Děkujeme za vaši zpětnou vazbu.

Bezpečnostní funkce chrání před hrozbami, včetně ohrožení identity telefonu a dat. Tyto funkce vytvářejí a udržují ověřené komunikační streamy mezi telefonem a serverem Cisco Unified Communications Manager a zajišťují, aby telefon používal pouze digitálně podepsané soubory.

Cisco Unified Communications Manager verze 8.5(1) a novější standardně obsahuje zabezpečení, které poskytuje následující bezpečnostní funkce pro IP telefony Cisco bez nutnosti spouštění klienta CTL:

• Podepisování konfiguračních souborů telefonu

• Šifrování konfiguračního souboru telefonu

• HTTPS s Tomcatem a dalšími webovými službami

Implementace zabezpečení v systému Cisco Unified Communications Manager zabraňuje krádeži identity telefonu a serveru Cisco Unified Communications Manager, zabraňuje manipulaci s daty a zabraňuje manipulaci se signalizací hovorů a mediálním streamem.

Aby se tyto hrozby zmírnily, síť IP telefonie Cisco vytváří a udržuje zabezpečené (šifrované) komunikační streamy mezi telefonem a serverem, digitálně podepisuje soubory před jejich přenosem do telefonu a šifruje mediální streamy a signalizaci hovorů mezi telefony Cisco IP.

Lokálně významný certifikát (LSC) se nainstaluje do telefonů po provedení nezbytných úkolů spojených s funkcí proxy certifikační autority (CAPF). K nastavení LSC můžete použít nástroj Cisco Unified Communications Manager Administration, jak je popsáno v bezpečnostní příručce Cisco Unified Communications Manager. Alternativně můžete zahájit instalaci LSC z nabídky Zabezpečení v telefonu. Tato nabídka také umožňuje aktualizovat nebo odebrat LSC.

Telefony používají bezpečnostní profil telefonu, který definuje, zda je zařízení nezabezpečené nebo zabezpečené. Informace o použití bezpečnostního profilu na telefon naleznete v dokumentaci k vaší konkrétní verzi aplikace Cisco Unified Communications Manager.

Pokud v aplikaci Cisco Unified Communications Manager Administration konfigurujete nastavení související se zabezpečením, konfigurační soubor telefonu obsahuje citlivé informace. Abyste zajistili soukromí konfiguračního souboru, musíte jej nakonfigurovat pro šifrování. Podrobné informace naleznete v dokumentaci k vaší konkrétní verzi Cisco Unified Communications Manager.

Následující tabulka poskytuje přehled bezpečnostních funkcí, které telefony podporují. Další informace naleznete v dokumentaci k vaší konkrétní verzi Cisco Unified Communications Manager.

Následující tabulka obsahuje zprávy alarmů aktualizace seznamu důvěryhodných služeb a jejich význam. Další informace naleznete v dokumentaci k aplikaci Cisco Unified Communications Manager.

Pokud je v telefonu implementováno zabezpečení, můžete zabezpečené telefonní hovory identifikovat podle ikon na obrazovce telefonu. Také můžete zjistit, zda je připojený telefon zabezpečený a chráněný, pokud se na začátku hovoru přehraje bezpečnostní tón.

V zabezpečeném hovoru jsou veškeré signalizační hovory a mediální streamy šifrovány. Zabezpečený hovor nabízí vysokou úroveň zabezpečení a zajišťuje integritu a soukromí hovoru. Pokud je probíhající hovor šifrovaný, na lince se zobrazí ikona zabezpečení .

V aplikaci Cisco Unified Communications Manager lze telefonům nakonfigurovaným jako zabezpečené (šifrované a důvěryhodné) přiřadit chráněný stav. Jakmile jsou tato zařízení chráněna, lze je nakonfigurovat tak, aby na začátku každého hovoru přehrála zabezpečovací tón.

• Chráněné zařízení:

  Chcete-li změnit stav zabezpečeného telefonu na chráněný:

  1. V aplikaci Cisco Unified Communications Manager Administration vyberte Zařízení > Telefon .
  2. Vyhledejte telefon, který budete nastavovat.
  3. V okně Konfigurace telefonu zaškrtněte políčko Chráněné zařízení.
  4. Klikněte na možnost Uložit.

• Přehrát zabezpečený indikační tón:

  Chcete-li na chráněném telefonu povolit přehrávání zabezpečeného nebo nezabezpečeného indikačního tónu:

  1. V sekci Správa Cisco Unified Communications Manager vyberte Systém > Parametry služby.
  2. Vyberte server a poté službu Cisco CallManager.
  3. V oblasti Parametry celého clusteru (Funkce - Zabezpečený tón) nastavte Tón přehrávání na možnost Indikovat Secure/Non-Secure Nastavení volby Stav na True.
  4. Klikněte na možnost Uložit.

