対処方法
1.IPsec
(1)ipsec sa policy コマンド
IPsec SAで使用する認証アルゴリズムにHMAC-MD5を選択した場合、受信側はデータの改竄(かいざん)を検知できない可能性があります。
対象となる製品のバージョン：
- IP38X/3000 全リビジョン
- IP38X/2000 全リビジョン
- IP38X/1500 全リビジョン
- IP38X/1200 全リビジョン
- IP38X/1100 全リビジョン
- IP38X/1000 全リビジョン
- IP38X/SR100 全リビジョン
- IP38X/107e 全リビジョン
- IP38X/V700シリーズ 全リビジョン
- IP38X/105シリーズ 全リビジョン
- IP38X/300i 全リビジョン
- IP38X/140シリーズ 全リビジョン
[対策]
ルーターの設定を変更し、SAのポリシーの認証アルゴリズムをHMAC-SHAにする。
ipsec sa policyコマンドのAH_ALGORITHMのパラメータをsha-hmac(HMAC-SHA)に設定します。
設定例：
ipsec sa policy POLICY_ID GATEWAY_ID ah sha-hmac
または
ipsec sa policy POLICY_ID GATEWAY_ID esp ESP_ALGORITHM sha-hmac
(2)ipsec ike hash コマンド
ISAKMP SAで使用するハッシュアルゴリズムにMD5を選択した場合、受信側はデータの改竄(かいざん)を検知できない可能性があります。
対象となる製品のバージョン：
- IP38X/3000 全リビジョン
- IP38X/2000 全リビジョン
- IP38X/1500 全リビジョン
- IP38X/1200 全リビジョン
- IP38X/1100 全リビジョン
- IP38X/1000 全リビジョン
- IP38X/SR100 全リビジョン
- IP38X/107e 全リビジョン
- IP38X/V700シリーズ 全リビジョン
- IP38X/105シリーズ 全リビジョン
- IP38X/300i 全リビジョン
- IP38X/140シリーズ 全リビジョン
[対策]
ルーターの設定を変更し、IKEが用いるハッシュアルゴリズムをSHA-1にする。
ipsec ike hash コマンドのALGORITHMのパラメータをsha(SHA-1)に設定します。
設定例：
ipsec ike hash GATEWAY_ID sha
2.PPP
(1)pp auth accept コマンド, pp auth request コマンド
PPPの通信を行う際に、pp auth accept、pp auth requestコマンドで認証方式にCHAPを指定している場合、なりすましを受ける可能性があります。
対象となる製品のバージョン：
- IP38X/3000 全リビジョン
- IP38X/2000 全リビジョン
- IP38X/1500 全リビジョン
- IP38X/1200 全リビジョン
- IP38X/1100 全リビジョン
- IP38X/1000 全リビジョン
- IP38X/SR100 全リビジョン
- IP38X/58i 全リビジョン
- IP38X/107e 全リビジョン
- IP38X/250i 全リビジョン
- IP38X/V700シリーズ 全リビジョン
- IP38X/57i 全リビジョン
- IP38X/105シリーズ 全リビジョン
- IP38X/300i 全リビジョン
- IP38X/140シリーズ 全リビジョン
※2009/03/27時点で対応済みファームウェアはリリースされていません。
なりすましを受ける可能性があることを十分にご理解した上でご利用ください。
3.OSPF
(1)ospf areaコマンド
OSPFを使用する際に、ospf areaコマンドで認証アルゴリズムをMD5に設定していると、なりすましを受ける可能性があります。
対象となる製品のバージョン：
- IP38X/3000 全リビジョン
- IP38X/2000 全リビジョン
- IP38X/1500 全リビジョン
- IP38X/1200 全リビジョン
- IP38X/1100 全リビジョン
- IP38X/1000 全リビジョン
- IP38X/SR100 全リビジョン
- IP38X/107e 全リビジョン
- IP38X/250i 全リビジョン
- IP38X/105シリーズ 全リビジョン
- IP38X/300i 全リビジョン
- IP38X/140シリーズ 全リビジョン
※2009/03/27時点で対応済みファームウェアはリリースされていません。
なりすましを受ける可能性があることを十分にご理解した上でご利用ください。
4.RADIUS
(1)radius secretコマンド
RADIUSを使用する際にradius secretコマンドを設定していると、なりすましを受ける可能性があります。
対象となる製品のバージョン：
- IP38X/3000 全リビジョン
- IP38X/1500 全リビジョン
- IP38X/1200 全リビジョン
- IP38X/1100 全リビジョン
- IP38X/1000 全リビジョン
- IP38X/SR100 全リビジョン
- IP38X/250i 全リビジョン
- IP38X/105シリーズ 全リビジョン
- IP38X/300i 全リビジョン
- IP38X/140シリーズ 全リビジョン
※2009/03/27時点で対応済みファームウェアはリリースされていません。
なりすましを受ける可能性があることを十分にご理解した上でご利用ください。
5.SSH
(1)SSHでルーターにログインする場合
SSHでルーターにログインする場合、メッセージ認証方式にHMAC-MD5を使用していると、改竄(かいざん)されたメッセージを検知できない可能性があります。
対象となる製品のバージョン：
- IP38X/3000 全リビジョン
- IP38X/1200 全リビジョン
- IP38X/SR100 全リビジョン
- IP38X/58i 全リビジョン
- IP38X/1500 Rev.8.03.37以降
- IP38X/1100 Rev.8.03.37以降
- IP38X/107e Rev.8.03.42以降
[対策]
SSHクライアントでメッセージ認証方式としてhmac-md5を優先して使用する設定がされている場合、hmac-sha1が優先されるよう設定を変更してください。なお、設定を変更できないSSHクライアントにおいては、対策方法はありませんので、改竄(かいざん)されたメッセージを検知できない可能性があることを十分にご理解した上でご使用ください。
6.電話帳サーバー機能
(1)sip userコマンド
電話帳サーバー機能を使用する際に、sip userコマンドで認証方式にdigest認証を使用していると、なりすましを受ける可能性があります。
対象となる製品のバージョン：
- IP38X/V01(RTV01) 全リビジョン
※2009/03/27時点で対応済みファームウェアはリリースされていません。
なりすましを受ける可能性があることを十分にご理解した上でご利用ください。
