Cisco сообщает о слабо хешированных паролях в своих IOS-устройствах

Тема в разделе "Новости информационной безопасности", создана пользователем Mila, 21 мар 2013.

  1. Mila
    Оффлайн

    Mila Команда форума Основатель

    Сообщения:
    4.970
    Симпатии:
    13.602
    Фактическая реализация технологии хеширования паролей не соответствует стандартам, содержащимся в описании продуктов компании.

    Один из типов (Type 4) паролей пользователей в некоторых устройствах Cisco IOS и Cisco IOS XE хешируются не правильным образом и не соответствуют стандартам, о которых говорится в описании продуктов. Таким образом, они являются уязвимыми для ряда распространенных атак, сообщили разработчики.

    Особенность реализации паролей Type 4, как следует из описания Cisco, предусматривает использование технологии Password-Based Key Derivation Function 2 (PBKDF2), согласно которой хеширование пользовательских паролей происходит с использованием стандартов шифрования SHA-256, 80-битной «соли», а также итерированием алгоритма хеширования одну тысячу раз. Вместе с тем, фактическая реализация представляет собой хеширование без «соли» с помощью SHA-256 и однократной итерации.

    По словам экспертов Cisco, такие пароли являются крайне уязвимыми даже для такой простой атаки, как брутфорс.

    Разработчики также отметили, что уязвимыми являются только те устройства, в которых включена поддержка паролей Type 4, а также команд «enable secret» и «username secret».

    В целях повышения уровня безопасности Cisco рекомендует своим клиентам заменить уязвимые пароли на Type 5. В компании также отметили, что в будущих версиях IOS и IOS XE способность генерировать пароли Type 4 будет отключена.



    источник
     
    1 человеку нравится это.

Поделиться этой страницей