Ensure authentication is set to AES-CMAC (LDP)

How it is checked

Audit method: Configuration pattern

Pattern

(?m)\A(?:(?:[ \t]*(?:$|[^s \t\n]|s(?:$|[^e\n]|e(?:$|[^t\n]|t(?:$|[^ \n]| (?:$|[^p\n]|p(?:$|[^r\n]|r(?:$|[^o\n]|o(?:$|[^t\n]|t(?:$|[^o\n]|o(?:$|[^c\n]|c(?:$|[^o\n]|o(?:$|[^l\n]|l(?:$|[^s\n]|s(?:$|[^ \n]| (?:$|[^l\n]|l(?:$|[^d\n]|d(?:$|[^p\n]|p(?:$|[^ \n]))))))))))))))))))[^\n]*|[ \t]*set protocols ldp (?:(?:[^a \t\n][^ \t\n]*|a(?:|[^e \t\n][^ \t\n]*|e(?:|[^s \t\n][^ \t\n]*|s(?:|[^\- \t\n][^ \t\n]*|-(?:|[^1 \t\n][^ \t\n]*|1(?:|[^2 \t\n][^ \t\n]*|2(?:|[^8 \t\n][^ \t\n]*|8(?:|[^\- \t\n][^ \t\n]*|-(?:|[^c \t\n][^ \t\n]*|c(?:|[^m \t\n][^ \t\n]*|m(?:|[^a \t\n][^ \t\n]*|a(?:|[^c \t\n][^ \t\n]*|c(?:|[^\- \t\n][^ \t\n]*|-(?:|[^9 \t\n][^ \t\n]*|9(?:|[^6 \t\n][^ \t\n]*|6(?:[^ \t\n][^ \t\n]*))))))))))))))))[ \t]+)*(?:(?:[^a \t\n][^ \t\n]*|a(?:|[^e \t\n][^ \t\n]*|e(?:|[^s \t\n][^ \t\n]*|s(?:|[^\- \t\n][^ \t\n]*|-(?:|[^1 \t\n][^ \t\n]*|1(?:|[^2 \t\n][^ \t\n]*|2(?:|[^8 \t\n][^ \t\n]*|8(?:|[^\- \t\n][^ \t\n]*|-(?:|[^c \t\n][^ \t\n]*|c(?:|[^m \t\n][^ \t\n]*|m(?:|[^a \t\n][^ \t\n]*|a(?:|[^c \t\n][^ \t\n]*|c(?:|[^\- \t\n][^ \t\n]*|-(?:|[^9 \t\n][^ \t\n]*|9(?:|[^6 \t\n][^ \t\n]*|6(?:[^ \t\n][^ \t\n]*)))))))))))))))))?)\n)*[ \t]*set protocols ldp (?:session|session-group) (?:(?:[^a \t\n][^ \t\n]*|a(?:|[^e \t\n][^ \t\n]*|e(?:|[^s \t\n][^ \t\n]*|s(?:|[^\- \t\n][^ \t\n]*|-(?:|[^1 \t\n][^ \t\n]*|1(?:|[^2 \t\n][^ \t\n]*|2(?:|[^8 \t\n][^ \t\n]*|8(?:|[^\- \t\n][^ \t\n]*|-(?:|[^c \t\n][^ \t\n]*|c(?:|[^m \t\n][^ \t\n]*|m(?:|[^a \t\n][^ \t\n]*|a(?:|[^c \t\n][^ \t\n]*|c(?:|[^\- \t\n][^ \t\n]*|-(?:|[^9 \t\n][^ \t\n]*|9(?:|[^6 \t\n][^ \t\n]*|6(?:[^ \t\n][^ \t\n]*))))))))))))))))[ \t]+)*(?:(?:[^a \t\n][^ \t\n]*|a(?:|[^e \t\n][^ \t\n]*|e(?:|[^s \t\n][^ \t\n]*|s(?:|[^\- \t\n][^ \t\n]*|-(?:|[^1 \t\n][^ \t\n]*|1(?:|[^2 \t\n][^ \t\n]*|2(?:|[^8 \t\n][^ \t\n]*|8(?:|[^\- \t\n][^ \t\n]*|-(?:|[^c \t\n][^ \t\n]*|c(?:|[^m \t\n][^ \t\n]*|m(?:|[^a \t\n][^ \t\n]*|a(?:|[^c \t\n][^ \t\n]*|c(?:|[^\- \t\n][^ \t\n]*|-(?:|[^9 \t\n][^ \t\n]*|9(?:|[^6 \t\n][^ \t\n]*|6(?:[^ \t\n][^ \t\n]*)))))))))))))))))?