعامة على الإنترنت؛ الإصدار العام الأول من هذا البرنامج الذي تعلم Cisco أنه كان في أوائل عام 1995. ونتوقع من أي مشفر هاو أن يتمكن من إنشاء برنامج جديد بأقل جهد ممكن.

لم يكن المقصود من النظام الذي يستخدمه Cisco IOS لكلمات مرور المستخدم هو مقاومة هجوم ذكي ومحدد. تم تصميم نظام التشفير لتجنب سرقة كلمة المرور من خلال التطفل أو التطفل البسيط. لم يكن الغرض منه الحماية ضد شخص يقوم بعمل جهد تكسير كلمة المرور على ملف التكوين.

نظرا لضعف خوارزمية التشفير، كان دائما موقف Cisco هو أن المستخدمين يتعاملون مع أي ملف تكوين يحتوي على كلمات مرور على أنها معلومات حساسة، بنفس الطريقة التي يتعاملون بها مع قائمة نصية واضحة لكلمات المرور.

ال enable سر و enable كلمة أمر

لم يعد من المستحسن إستخدام enable password الأمر. أستخدم enable secret الأمر للحصول على أمان أفضل. المثيل الوحيد الذي يمكن فيه إختبار enable password الأمر هو عندما يكون الجهاز في وضع التمهيد الذي لا يدعم الأمرenable secret.

تمكين تجزئة الأسرار باستخدام خوارزمية MD5. على قدر ما يعرفه أي شخص في Cisco، من المستحيل إستعادة enable secret استنادا إلى محتويات ملف تكوين (بخلاف هجمات القاموس الواضحة).

ملاحظة: لا ينطبق هذا إلا على كلمات المرور المعينة مع enable secret، وليس على كلمات المرور المعينة مع enable password. والواقع أن قوة التشفير المستخدمة هي الفارق المهم الوحيد بين الأمرين.

ما هي صورة Cisco IOS التي تدعم أمر enable secret؟

نظرت في صورة التمهيد الخاصة بك باستخدام show version الأمر من وضع التشغيل العادي لديك (صورة برنامج Cisco IOS الكاملة) لمعرفة ما إذا كانت صورة التمهيد تدعم enable secret الأمر. إذا كان كذلك، فقم بإزالة enable password. إذا لم تدعم صورة التمهيد، enable secretلاحظ التنبيهات التالية:

• قد يكون إستخدام كلمة مرور enable غير ضروري إذا كان لديك تأمين طبيعي بحيث لا يمكن لأحد إعادة تحميل الجهاز إلى صورة التمهيد.

• إذا كان شخص ما لديه وصول طبيعي إلى الجهاز، فيمكنه تخريب أمان الجهاز بسهولة دون الحاجة إلى الوصول إلى صورة التمهيد.

• إذا قمت بضبط enable password نفس الشيء مثل enable secret، لقد جعلت enable secretميالة إلى الهجوم مثل enable password.

• إذا قمت بضبط قيمة مختلفة enable password لأن صورة التمهيد لا تدعم، enable secretفيجب أن يتذكر مسؤولو الموجه كلمة مرور جديدة يتم إستخدامها بشكل غير متكرر على ذاكرة القراءة فقط (ROM) التي لا تدعم enable secret الأمر. مع كلمة مرور تمكين منفصلة، يحتاج المسؤولون إلى تذكر كلمة المرور عند فرض وقت توقف عن العمل لترقية البرامج، وهو السبب الوحيد لتسجيل الدخول إلى وضع التمهيد.

كلمات المرور الأخرى

يتم تشفير معظم كلمات المرور سلاسل المصادقة الأخرى في ملفات تكوين Cisco IOS باستخدام النظام الضعيف القابل للعكس المستخدم لكلمات مرور المستخدم.

لتحديد النظام الذي تم إستخدامه لتشفير كلمة مرور معينة، تحقق من الرقم قبل السلسلة المشفرة في ملف التكوين. إذا كان هذا الرقم هو 7، فسيتم تشفير كلمة المرور باستخدام الخوارزمية الضعيفة. إذا كان الرقم هو 5، فسيتم تجزئة كلمة المرور باستخدام خوارزمية MD5 الأقوى.

على سبيل المثال، في أمر التكوين:

enable secret 5 $1$iUjJ$cDZ03KKGh7mHfX2RSbDqP.

تمت تجزئة أمر enable secret مع MD5، بينما في الأمر:

username jdoe password 7 07362E590E1B1C041B1E124C0A2F2E206832752E1A01134D

تم تشفير كلمة المرور باستخدام خوارزمية العكس الضعيفة.

ملفات التكوين

عند إرسال معلومات التكوين في بريد إلكتروني، قم بإزالة التكوين من كلمات المرور من النوع 7. يمكنك إستخدام الأمرshow tech-support، والذي يعمل على مسح المعلومات بشكل افتراضي. يتم عرض عينة من مخرجات show tech-support الأمر هنا:

...
 hostname routerA
 !
 aaa new-model
 aaa authentication login default local
 aaa authentication ppp default if-needed local
 enable secret 5 <removed>
 !
 username jdoe password 7 <removed>
 username headquarters password 7 <removed>
 username hacker password 7 <removed>
 ...

عند حفظ ملفات التكوين الخاصة بك على خادم بروتوكول نقل الملفات المبسط (TFTP)، قم بتغيير الامتيازات الخاصة بذلك الملف عندما يكون غير قيد الاستخدام أو قم بوضعه خلف جدار حماية.

هل يمكن تغيير الخوارزمية؟

لا توجد لدى Cisco خطط فورية لدعم خوارزمية تشفير أقوى لكلمات مرور مستخدم Cisco IOS. إذا قررت Cisco تقديم مثل هذه الميزة في المستقبل، فإن هذه الميزة تفرض بشكل قاطع عبئا إداريا إضافيا على المستخدمين الذين يختارون الاستفادة منها.

لا يمكن، في الحالة العامة، تحويل كلمات مرور المستخدم إلى الخوارزمية المستندة إلى MD5 المستخدمة لتمكين الأسرار، لأن MD5 عبارة عن تجزئة أحادية الإتجاه، ولا يمكن إسترداد كلمة المرور من البيانات المشفرة على الإطلاق. لدعم بروتوكولات مصادقة معينة (وخاصة CHAP)، يحتاج النظام إلى الوصول إلى النص الواضح لكلمات مرور المستخدم، وبالتالي يجب تخزينها بخوارزمية قابلة للعكس.

قد تجعل مشاكل الإدارة الرئيسية من التحول إلى خوارزمية قابلة للعكس قوية مهمة غير بسيطة، مثل معيار تشفير البيانات (DES). على الرغم من أنه سيكون من السهل تعديل برنامج Cisco IOS لاستخدام DES لتشفير كلمات المرور، إلا أنه لن تكون هناك ميزة أمان في هذا النهج، إذا كانت جميع أنظمة Cisco IOS تستخدم مفتاح DES نفسه. إذا تم إستخدام مفاتيح مختلفة من قبل أنظمة مختلفة، فسيتم تقديم عبء إداري لجميع مسؤولي شبكة Cisco IOS، وستتعرض إمكانية نقل ملفات التكوين بين الأنظمة للتلف. كان طلب المستخدم لتشفير كلمة المرور الأقوى الذي يمكن عكسه صغيرا.

معلومات ذات صلة

• إجراءات استرداد كلمة المرور
• cisco مرشد أن يقسي cisco ios أداة
• الدعم الفني - Cisco Systems