Welches Privacy Password nutzt LANmonitor bei SNMPv3?

[Jirka]

Hallo zusammen,

weiß jemand, welches Privacy Password LANmonitor bei SNMPv3 Abfragen nutzt oder wie sich dieses zusammensetzt?
Hintergrund ist, dass ich die SNMPv3-Nachrichten mal entschlüsseln wollte in Wireshark, was mir aber nicht gelingt, vermutlich wegen eines falschen Privacy Passwords.
Der Hintergrund wiederum dafür, dass ich mir das in Wireshark mal anschauen wollte, ist, dass wenn ich mit LANmonitor die Anrufliste im VCM aufrufe, dass dann die Liste sehr oft und nachstellbar nicht vollständig geladen wird. Es hört einfach in der Hälfte, oder nach einem Drittel oder wie es gerade kommt auf und mir ist nicht klar, wodran das liegt.

Prinzipiell muss man zwei Fälle unterscheiden. Entweder man hat im LCOS unter SNMP entsprechende Zugänge hinterlegt (und diese in LANconfig (bzw. LANmonitor) eingetragen, so dass LANmonitor mit diesen Daten aufgerufen wird), oder aber LANmonitor nutzt einen in LANconfig hinterlegten Administrationszugang (also einen im LCOS hinterlegten Administrator bzw. das Hauptgerätepasswort). Betrachten wir jetzt mal den letzten Fall. Was muss ich da jetzt in Wireshark angeben?!

Prinzipiell bin ich der Meinung, dass folgende Einstellung richtig sein müsste:
Engine ID: leer lassen (der SNMP-User in Wireshark gilt damit für verschiedene Geräte)
Username: root (bei Hauptgerätepasswort, ansonsten der Name des entsprechenden Admin-Kontos)
Authentication model: SHA1 (das funktioniert übrigens soweit)
Password: das Hauptgerätepasswort, also z. B. geheim
Privacy protocol: AES256 (da bin ich mir auch ziemlich sicher, so ist es im LCOS auch angegeben
Privacy password: das Hauptgerätepasswort (aber das funktioniert nicht, hier muss was anderes hin, root:geheim geht aber auch nicht, Ideen?)

Damit funktioniert es aber nicht oder nur bis zur Authentifizierung. Kann mir jemand erklären warum?

Vielen Dank und viele Grüße,
Jirka

[tstimper]

Hallo Jirka,

hast Du dazu einen Antwort gefunden?

Das Privacy password sollte das Hauptgerätepasswort sein, das scheint aber nicht zu stimmen.
Ein in Lanconfig separat unter Konfiguration>Meldungen/Monitoring>Protokolle>Benutzer angelegter User funktioniert.
Der root user oder ein anderer Administrator funktioniert nicht.

ts

[tstimper]

Hat jemand eine Idee oder eine Lösung zu dem Problem?

Viele Grüße

ts

[GrandDixence]

Für SNMP sollte bei LCOS 10.42 RU5 logischerweise das Passwort verwendet werden, welches unter:

LCOS-Menübaum > Setup > Config > Admins > SNMP-Verschluesseltes-Passwort

in verschlüsselter Form gespeichert ist (Hash). Siehe auch:

LCOS-Menübaum > Setup > Config > Admins > Verschluesseltes-Passwort

LCOS-Menübaum > Setup > Config > Passwoerter

Kapitel 2.11.21.7 und Kapitel 2.11.89 der LCOS-Menüreferenz (LCOS 10.42).

Viel Glück!

[tstimper]

Hallo zusammen,

weiß jemand, welches Privacy Password LANmonitor bei SNMPv3 Abfragen nutzt oder wie sich dieses zusammensetzt?
Hintergrund ist, dass ich die SNMPv3-Nachrichten mal entschlüsseln wollte in Wireshark, was mir aber nicht gelingt, vermutlich wegen eines falschen Privacy Passwords.
Der Hintergrund wiederum dafür, dass ich mir das in Wireshark mal anschauen wollte, ist, dass wenn ich mit LANmonitor die Anrufliste im VCM aufrufe, dass dann die Liste sehr oft und nachstellbar nicht vollständig geladen wird. Es hört einfach in der Hälfte, oder nach einem Drittel oder wie es gerade kommt auf und mir ist nicht klar, wodran das liegt.