Protože všechna zařízení WLAN v dosahu mohou přijímat veškerý ostatní provoz WLAN, je zabezpečení hlasové komunikace v sítích WLAN zásadní. Aby bylo zajištěno, že vetřelci nemanipulují ani nezachycují hlasový provoz, architektura Cisco SAFE Security podporuje telefon. Více informací o zabezpečení v sítích naleznete v http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Řešení IP telefonie Cisco Wireless poskytuje zabezpečení bezdrátové sítě, které zabraňuje neoprávněnému přihlášení a ohrožení komunikace pomocí následujících metod ověřování, které telefon podporuje.

• Otevřené ověřování: Jakékoli bezdrátové zařízení může v otevřeném systému požádat o ověření. Přístupový bod, který přijme požadavek, může udělit ověření libovolnému žadateli nebo pouze žadatelům, kteří se nacházejí v seznamu uživatelů. Komunikace mezi bezdrátovým zařízením a přístupovým bodem (AP) může být nešifrovaná.

• Extensible Authentication Protocol – flexibilní ověřování pomocí zabezpečeného tunelování (EAP-FAST): Tato architektura zabezpečení klient-server šifruje transakce EAP v tunelu TLS (Transport Level Security) mezi přístupovým bodem a serverem RADIUS, jako je například Identity Services Engine (ISE).

  Tunel TLS používá pro ověřování mezi klientem (telefonem) a serverem RADIUS zabezpečené přístupové údaje (PAC). Server odešle klientovi (telefonu) autorizační ID (AID), který následně vybere příslušný PAC. Klient (telefon) vrací na server RADIUS zprávu PAC-Opaque. Server dešifruje PAC pomocí primárního klíče. Oba koncové body nyní obsahují klíč PAC a je vytvořen tunel TLS. Protokol EAP-FAST podporuje automatické zřizování PAC, ale je nutné ho povolit na serveru RADIUS.

  V ISE standardně platnost PAC vyprší za jeden týden. Pokud má telefon vypršelý PAC, ověřování na serveru RADIUS trvá déle, než telefon získá nový PAC. Chcete-li se vyhnout zpožděním při zřizování PAC, nastavte na serveru ISE nebo RADIUS dobu platnosti PAC na 90 dní nebo déle.

• Ověřování protokolem Extensible Authentication Protocol-Transport Layer Security (EAP-TLS): EAP-TLS vyžaduje klientský certifikát pro ověřování a přístup k síti. Pro bezdrátový protokol EAP-TLS může být klientský certifikát MIC, LSC nebo certifikát instalovaný uživatelem.

• Chráněný rozšiřitelný ověřovací protokol (PEAP): Schéma vzájemného ověřování mezi klientem (telefonem) a serverem RADIUS založené na hesle od společnosti Cisco. Telefon může pro ověřování v bezdrátové síti používat protokol PEAP. Jsou podporovány metody ověřování PEAP-MSCHAPV2 i PEAP-GTC.

• Předsdílený klíč (PSK): Telefon podporuje ASCII a hexadecimální (HEX) formáty. Při nastavování musíte použít tyto formáty WPA2/SAE Předsdílený klíč.

  ASCII: Řetězec znaků ASCII o délce 8 až 63 znaků (0–9, malá písmena az, velká písmena AZ a speciální znaky). Například GREG123567@9ZX&W.

  HEX: Řetězec hexadecimálních znaků o délce 64 hexadecimálních číslic (0–9, af nebo AF).

Následující schémata ověřování používají server RADIUS ke správě ověřovacích klíčů:

• WPA2/WPA3: Používá informace ze serveru RADIUS k vygenerování jedinečných klíčů pro ověřování. Protože tyto klíče jsou generovány na centralizovaném serveru RADIUS, WPA2/WPA3 poskytuje větší zabezpečení než předsdílené klíče WPA, které jsou uloženy v přístupovém bodě a telefonu.

• Rychlý a bezpečný roaming: Používá informace ze serveru RADIUS a serveru bezdrátové domény (WDS) ke správě a ověřování klíčů. WDS vytváří mezipaměť bezpečnostních přihlašovacích údajů pro klientská zařízení s povoleným FT pro rychlé a bezpečné opětovné ověření.

S WPA2/WPA3, Šifrovací klíče se nezadávají v telefonu, ale automaticky se odvozují mezi přístupovým bodem a telefonem. Uživatelské jméno a heslo EAP, které se používají k ověřování, však musí být zadáno v každém telefonu.

