交換機存在漏洞，SSH 服務支持弱加密算法。
- 0關注
- 0收藏，2788瀏覽
問題描述：
H3C交換機存在漏洞，SSH 服務支持弱加密算法。 （遠程SSH服務器配置為使用arcfour流密碼或無任何密碼。RFC 4253不建議使用arcfour弱算法。） 如何修複
- 2025-01-14提問
- 舉報
-
(0)
最佳答案
配置SSH2協議算法集
1.7.1 SSH協議算法集簡介
設備作為服務器或者客戶端與對端建立Stelnet、SFTP、SCP會話過程中，將使用指定的算法優先列表進行協商。指定的算法包括：
· 密鑰交換算法
· 主機簽名算法
· 加密算法
· MAC算法
協商過程中，客戶端采用的算法匹配順序為優先列表中各算法的配置順序，服務器根據客戶端的算法來匹配和協商。
1.7.2 配置SSH2協議密鑰交換算法優先列表
(1) 進入係統視圖。
system-view
(2) 配置SSH2協議密鑰交換算法優先列表。
（非FIPS模式）
ssh2 algorithm key-exchange { dh-group-exchange-sha1 | dh-group1-sha1 | dh-group14-sha1 | ecdh-sha2-nistp256 | ecdh-sha2-nistp384 } *
缺省情況下，SSH2協議采用的缺省密鑰交換算法從高到底的優先級列表為ecdh-sha2-nistp256、ecdh-sha2-nistp384、dh-group-exchange-sha1、dh-group14-sha1和dh-group1-sha1。
（FIPS模式）
ssh2 algorithm key-exchange { dh-group14-sha1 | ecdh-sha2-nistp256 | ecdh-sha2-nistp384 } *
缺省情況下，SSH2協議采用的缺省密鑰交換算法從高到底的優先級列表為ecdh-sha2-nistp256、ecdh-sha2-nistp384和dh-group14-sha1。
1.7.3 配置SSH2協議主機簽名算法優先列表
(1) 進入係統視圖。
system-view
(2) 配置SSH2協議主機簽名算法優先列表。
（非FIPS模式）
ssh2 algorithm public-key { dsa | ecdsa-sha2-nistp256 | ecdsa-sha2-nistp384 | rsa | x509v3-ecdsa-sha2-nistp256 | x509v3-ecdsa-sha2-nistp384 } *
缺省情況下，SSH2協議使用的缺省主機簽名算法從高到底的優先級列表為x509v3-ecdsa-sha2-nistp256、x509v3-ecdsa-sha2-nistp384、ecdsa-sha2-nistp256、ecdsa-sha2-nistp384、rsa和dsa。
（FIPS模式）
ssh2 algorithm public-key { ecdsa-sha2-nistp256 | ecdsa-sha2-nistp384 | rsa | x509v3-ecdsa-sha2-nistp256 | x509v3-ecdsa-sha2-nistp384 } *
缺省情況下，SSH2協議使用的缺省主機簽名算法從高到底的優先級列表為x509v3-ecdsa-sha2-nistp256、x509v3-ecdsa-sha2-nistp384、ecdsa-sha2-nistp256、ecdsa-sha2-nistp384、rsa。
1.7.4 配置SSH2協議加密算法優先列表
(1) 進入係統視圖。
system-view
(2) 配置SSH2協議加密算法優先列表。
（非FIPS模式）
ssh2 algorithm cipher { 3des-cbc | aes128-cbc | aes128-ctr | aes128-gcm | aes192-ctr | aes256-cbc | aes256-ctr | aes256-gcm | des-cbc } *
缺省情況下，SSH2協議采用的缺省加密算法從高到底的優先級列表為aes128-ctr、aes192-ctr、aes256-ctr、aes128-gcm、aes256-gcm、aes128-cbc、3des-cbc、aes256-cbc、des-cbc。
（FIPS模式）
ssh2 algorithm cipher { aes128-cbc | aes128-ctr | aes128-gcm | aes192-ctr | aes256-cbc | aes256-ctr | aes256-gcm } *