Prinzipiell muss man zwei Fälle unterscheiden. Entweder man hat im LCOS unter SNMP entsprechende Zugänge hinterlegt (und diese in LANconfig (bzw. LANmonitor) eingetragen, so dass LANmonitor mit diesen Daten aufgerufen wird), oder aber LANmonitor nutzt einen in LANconfig hinterlegten Administrationszugang (also einen im LCOS hinterlegten Administrator bzw. das Hauptgerätepasswort). Betrachten wir jetzt mal den letzten Fall. Was muss ich da jetzt in Wireshark angeben?!

Prinzipiell bin ich der Meinung, dass folgende Einstellung richtig sein müsste:
Engine ID: leer lassen (der SNMP-User in Wireshark gilt damit für verschiedene Geräte)
Username: root (bei Hauptgerätepasswort, ansonsten der Name des entsprechenden Admin-Kontos)
Authentication model: SHA1 (das funktioniert übrigens soweit)
Password: das Hauptgerätepasswort, also z. B. geheim
Privacy protocol: AES256 (da bin ich mir auch ziemlich sicher, so ist es im LCOS auch angegeben
Privacy password: das Hauptgerätepasswort (aber das funktioniert nicht, hier muss was anderes hin, root:geheim geht aber auch nicht, Ideen?)

Damit funktioniert es aber nicht oder nur bis zur Authentifizierung. Kann mir jemand erklären warum?

Vielen Dank und viele Grüße,
Jirka

Hallo Jirka,

hast Du zu dem Thema eine Antwort gefunden?

Wir suchen nach einer Möglichkeit, Lanmonitor über die Commandline aufzurufen. Die Hidden Credentials und den Aufruf aus Lancconfig heraus sehen wir,
nur ist nicht klar, wie die Hidden Credentials zu bauen sind.

Viele Grüße

ts

[Jirka]

hast Du zu dem Thema eine Antwort gefunden?

Es ist eher ein Zufall, dass ich Deine Frage hier jetzt sehe... Ich lese nicht mehr regelmäßig das Forum, eigentlich eher gar nicht.
Aber zur Frage: Nein, ich habe zu dem Thema keine Antwort gefunden. Es ist so, dass der ursprüngliche Bug, der hier auch beschrieben wurde, dann irgendwann mal gefixt war. Ich habe das Thema dann nicht weiter verfolgt. Sobald man tiefer in die Materie einsteigen will oder da mal was analysieren will, stößt man natürlich wieder auf das Problem.
Sofern Du Dich im lokalen LAN aufhältst, tut es ja vielleicht auch das unverschlüsselte SNMPv2.

[tstimper]

hast Du zu dem Thema eine Antwort gefunden?

Es ist eher ein Zufall, dass ich Deine Frage hier jetzt sehe... Ich lese nicht mehr regelmäßig das Forum, eigentlich eher gar nicht.
Aber zur Frage: Nein, ich habe zu dem Thema keine Antwort gefunden. Es ist so, dass der ursprüngliche Bug, der hier auch beschrieben wurde, dann irgendwann mal gefixt war. Ich habe das Thema dann nicht weiter verfolgt. Sobald man tiefer in die Materie einsteigen will oder da mal was analysieren will, stößt man natürlich wieder auf das Problem.
Sofern Du Dich im lokalen LAN aufhältst, tut es ja vielleicht auch das unverschlüsselte SNMPv2.

Hi Jirka,

vielen Dank für Deine Antwort.

Unverschlüsseltes SNMP wollen wier nicht machen.

