Tak for din feedback.

Sikkerhedsfunktioner beskytter mod trusler, herunder trusler mod telefonens identitet og data. Disse funktioner etablerer og vedligeholder godkendte kommunikationsstrømme mellem telefonen og Cisco Unified Communications Manager serveren og sikrer, at telefonen kun bruger digitalt signerede filer.

Cisco Unified Communications ManagerVersion 8.5 (1) og nyere indeholder som standard Sikkerhed, som indeholder følgende sikkerhedsfunktioner til Cisco IP-telefoner uden at køre CTL- klienten:

• Underskrift af telefonens konfigurationsfiler

• Telefonkonfigurationsfilkryptering

• HTTPS med Tomcat og andre webtjenester

Implementering af sikkerhed i Cisco Unified Communications Manager systemet forhindrer identitet styveri af telefonen og Cisco Unified Communications Manager serveren, forhindrer manipulation af data og forhindrer opkaldssignalering og manipulation af mediestrøm.

For at afhjælpe disse trusler etablerer og vedligeholder Cisco IP-telefoni-netværket sikre (krypterede) kommunikationsstrømme mellem en telefon og serveren, signerer filer digitalt, før de overføres til en telefon, og krypterer mediestrømme og opkaldssignalering mellem Cisco IP-telefoner.

Et lokalt signifikant certifikat (LSC) installeres på telefoner, når du har udført de nødvendige opgaver, der er knyttet til Certificate Authority proxyfunktionen (CAPF). Du kan bruge Cisco Unified Communications Manager Administration til at konfigurere en LSC, som beskrevet i Cisco Unified Communications Managersikkerheds vejledningen. Alternativt kan du starte installationen af en LSC fra menuen Sikker hed på telefonen. Denne menu giver dig også mulighed for at opdatere eller fjerne en LSC.

Telefonerne bruger telefonens sikkerhedsprofil, som definerer, om enheden er usikker eller sikker. Du kan finde oplysninger om, hvordan du anvender sikkerhedsprofilen på telefonen, i dokumentationen til den pågældende Cisco Unified Communications Manager version.

Hvis du konfigurerer sikkerhedsrelaterede indstillinger iCisco Unified Communications Manager Administration, indeholder telefonens konfigurationsfil følsomme oplysninger. For at sikre privatlivets fred for en konfigurationsfil skal du konfigurere den til kryptering. Du kan finde detaljerede oplysninger i dokumentationen til den pågældende Cisco Unified Communications Manager udgivelse.

Følgende tabel giver et overblik over de sikkerhedsfunktioner, som telefonerne understøtter. Du kan finde flere oplysninger i dokumentationen til den pågældende Cisco Unified Communications Manager udgave.

Følgende tabel indeholder alarmmeddelelser og betydning for opdateringsalarm til listen over tillidslister. Du kan finde flere oplysninger i Cisco Unified Communications Manager dokumentationen.

Når sikkerhed er implementeret for en telefon, kan du identificere sikre telefonopkald ved hjælp af ikoner på telefonskærmen. Du kan også bestemme, om den tilsluttede telefon er sikker og beskyttet, hvis der afspilles en sikkerhedstone i begyndelsen af opkaldet.

I et sikkert opkald krypteres al opkaldssignalering og mediestrømme. Et sikkert opkald giver et højt sikkerhedsniveau, der giver integritet og privatliv til opkaldet. Når et igangværende opkald er krypteret, kan du se det sikre ikon på linjen.

I kan telefonerCisco Unified Communications Manager, der er konfigureret som sikre (krypterede og betroede), tildeles en beskyttet status. Når de er beskyttet, kan disse enheder konfigureres til at afspille en sikkerhedstone i begyndelsen af hvert opkald.

• Beskyttet enhed:

  Sådan ændrer du status for en sikker telefon til beskyttet:

  1. I Cisco Unified Communications Manager Administration skal du vælge Enh ed > Telefon.
  2. Find den telefon, du vil konfigurere.
  3. Markér afkrydsningsfeltet Beskyttet enhed i vinduet Telefonkonfiguration.
  4. Klik på Gem.

• Afspil sikker indikationstone:

  Sådan gør du det muligt for den beskyttede telefon at afspille en sikker eller usikker indikationstone:

  1. Vælg System > Serv iceparametre i. Cisco Unified Communications Manager Administration
  2. Vælg serveren og derefter Cisco CallManager tjenesten.
  3. Indstil indstillingen Afspilningstone til Indikering af sikret /ikke-sikker opkaldsstatus til True i området Parametre for hele klyngen (Feature — Secure Tone).
  4. Klik på Gem.

