Как Arista EOS и Cisco IOS шифруют tacacs+ ключи шифрования?
Мы используем tacacs для AAA на наших сетевых устройствах, и мне интересно / интересно, как наши устройства шифруют пароли на стороне устройства.
Следуя руководству по Arista EOS, стр. 139, я запускаю:
switch(config)#tacacs-server key 0 cv90jr1
Руководство говорит мне, что соответствующая зашифрованная строка 020512025B0C1D70,
switch(config)#show running-config | grep tacacs
tacacs-server key 7 1306014B5B06167B
Мне было любопытно увидеть другую зашифрованную строку, чем та, которую они упомянули. Поэтому я добавил этот ключ еще десять раз и взглянул на зашифрованные версии:
tacacs-server key 7 0110105D0B01145E
tacacs-server key 7 070C37151E030B54
tacacs-server key 7 020512025B0C1D70
tacacs-server key 7 1306014B5B06167B
tacacs-server key 7 020512025B0C1D70
tacacs-server key 7 020512025B0C1D70
tacacs-server key 7 0110105D0B01145E
tacacs-server key 7 110A0F5C4718195D
tacacs-server key 7 0007055F54511957
tacacs-server key 7 03074D525605331D
Я не мог найти никакой информации об этом. Меня особенно интересует тот факт, что я столкнулся с ключом руководства три раза и у меня произошло еще одно отдельное столкновение. Что бы они ни делали, кажется, что они не имеют особенно большой входной области.
Так как же это зашифровано? Если злоумышленник должен был получить информацию о конфигурации устройства (скажем, вывод show running-config) насколько легко / сложно было бы вычислить истинный ключ tacacs +?
Cisco IOS работает так же? У меня нет лабораторного устройства Cisco, на котором можно было бы экспериментировать с этим, но у меня сложилось впечатление, что функции, которые, по мнению Аристы, не должны были отличаться, идентичны между Arista и Cisco.
2 ответа
Это кодировка Cisco типа 7... Я бы не стал называть это шифрованием, поскольку это невероятно слабый алгоритм. Чтобы продемонстрировать, поместите любую из этих зашифрованных строк в этот инструмент, и он сразу же даст вам секретный ключ.
Изменчивость в зашифрованном выводе действительно происходит из-за соли - в частности, tfd;kfoA,.iyewrkldJKD, Эта строка является константой, которая зависит от начальной точки - первые два символа зашифрованной строки указывают, где на соли начинать дешифрование.
Смотрите здесь для получения дополнительной информации о специфике реализации алгоритма.
Эти ключи, как упомянул Шейн, вряд ли зашифрованы и обычно считаются просто защитой от чрезмерного просмотра ключей и паролей. Фактически, если у вас не включено шифрование пароля службы в Cisco, ключи будут в незашифрованном виде.
Как правило, если вам нужно поделиться этой конфигурацией с кем-то за пределами вашей организации, вам нужно удалить ключи из файла конфигурации и любые другие пароли, которые используют тип 7.