配置里的口令以什么形态存下来
设备配置文件经常被导出、发给厂商、贴进工单，文件里口令的存储形态直接决定泄露后的危害。三厂的做法差别很大：华为的 irreversible-cipher 与 H3C 的 hash 属于不可逆摘要，配置里还原不出明文；思科的 service password-encryption 只是把明文换成 type 7 编码，算法公开且有现成解码工具，只能防肩窥、不能防破解。做安全基线检查时，看配置文件里的口令密文形态，比看设备有没有设密码更能说明问题。
基本信息
| 适用场景 | 等保合规检查、配置外发前脱敏 |
|---|---|
| 适用平台 | 三厂全部设备 |
| 华为关键命令 | local-user ... password irreversible-cipher |
| 思科关键命令 | service password-encryption、enable secret |
| H3C 关键命令 | password hash（不可逆）与 password cipher（可逆）两档 |
典型使用场景
- 安全基线审计：检查配置文件中是否残留明文或弱编码口令
- 配置外发前脱敏：把配置发给厂商或第三方前统一处理敏感字段
- 设备开局规范：规定本地用户的密码必须用不可逆方式存储
- 历史设备整改：老设备沿用的弱加密口令需要批量升级写法
- 事故复盘：判断口令泄露后的影响范围，看密文形态能直接得出结论
华为 VRP
华为 VRP
[Huawei-aaa] local-user netadmin password irreversible-cipher Admin@2026
! 配置文件中保存为不可逆摘要，无法还原明文
[Huawei-aaa] local-user netadmin privilege level 15
[Huawei-aaa] local-user netadmin service-type ssh terminal思科 IOS 与 H3C
思科 IOS 与 H3C
! 思科 IOS
SW-CORE-01(config)# service password-encryption
SW-CORE-01# show running-config | include password
enable secret 5 $1$mERr$... ! 强散列，推荐
username x password 7 030752180500 ! type 7 弱加密，可逆，不推荐
! H3C Comware
[H3C-luser-manage-netadmin] password hash $h$6$QyrbzH... ! 不可逆
[H3C-luser-manage-netadmin] password cipher ... ! 可逆，外发需脱敏三厂口令存储形态
| 平台 | 推荐写法 | 存储形态 | 能否还原明文 |
|---|---|---|---|
| 华为 VRP | password irreversible-cipher | 不可逆摘要 | 不能 |
| 思科 IOS | enable secret、username ... secret | MD5/SHA 类散列 | 不能 |
| 思科 IOS | service password-encryption 后的 password | type 7 编码 | 能，工具可解 |
| H3C Comware | password hash | 不可逆摘要 | 不能 |
| H3C Comware | password cipher | 可逆加密 | 能，需脱敏处理 |
开启 service password-encryption 后，只有明文形式的口令会被转成 type 7，已经用 secret 保存的散列不受影响。它是补齐老配置的兼容手段，不是安全加固手段。
配置外发前要逐项人工审阅，不能只靠口令形态判断：SNMP 团体字、某些协议认证字段在部分版本里仍以明文或可逆形式存在，密文口令之外同样需要脱敏。