Der Lanmonitor kann in der CMD in der Form "

Code: Alles auswählen

lanmon /add:192.168.1.254:161 /temp

gestartet werden. Dann nimmt der als Credentials die "HiddenCredentials", die sich Lanconfig vorher gemerkt hat.

Mann sieht das auch im Prozess Monitor

Code: Alles auswählen

"C:\Program Files (x86)\LANCOM\LANmonitor\lanmon.exe" -temp 
/add:192.168.1.254,Protocols:383:383,Timeout:5,Credentials::785cxxxxxxxxxxxxxxx61c49,Credentials::7a54xxxxxxxxxxxxxxxxxb58

Die Credentials sind dieselben, die man in der LANDevices.xml findet, nachdem das Device im Lanmonitor eingetragen ist.

Also wenn wir wüssten, wie die Zugangsdaten zu verschlüsseln sind, damit Lanmonitor die nutzen kann, würde uns das helfen.

Unser ------ Management System speichert (unter anderem) Lancom Configs und startet Lanconfig und putty inclusive Speicherung der Configs vorher und nachher.
Der Lanmonitor Aufruf fehlt uns noch.


Viele Grüße

ts

[Jirka]

Im Kern ist das aber eine andere Frage, als meine ursprüngliche.
Reicht Dir denn das "Passwort", oder brauchst Du auch noch den Verschlüsselungsalgorithmus? (Ich habe das Passwort nur noch ungefähr im Kopf und müsste mal schauen, ob der Umlaut darin auch so geschrieben wurde, ich weiß auf Anhieb gar nicht, wo ich schauen müsste. Der Verschlüsselungsalgorithmus war irgendsoein Standardverfahren.)
An der Stelle müsste man hier aber definitiv das Forum verlassen...
P.S.: Mein PN-Postfach ist voll und E-Mail-Antworten dauern wegen Überfüllung auch gewisse Zeit.

[Dr.Einstein]

Also wenn wir wüssten, wie die Zugangsdaten zu verschlüsseln sind, damit Lanmonitor die nutzen kann, würde uns das helfen.

Nö, nicht wirklich. LanConfig ist mittels RC4 "verschlüsselt". RC4 hat lustige Eigenschaften, z.B. wenn du Plaintext 1 XOR Crypttext 1 XOR Crypttext 2 machst, kommt als Ergebnis Plaintext 2 raus. Da LanConfig ein RC4 Schlüssel hat, brauchst du nur 2 Passwörter hinterlegen, und schon hast du deinen Rohling zum Rückrechnen. Das Testpasswort sollte aber schön lang sein, da du immer nur so viele Zeichen rückrechnen kannst, wie dein Passwort lang ist. Das Ergebnis deiner LanMonitor-Übergabe lautet:

Code: Alles auswählen

1:<root-pw>
32:<root-pw>

ohne die < >

Solltest du mit Benutzername / Passwort arbeiten ändert sich die Übergabe in

Code: Alles auswählen

32:<user>:"<root-pw>"

ohne die < >, aber mit den ""

Gruß Dr.Einstein

[tstimper]

Also wenn wir wüssten, wie die Zugangsdaten zu verschlüsseln sind, damit Lanmonitor die nutzen kann, würde uns das helfen.

Nö, nicht wirklich. LanConfig ist mittels RC4 "verschlüsselt". RC4 hat lustige Eigenschaften, z.B. wenn du Plaintext 1 XOR Crypttext 1 XOR Crypttext 2 machst, kommt als Ergebnis Plaintext 2 raus. Da LanConfig ein RC4 Schlüssel hat, brauchst du nur 2 Passwörter hinterlegen, und schon hast du deinen Rohling zum Rückrechnen. Das Testpasswort sollte aber schön lang sein, da du immer nur so viele Zeichen rückrechnen kannst, wie dein Passwort lang ist. Das Ergebnis deiner LanMonitor-Übergabe lautet:

Code: Alles auswählen

1:<root-pw>
32:<root-pw>

ohne die < >

Solltest du mit Benutzername / Passwort arbeiten ändert sich die Übergabe in

Code: Alles auswählen

32:<user>:"<root-pw>"

ohne die < >, aber mit den ""

Im Kern ist das aber eine andere Frage, als meine ursprüngliche.

