Cisco сообщает о слабо хешированных паролях в своих IOS-устройствах

image

Теги: Cisco, пароли

Фактическая реализация технологии хеширования паролей не соответствует стандартам, содержащимся в описании продуктов компании.

Один из типов (Type 4) паролей пользователей в некоторых устройствах Cisco IOS и Cisco IOS XE хешируются не правильным образом и не соответствуют стандартам, о которых говорится в описании продуктов. Таким образом, они являются уязвимыми для ряда распространенных атак, сообщили разработчики.

Особенность реализации паролей Type 4, как следует из описания Cisco, предусматривает использование технологии Password-Based Key Derivation Function 2 (PBKDF2), согласно которой хеширование пользовательских паролей происходит с использованием стандартов шифрования SHA-256, 80-битной «соли», а также итерированием алгоритма хеширования одну тысячу раз. Вместе с тем, фактическая реализация представляет собой хеширование без «соли» с помощью SHA-256 и однократной итерации.

По словам экспертов Cisco, такие пароли являются крайне уязвимыми даже для такой простой атаки, как брутфорс.

Разработчики также отметили, что уязвимыми являются только те устройства, в которых включена поддержка паролей Type 4, а также команд «enable secret» и «username secret».

В целях повышения уровня безопасности Cisco рекомендует своим клиентам заменить уязвимые пароли на Type 5. В компании также отметили, что в будущих версиях IOS и IOS XE способность генерировать пароли Type 4 будет отключена. 


или введите имя

CAPTCHA
Разрушитель мифов
21-03-2013 21:22:17
Слабохэшированные? Что-то новое.
0 |
Neandert
22-03-2013 12:01:52
Это известно уже далеко не один год. И нормальный админ при необходимости переслать конфиг обязательно затирает хэши паролей в нём.
0 |