Da alle WLAN-enheder, der er inden for rækkevidde, kan modtage al anden WLAN-trafik, er sikring af talekommunikation afgørende i WLAN'er. For at sikre, at ubudne gæster ikke manipulerer eller opfanger stemmetrafik, understøtter Cisco SAFE Security-arkitekturen telefonen. Du kan finde flere oplysninger om sikkerhed i netværk på http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Cisco Wireless IP-telefoni-løsningen giver trådløs netværkssikkerhed, der forhindrer uautoriserede log-in og kompromitteret kommunikation ved hjælp af følgende godkendelses metoder, som telefonen understøtter.

• Åben godkendelse: Enhver trådløs enhed kan anmode om godkendelse i et åbent system. Den AP, der modtager anmodningen, kan give godkendelse til enhver anmoder eller kun til anmodere, der findes på en liste over brugere. Kommunikationen mellem den trådløse enhed og adgangspunktet (AP) kan ikke være krypteret.

• Extensible Authentication Protocol-Fleksibel godkendelse via EAP-FAST-godkendelse (Secure Tunneling): Denne klient-server-sikkerhedsarkitektur krypterer EAP-transaktioner i en TLS-tunnel (Transport Level Security) mellem AP og RADIUS-serveren, f.eks. Identity Services Engine (ISE).

  TLS-tunnelen bruger PAC'er (Protected Access Credentials) til godkendelse mellem klienten (telefonen) og RADIUS-serveren. Serveren sender et Authority ID (AID) til klienten (telefon), som igen vælger den relevante PAC. Klienten (telefonen) returnerer en PAC-uigennemsigtig til RADIUS-serveren. Serveren dekrypterer PAC med den primære nøgle. Begge slutpunkter indeholder nu PAC-nøglen, og der oprettes en TLS-tunnel. EAP-FAST understøtter automatisk PAC-klargøring, men du skal aktivere den på RADIUS-serveren.

  I ISE udløber PAC som standard om en uge. Hvis telefonen har en udløbet PAC, tager godkendelsen med RADIUS-serveren længere tid, mens telefonen får en ny PAC. For at undgå forsinkelser i PAC-klargøring skal du indstille PAC-udløbsperioden til 90 dage eller længere på ISE- eller RADIUS-serveren.

• EAP@@ -TLS-godkendelse (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS kræver et klientcertifikat til godkendelse og netværksadgang. For trådløs EAP-TLS kan klientcertifikatet være MIC, LSC eller brugerinstalleret certifikat.

• PEAP (Protected Extensible Authentication Protocol): Ciscos proprietære adgangskodebaseret gensidig godkendelsesordning mellem klienten (telefonen) og en RADIUS-server. Telefonen kan bruge PEAP til godkendelse med det trådløse netværk. Både PEAP-MSCHAPV2- og PEAP-GTC-godkendelsesmetoder understøttes.

• Pre-Shared Key (PSK): Telef onen understøtter ASCII- og hexadecimale (HEX) formater. Du skal bruge disse formater, når du konfigurerer en WPA2/SAE foruddelt nøgle.

  ASCII: En ASCII-tegnstreng med en længde på 8 til 63 tegn (0-9, små bogstaver a-z, store bogstaver A-Z og specialtegn). For eksempel, GREG123567@9ZX&W.

  HEX: En seks-tegnstreng med 64 hex-cifre i længden (0-9, a-f eller A-F).

Følgende godkendelsesskemaer bruger RADIUS-serveren til at administrere godkendelsesnøgler:

• WPA2/WPA3: Bruger RADIUS-serveroplysninger til at generere unikke nøgler til godkendelse. Da disse nøgler genereres på den centraliserede RADIUS-server, giver WPA2/WPA3 større sikkerhed end WPA-foruddelte nøgler, der er gemt på AP og telefon.

• Hurtig sikker roaming: Bruger RADIUS-server og en WDS (trådløs domæneserver) oplysninger til at administrere og godkende nøgler. WDS opretter en cache med sikkerhedsoplysninger til FT-aktiverede klientenheder til hurtig og sikker gengodkendelse.

Med WPA2/WPA3 indtastes krypteringsnøgler ikke på telefonen, men afledes automatisk mellem AP og telefon. Men EAP-brugernavnet og adgangskoden, der bruges til godkendelse, skal indtastes på hver telefon.

