思科单SSH密钥安全出错

未来的安全要用单SSH密钥

红着脸不好意思的思科推出一个补丁，皆因有些虚拟安全设备的SSH密钥用了硬编码的方法。

由于密钥是与虚拟设备远程管理接口关联的，攻击者成功登录后 就可以在设备里到处转悠。俗称博格的思科日前宣布，旗下的网络安全网关（WSAv）、电子邮件安全网关（ESAV）以及安全管理网关（SMAv）等虚拟设备在远程支持服务里用的是默认密钥。

这些虚拟设备的默认授权SSH密钥和SSH主机密钥是硬编码的。

与此有关的安全公告指，“一旦有心人与受影响的平台上的管理接口建立了IP地址连接就可以利用这些产品的这个漏洞。无需额外的配置就可以利用该漏洞。”

思科为该漏洞推出了一个补丁（“cisco-sa-20150625-ironport SSH Keys Vulnerability Fix”），并表示所有6月25日以前的版本需要打补丁进行修复。该补丁删除预装密钥并强制重置。

安全公告还表示，“2015年6月25日以后下载或升级的物理硬件设备，或虚拟设备无需打补丁。”

思科在给在WSAv、ESAV和SMAv镜像打补丁期间关掉了下载，但称新的版本会在“在几天内”公布，以期令客户可以在规划内更新时间表里更新。