Nein. Tstimper dachte, er kann anhand der Übergabewerte den Key auslesen. Dies ist aber nicht der Fall.

Gruß Dr.Einstein

ok, ich denke das hilft uns, wir wollen ja mittels dem bekannten Router root Password, das im zentralen Credential Store liegt, einen funktionierenden Lanmonitor Aufruf bauen.

Also aus unsererm ------ Programm heraus, rechte Maustaste Lanconfig öffnen, putty öffnen geht, Lancmonitor geht noch nicht.

Mit den Infos kommen wir jetzt weiter denke ich.

Prinzipiell ist der Ablauf: Secret Store hat die Router user und Passwörter, ------ holt sich die Daten und spricht entweder direkt mit dem Gerät
über ssh und führt das Scripte aus oder mach Firmware Updates, Config Sicherungen, Password changes, was auch immer das Device kann.

Über Device -> Rechte Maustaste werden dan Device Spezifische Programme gestartet wie Lanconfig (geht), Putty (geht natürlich mit fast jedem Gerät wie Lancom Router, Switche, HP und Aruba Switche, was auch immer...). Lanmonitor (geht eben bisher noch nicht mangels Wissen über die richtige Zusammensetzung des Funktionsaufrufes)

Wir könnten natürlich auch einfach einen Lanmonitor User temporäer erstellen, dennoch muss ja der Funktionsaufruf passen.

Jetzt hab ich was, das ich unsererm Development gehen kann

Ich scheibe, was rausgekommen ist.


Vielen Dank

ts

[Dr.Einstein]

Wenn dir Jirka natürlich das PW gibt, würde es natürlich völlig unkompliziert für dich gehen. Ich brauchte es bisher nicht, aber bestimmt gibt er dir es.

[Jirka]

Na jetzt ist ja hier schon viel verraten worden, hätte ich mir gar nicht getraut

[Dr.Einstein]

Hintergrund ist, dass ich die SNMPv3-Nachrichten mal entschlüsseln wollte in Wireshark, was mir aber nicht gelingt, vermutlich wegen eines falschen Privacy Passwords.

Musste wegen einem anderen Thema das mal analysieren. Wireshark scheint einen Fehler zu haben mit AES256. Unabhängig vom LanMonitor habe ich mittels anderen Tools SNMPv3 Get/Set Anfragen erzeugt, SHA1 + AES256 wie LanMonitor + root-PW für beide Passwörter. Das Auslesen und Abändern von OIDs funktioniert, d.h. das root-PW kann verwendet werden. Wireshark dagegen zeigt keinen sinnvollen Text an, nur dass die Authentication stimmt. Stellt man die Verschlüsselung auf AES128 um (im Lancom + Wireshark), so werde es Licht im Wireshark.

[Jirka]

Hallo Dr. Einstein,

das ist ja sehr interessant, was Du da rausgefunden hast. Du beeindruckst mich immer wieder! Insbesondere, dass Du beim Lesen des Threads hier neulich das Problem von mir verstanden hast (das von "tstimper" sowieso) und Dich dann auch noch dran erinnerst wenn Du in den Gefilden agierst, das ist schon beeindruckend. Und dann noch eine Rückmeldung. Leider müsste ich mich jetzt erst mal wieder eine gute halbe Stunde hinsetzen, um das Problem hier wieder auf den Schreibtisch zu bringen, um das nachzuvollziehen. Ich hätte sogar Bock drauf, das Problem Wireshark zu melden, hatte da schon mehrfach Probleme hingeschickt, ist aber schon ein paar Jahre her, die waren da sehr dankbar...

Vielen Dank und viele Grüße
Jirka