• entr­er dans le mode priv­ilégié (enable)
• entr­er dans le mode de con­fig­u­ra­tion glob­ale du switch (con­fig­ure ter­mi­nal)
• définir le mot de passe TOTO (enable pass­word TOTO)
• sor­tir du mode de con­fig­u­ra­tion glob­al (exit)
• sor­tir du mode priv­ilégié (dis­able)
• testez le mot de passe en essayant d’en­tr­er dans le mode priv­ilégié (enable)

Et voila, votre équipement est sécurisé !

Main­tenant, regar­dons un peu com­ment est sauve­g­ardé ce fameux mot de passe en tapant la com­mande « show run­ning-con­fig ». On s’aperçoit que le mot de passe est stocké en clair dans la configuration :

Ce n’est pas for­cé­ment un prob­lème que le mot de passe soit stocké en clair dans le sens où seul un admin­is­tra­teur qui se trou­ve déjà dans le mode priv­ilégié (donc con­nais­sant le mot de passe) peut visu­alis­er la configuration.

La où c’est plus gênant c’est lorsque vous exportez la con­fig­u­ra­tion vers un serveur de sauve­g­arde, le mot de passe restera en clair. Ou lorsque vous installez un nou­v­el équipement à dis­tance, vous devez don­ner le fichi­er de con­fig­u­ra­tion à la per­son­ne qui installera physique­ment l’équipement, il con­naî­tra alors votre mot de passe… bon vous l’avez com­pris, c’est pas excel­lent comme sécurisation 🙁

Cis­co a réfléchi (si si) pour sécuris­er le mot de passe au sein même de la con­fig­u­ra­tion. Il utilise une fonc­tion de chiffre­ment basé sur l’al­go­rithme de Vigenere qui per­met de ren­dre le mot de passe illis­i­ble. Pour activ­er cette fonc­tion, rien de plus simple :

• entr­er dans le mode priv­ilégié (enable)
• entr­er dans le mode de con­fig­u­ra­tion glob­ale du switch (con­fig­ure ter­mi­nal)
• activ­er la fonc­tion de chiffre­ment de mot de passe (ser­vice pass­word-encryp­tion)
• sor­tir du mode de con­fig­u­ra­tion glob­al (exit)
• véri­fi­er que le mot de passe est bien illis­i­ble (show run­ning-con­fig)

Pour infor­ma­tion, le chiffre 7 qui se trou­ve devant le mot de passe chiffré indique le type d’al­go­rithme util­isé pour chiffr­er et déchiffr­er le mot de passe. 7 équiv­aut à l’algo­rithme de Vigénère.

Vous me direz, c’est bon tout est sécurisé… pas vrai­ment en fait car cet algo­rithme est très ancien et aujour­d’hui on peut facile­ment recou­vrir n’im­porte quel mot de passe chiffré avec la com­mande « ser­vice pass­word-encryp­tion ».

Pour preuve, le mot de passe de mon exem­ple est TOTO, son équiv­a­lent chiffré est : 0815637A26 (que je trou­ve en faisant un show run­ning-con­fig).

Je cherche rapi­de­ment sur Inter­net un site pour cass­er l’algorithme de Vigénère. Par­mi les sites, j’en prend 3 au hasard :

• Auth­se­cu
• IFM
• iBeast

Je met sur cha­cun de ces 3 sites l’équiv­a­lent chiffré soit 0815637A26, et chaque site me retrou­ve le mot de passe TOTO…

On va utilis­er une fonc­tion de hashage qui s’ap­pelle MD5 et cette fonc­tion sera appliquée grâce à la com­mande « enable secret »

La commande « enable secret »

• entr­er dans le mode de con­fig­u­ra­tion glob­ale du switch (con­fig­ure ter­mi­nal)
• enlever la précé­dente com­mande de déf­i­ni­tion du mot de passe (no enable pass­word)
• définir le mot de passe TOTO avec la com­mande secret (enable secret TOTO)
• sor­tir du mode de con­fig­u­ra­tion glob­al (exit)
• véri­fi­er que le mot de passe est bien illis­i­ble (show run­ning-con­fig)
• si vous souhaitez, tester sur les 3 sites précé­dents de crack­er le mot de passe… sans succès

A retenir pour le CCNA

Ce qu’il faut retenir pour le CCNA :

• on peut sécuris­er l’ac­cès à l’IOS avec la com­mande « enable pass­word… » mais le mot de passe est stocké en clair dans la configuration
• on peut alors chiffr­er ce mot de passe avec la com­mande « ser­vice pass­word-encryp­tion » mais cet algo­rithme n’est plus fiable aujourd’hui
• Cis­co recom­mande à ce jour de rem­plac­er la com­mande « enable pass­word… » par la com­mande « enable secret… »