For at beskytte stemmetrafik over det trådløse link understøtter telefonen AES-baseret kryptering til WPA2/WPA3-godkendelse. AES er en symmetrisk blokkryptering standardiseret af NIST. AES bruger en fast 128-bit blokstørrelse og understøtter nøglestørrelser på 128 bit, 192 bit og 256 bit. I Wi-Fi-netværk bruges AES af chifferpakker som CCMP eller GCMP, mens godkendelse leveres separat af PSK, SAE eller 802.1X/EAP afhængigt af den konfigurerede WLAN-sikkerhedstilstand. Den understøttede chifferpakke og nøglestørrelse afhænger af telefon modellen og WLAN-konfigurationen.

Når telefonen bruger AES-kryptering, krypteres både signalerende SIP-pakker og RTP-pakker (Voice Real-Time Transport Protocol) mellem AP og telefonen.

Godkendelses- og krypteringsordninger er konfigureret i det trådløse LAN. VLAN'er er konfigureret i netværket og på AP'erne og angiver forskellige kombinationer af godkendelse og kryptering. Et SSID associeres med et VLAN og det særlige godkendelses- og krypteringsskema. For at trådløse klientenheder kan godkendes korrekt, skal du konfigurere de samme SSID'er med deres godkendelses- og krypteringsskemaer på AP'erne og på telefonen.

Nogle godkendelsesordninger kræver specifikke typer kryptering.

Godkendelses- og krypteringsskemaerne i nedenstående tabel viser netværkskon figurationsindstillingerne for Cisco Wireless Phone 9821, der svarer til AP-konfiguration.

Cisco Wireless Phone 9821 understøtter 802.1X-godkendelse til kablede netværk. Dette bruges typisk under automatisk klargøring, når telefonen er tilsluttet skrivebordopl aderen via en understøttet USB-til-Ethernet-adapter.

Understøttelse af 802.1X-godkendelse på kabelforbundne netværk kræver flere komponenter som følger:

• Cisco IP-telefon: Telefonen initierer anmodningen om at få adgang til netværket. Cisco IP-telefoner indeholder en 802.1X-supplicant. Denne supplicant giver netværksadministratorer mulighed for at kontrollere IP-telefonernes forbindelse til LAN-switch-porte. Den aktuelle version af telefonens 802.1X-supplicant bruger indstillingerne EAP-FAST og EAP-TLS til netværksgodkendelse.

• Godkendelsesserver: Godkendelsesserveren og switchen skal begge konfigureres med en delt RADIUS-hemmelighed.

• Switch: Skiften skal understøtte 802.1X, så den kan fungere som godkenderen og vider esende EAP-meddelelserne mellem telefonen og godkendelsesserveren. Når udvekslingen er afsluttet, giver eller nægter kontakten telefonens adgang til netværket.

Cisco IP-telefoner og Cisco Catalyst-switche bruger traditionelt Cisco Discovery Protocol (CDP) til at identificere hinanden og bestemme parametre som VLAN-allokering og inline strømkrav.

Du skal udføre følgende handlinger for at konfigurere 802.1X.

• Konfigurer CDP/LLDP-stemme-VLAN-bypass.

• Konfigurer godkendelsesserveren og switchen, før du aktiverer 802.1X- godkendelse for kabelforbundne netværk på telefonen.

• Konfigurer Voice VLAN: Da 802.1X-standarden ikke tager højde for VLAN'er, skal du konfigurere denne indstilling baseret på understøttelsen af switchen.

  • Aktiveret: Hvis du bruger en switch, der understøtter godkendelse af flere domæner, kan du konfigurere den til at bruge stemme-VLAN.
  • Deaktiveret: Hvis switchen ikke understøtter godkendelse af flere domæner, skal du deaktivere Voice VLAN og overveje at tildele porten til det oprindelige VLAN.

• Cisco Wireless Phone 9821 har et andet præfiks i PID end for de andre Cisco-telefoner. Hvis du vil aktivere din telefon til at bestå 802.1X-godkendelse, skal du indstille parameteren Radius·Brugernavn til at omfatte din Cisco Wireless Phone 9821.

  For eksempel er PID for Cisco Wireless Phone 9821 WP-9821. Du kan indstille Radius·Brugernavn til Start with WPeller Contains WPi begge følgende afsnit:

  • Politik > Bet ingelser > Biblioteksbetingelser

  • Politik > Politiksæt > Autoriseringspolitik > God kendelsesregel 1