(?:\n(?:(?:[ \t]*(?:$|[^s \t\n]|s(?:$|[^e\n]|e(?:$|[^t\n]|t(?:$|[^ \n]| (?:$|[^p\n]|p(?:$|[^r\n]|r(?:$|[^o\n]|o(?:$|[^t\n]|t(?:$|[^o\n]|o(?:$|[^c\n]|c(?:$|[^o\n]|o(?:$|[^l\n]|l(?:$|[^s\n]|s(?:$|[^ \n]| (?:$|[^l\n]|l(?:$|[^d\n]|d(?:$|[^p\n]|p(?:$|[^ \n]))))))))))))))))))[^\n]*|[ \t]*set protocols ldp (?:(?:[^a \t\n][^ \t\n]*|a(?:|[^e \t\n][^ \t\n]*|e(?:|[^s \t\n][^ \t\n]*|s(?:|[^\- \t\n][^ \t\n]*|-(?:|[^1 \t\n][^ \t\n]*|1(?:|[^2 \t\n][^ \t\n]*|2(?:|[^8 \t\n][^ \t\n]*|8(?:|[^\- \t\n][^ \t\n]*|-(?:|[^c \t\n][^ \t\n]*|c(?:|[^m \t\n][^ \t\n]*|m(?:|[^a \t\n][^ \t\n]*|a(?:|[^c \t\n][^ \t\n]*|c(?:|[^\- \t\n][^ \t\n]*|-(?:|[^9 \t\n][^ \t\n]*|9(?:|[^6 \t\n][^ \t\n]*|6(?:[^ \t\n][^ \t\n]*))))))))))))))))[ \t]+)*(?:(?:[^a \t\n][^ \t\n]*|a(?:|[^e \t\n][^ \t\n]*|e(?:|[^s \t\n][^ \t\n]*|s(?:|[^\- \t\n][^ \t\n]*|-(?:|[^1 \t\n][^ \t\n]*|1(?:|[^2 \t\n][^ \t\n]*|2(?:|[^8 \t\n][^ \t\n]*|8(?:|[^\- \t\n][^ \t\n]*|-(?:|[^c \t\n][^ \t\n]*|c(?:|[^m \t\n][^ \t\n]*|m(?:|[^a \t\n][^ \t\n]*|a(?:|[^c \t\n][^ \t\n]*|c(?:|[^\- \t\n][^ \t\n]*|-(?:|[^9 \t\n][^ \t\n]*|9(?:|[^6 \t\n][^ \t\n]*|6(?:[^ \t\n][^ \t\n]*)))))))))))))))))?)))*\n?\z

How it is fixed

Fix method: Guidance or infrastructure patch

! If you have deployed LDP in your network you should use strong authentication for all neighbors. Both AES-CMAC and SHA1-HMAC authentication require a keychain to be configured on the device under the hierarchy with at least one key which has a start time in the past. set security authentication-key-chains key-chain <name> key <key number> start-time <YYYY-MM-DD.HH:MM> set security authentication-key-chains key-chain <name> key <key number> secret <secret key> The chosen algorithm and keychain should then be configured for all session groups from the hierarchy: set protocols ldp session-group <Destination IP Address or IP/Mask> authentication-algorithm aes-128-cmac-96 set protocols ldp session-group <Destination IP Address or IP/Mask> authentication-key-chain <name> or for SHA1 : set protocols ldp session-group <Destination IP Address or IP/Mask> authentication-algorithm hmac-sha-1-96 set protocols ldp session-group <Destination IP Address or IP/Mask> authentication-key-chain <name>

Check this host

Run this on a machine you are allowed to audit. The scan is read-only.

tmaegis scan --target juniper-junos --level 2