缺省情況下，SSH2協議采用的缺省加密算法從高到底的優先級列表為aes128-ctr、aes192-ctr、aes256-ctr、aes128-gcm、aes256-gcm、aes128-cbc和aes256-cbc。
1.7.5 配置SSH2協議MAC算法優先列表
(1) 進入係統視圖。
system-view
(2) 配置SSH2協議MAC算法優先列表。
（非FIPS模式）
ssh2 algorithm mac { md5 | md5-96 | sha1 | sha1-96 | sha2-256 | sha2-512 } *
缺省情況下，SSH2協議使用的缺省MAC算法從高到底的優先級列表為sha2-256、sha2-512、sha1、md5、sha1-96和md5-96。
（FIPS模式）
ssh2 algorithm mac { sha1 | sha1-96 | sha2-256 | sha2-512 } *
缺省情況下，SSH2協議使用的缺省MAC算法從高到底的優先級列表為sha2-256、sha2-512、sha1和sha1-96。
- 2025-01-14回答
- 評論(0)
- 舉報
-
(0)
H3C 交換機的 SSH 服務支持弱加密算法問題可以通過禁用弱加密算法並啟用強加密算法來修複。以下是具體的修複步驟：
1. 檢查當前 SSH 配置
在交換機上檢查當前 SSH 服務的加密算法支持情況：
display ssh server cipher
- 輸出示例：
Supported server ciphers: aes128-cbc aes256-cbc arcfour
如果 arcfour 存在，說明交換機啟用了弱加密算法。
2. 修改 SSH 加密算法配置
使用命令移除弱加密算法，並指定推薦的強加密算法（如 aes128-cbc 和 aes256-cbc）。
步驟：
- 進入係統視圖：
system-view - 設置 SSH 服務支持的加密算法：
ssh server cipher aes128-cbc aes256-cbc - 確認配置生效：
display ssh server cipher
3. 檢查 SSH 協議版本
確保 SSH 服務使用的是 SSH 協議 2（比 SSH 協議 1 更安全）：
- 查看當前協議版本：
display ssh server - 如果協議版本為 1，修改為協議 2：
ssh server compatible-ssh1x disable
4. 關閉未使用的弱算法
在某些場景下，還需要關閉其他不安全的算法，例如：
- MAC 算法：
禁用不安全的 MAC 算法（如
hmac-md5和hmac-sha1），僅保留推薦的強算法（如hmac-sha2-256）。ssh server mac hmac-sha2-256
5. 保存配置
完成修改後，保存配置以確保重啟後配置不會丟失：
save
6. 驗證修複結果
使用工具（如 ssh-audit 或安全掃描工具）對交換機的 SSH 服務進行重新掃描，確保弱加密算法已禁用。
7. 推薦強加密算法
以下是一些推薦的強加密算法：
- 加密算法：
aes128-cbc,aes256-cbc,aes128-ctr,aes256-ctr - MAC 算法：
hmac-sha2-256,hmac-sha2-512
8. 注意事項
- 確保在進行修改前備份配置，以便出現問題時可以快速恢複。
- 如果交換機固件版本較低且不支持強加密算法，建議升級到最新穩定版本。
- 修改 SSH 配置可能會影響現有 SSH 會話的兼容性，建議在維護窗口進行。
通過以上步驟，可以有效修複 H3C 交換機上 SSH 服務支持弱加密算法的問題，提升設備的安全性。
- 2025-01-14回答
- 評論(1)
- 舉報
-
(0)
好一手deepseek
好一手deepseek
編輯答案
親~登錄後才可以操作哦!
確定你的郵箱還未認證，請認證郵箱或綁定手機後進行當前操作
舉報
×
侵犯我的權益
×
侵犯了我企業的權益
×
- 1. 您舉報的內容是什麼？（請在郵件中列出您舉報的內容和鏈接地址）
- 2. 您是誰？（身份證明材料，可以是身份證或護照等證件）
- 3. 是哪家企業？（營業執照，單位登記證明等證件）
- 4. 您與該企業的關係是？（您是企業法人或被授權人，需提供企業委托授權書）
抄襲了我的內容
×
原文鏈接或出處
誹謗我
×
- 1. 您舉報的內容以及侵犯了您什麼權益？（請在郵件中列出您舉報的內容、鏈接地址，並給出簡短的說明）
- 2. 您是誰？（身份證明材料，可以是身份證或護照等證件）
對根叔社區有害的內容
×
不規範轉載
×
舉報說明