EIGRP MD5 身份验证

网络工程 思科 安全 eigrp
2021-08-02 01:33:31

我想在以下情况下了解更多关于 EIGRP MD5 身份验证的信息:攻击者捕获了 MD5 散列密钥并将其发送到目标路由器以伪造身份验证,这可能吗?

感谢任何评论。

1个回答

不,除非他们知道(或获得)共享秘密,否则这是不可能的。 Cisco概述了身份验证是如何进行的。1

发送数据包的设备根据以下内容计算要发送的哈希值:

  • 关键部分 1 — 配置的共享密钥。
  • 关键部分 2 — 将发送数据包的本地接口地址。
  • 数据 - 要发送的 EIGRP 数据包(在添加 IP 标头之前)。

您正在谈论的实例称为Pass the hash,它涉及嗅探一个散列,然后将其与其余修改过的数据一起发送回去,而无需实际了解用于生成散列的内容。如果不使用本地接口和数据包内的数据来生成其哈希值,EIGRP 将容易受到此攻击。

所以不,除非他事先知道共享秘密,否则被攻击者真的无法执行任何这些操作。但是,他可以捕获邻居之间的 hello 数据包,然后尝试破解它。但是,如果您的密钥长度和复杂性都很高,则不必担心。


1注意:这是基于 HMAC-SHA-256 认证,但同样的过程应该仍然适用于 MD5。