lukasz.bromirski.net

aviate, navigate, communicate

openssh i klucze - bezpieczne klucze

gdzieś w okolicach 2013 roku (a konkretnie, na ‘małego’ Mikołaja) do OpenSSH dodano obsługę nowego formatu przechowywania kluczy. jest to istotne o tyle, że nowy format pozwala zmienić używany do tej pory hash MD5 (baaaaaardzo szybko i efektywnie przeszukiwany przez dzisiejsze GPU) na inny. w tym konkretnym przypadku używamy modyfikacji algorytmu bcrypt, która w popularnym ‘łamaczu’ hashy hashcat zwalnia wielbiciela naszego hasła do klucza prywatnego z wydajności gigahashy na co najwyżej kilohashe. czytaj dalej →

OpenSSH 7

OpenSSH 7 przyniósł między innymi wycofanie dla wsparcia mechanizmu wymiany kluczy za pomocą grupy 1 Diffie-Hellmana diffie-hellman-group1-sha1 (można ją zaatakować za pomocą Logjam). Wszystko dobrze, do czasu próby dostania się potem do urządzeń, które domyślnie (lub w ogóle) obsługują tylko wymianę grupy 1. W drugim wypadku czeka nas uaktualnienie oprogramowania, w pierwszym - rekonfiguracja. Na urządzeniach Cisco ASA należy dopisać do konfiguracji: ssh key-exchange group dh-group14-sha1 Na urządzeniach z Cisco IOS należy ustawić minimalną długość kluczy - IOS domyślnie iteruje z listy dostępnych mechanizmów i pominie (jako serwer) te, które nie spełniają tego wymogu: czytaj dalej →

kluczami, nie hasłami

temat stary jak świat, ale właśnie musiałem zrobić trochę porządków i trafiłem na problem z kluczami… 4096 bitowymi. bardziej dla własnej informacji, ale być może komuś to zebrane w jednym miejscu się przyda. klucze do Cisco IOS importuje się bez specjalnego problemu: router#conf t Enter configuration commands, one per line. End with CNTL/Z. router(config)#ip ssh pubkey-chain router(conf-ssh-pubkey)#username TEST router(conf-ssh-pubkey-user)#key-string router(conf-ssh-pubkey-data)#AAAAB3NzaC1yc2EAAAADAQABAAACAQDCiLBaopUwsFb9YJNhGqVYqBajlrH S/zwD6/yR6N8VcRzrpqMMNCFXe1q5GMGM[...]ANWInd9GHBjTzbJWVwavxy1ooQewii8ErofZuv1l/SXSdXLzfL p0zMoZ0L+BNPS0j4XBS0N3t8Vl8oVixqIeG2BNTCNaDDt6hx2Q== lukasz@bromirski.net router(conf-ssh-pubkey-user)#exit router(conf-ssh-pubkey)#exit dla Cisco ASA klucze powyżej 2048 bitów trzeba zaimportować używając formatu ‘pkf’ - ponieważ linia poleceń ma ograniczenie do 512 bajtów. czytaj dalej →

ASA 9.2(1)

…wspiera BGP. właśnie wyszła. lubicie BGP na swoich firewallach? ja nie. czy warto mieć takie narzędzie w ręce? przyznaje, czasem warto. ale wracając do pierwotnego pytania - lubicie BGP na swoich firewallach? czytaj dalej →