Pro ochranu hlasového provozu přes bezdrátové spojení telefon podporuje šifrování založené na AES. WPA2/WPA3 ověřování. AES je symetrická bloková šifra standardizovaná NIST. AES používá pevnou velikost bloku 128 bitů a podporuje velikosti klíčů 128 bitů, 192 bitů a 256 bitů. V sítích Wi-Fi se AES používá šifrovacími sadami, jako je CCMP nebo GCMP, zatímco ověřování je zajišťováno samostatně pomocí PSK, SAE nebo… 802.1X/EAP, v závislosti na nakonfigurovaném režimu zabezpečení WLAN. Podporovaná šifrovací sada a velikost klíče závisí na modelu telefonu a konfiguraci sítě WLAN.

Pokud telefon používá šifrování AES, jsou mezi přístupovým bodem a telefonem šifrovány jak signální pakety SIP, tak hlasové pakety protokolu RTP (Real-Time Transport Protocol).

V rámci bezdrátové lokální sítě LAN jsou nastavena schémata ověřování a šifrování. VLAN jsou konfigurovány v síti a na přístupových bodech a specifikují různé kombinace ověřování a šifrování. SSID se přidružuje k VLAN a konkrétnímu schématu ověřování a šifrování. Aby se bezdrátová klientská zařízení úspěšně ověřovala, musíte nakonfigurovat stejná SSID s jejich ověřovacími a šifrovacími schématy na přístupových bodech a v telefonu.

Některá ověřovací schémata vyžadují specifické typy šifrování.

Schémata ověřování a šifrování v následující tabulce ukazují možnosti konfigurace sítě pro bezdrátový telefon Cisco 9821, které odpovídají konfiguraci přístupového bodu.

Bezdrátový telefon Cisco 9821 podporuje ověřování 802.1X pro kabelové sítě. Toto se obvykle používá během automatického zřizování, když je telefon připojen ke stolní nabíječce pomocí podporovaného adaptéru USB-Ethernet.

Podpora ověřování 802.1X v kabelových sítích vyžaduje několik následujících komponent:

• IP telefon Cisco: Telefon inicializuje požadavek na přístup k síti. IP telefony Cisco obsahují suplicant standardu 802.1X. Tento žadatel umožňuje správcům sítě řídit připojení IP telefonů k portům LAN přepínače. Aktuální verze telefonního žadatele o standard 802.1X používá pro ověřování v síti možnosti EAP-FAST a EAP-TLS.

• Ověřovací server: Ověřovací server i přepínač musí být nakonfigurovány se sdíleným tajným klíčem RADIUS.

• Přepínač: Přepínač musí podporovat standard 802.1X, aby mohl fungovat jako ověřovač a předávat zprávy EAP mezi telefonem a ověřovacím serverem. Po dokončení výměny přepínač povolí nebo zamítne telefonu přístup k síti.

IP telefony Cisco a přepínače Cisco Catalyst tradičně používají protokol Cisco Discovery Protocol (CDP) k vzájemné identifikaci a určení parametrů, jako je alokace VLAN a požadavky na napájení.

Pro konfiguraci standardu 802.1X je nutné provést následující kroky.

• Konfigurovat CDP/LLDP obchvat hlasové VLAN.

• Před povolením ověřování 802.1X pro kabelové sítě v telefonu nakonfigurujte ověřovací server a přepínač.

• Konfigurace hlasové VLAN: Protože standard 802.1X nezohledňuje sítě VLAN, měli byste toto nastavení nakonfigurovat na základě podpory přepínače.

  • Povoleno: Pokud používáte přepínač, který podporuje ověřování ve více doménách, můžete jej nakonfigurovat tak, aby používal hlasovou VLAN.
  • Zakázáno: Pokud přepínač nepodporuje ověřování ve více doménách, deaktivujte hlasovou VLAN a zvažte přiřazení portu k nativní VLAN.

• Bezdrátový telefon Cisco 9821 má v PID jiný prefix než ostatní telefony Cisco. Chcete-li, aby váš telefon procházel ověřováním 802.1X, nastavte parametr Radius·User-Name tak, aby zahrnoval váš bezdrátový telefon Cisco 9821.

  Například PID bezdrátového telefonu Cisco 9821 je WP-9821. V obou následujících sekcích můžete nastavit Radius·User-Name na Start with WP nebo Contains WP :

  • Zásady > Podmínky > Podmínky knihovny

  • Zásady > Sady zásad > Autorizační zásady > Autorizační pravidlo 1