Danke für Ihr Feedback.

Sicherheitsfunktionen schützen vor Bedrohungen, einschließlich Bedrohungen der Identität des Telefons und der Daten. Diese Funktionen stellen authentifizierte Kommunikationsströme zwischen dem Telefon und dem Cisco Unified Communications Manager-Server her und gewährleisten, dass das Telefon ausschließlich digital signierte Dateien verwendet.

Cisco Unified Communications Manager Version 8.5(1) und höher beinhaltet standardmäßig Sicherheit, die die folgenden Sicherheitsfunktionen für Cisco IP-Telefone bereitstellt, ohne dass der CTL-Client ausgeführt werden muss:

• Signieren der Telefonkonfigurationsdateien

• Verschlüsselung der Telefonkonfigurationsdatei

• HTTPS mit Tomcat und anderen Webdiensten

Durch die Implementierung von Sicherheitsmaßnahmen im Cisco Unified Communications Manager-System wird der Identitätsdiebstahl des Telefons und des Cisco Unified Communications Manager-Servers verhindert, ebenso wie Datenmanipulationen und Manipulationen an der Anrufsignalisierung und dem Medienstrom.

Um diesen Bedrohungen entgegenzuwirken, stellt das Cisco IP-Telefonienetzwerk sichere (verschlüsselte) Kommunikationsströme zwischen einem Telefon und dem Server her und hält diese aufrecht, signiert Dateien digital, bevor sie an ein Telefon übertragen werden, und verschlüsselt Medienströme und Anrufsignalisierung zwischen Cisco IP-Telefonen.

Ein lokal signifikantes Zertifikat (LSC) wird auf Telefonen installiert, nachdem Sie die notwendigen Aufgaben im Zusammenhang mit der Zertifizierungsstellen-Proxy-Funktion (CAPF) ausgeführt haben. Sie können die Cisco Unified Communications Manager-Administration verwenden, um einen LSC zu konfigurieren, wie im Cisco Unified Communications Manager-Sicherheitshandbuchbeschrieben. Alternativ können Sie die Installation eines LSC über das Menü Sicherheit auf dem Telefon starten. Über dieses Menü können Sie auch einen LSC aktualisieren oder entfernen.

Die Telefone nutzen das Telefonsicherheitsprofil, das festlegt, ob das Gerät unsicher oder sicher ist. Informationen zum Anwenden des Sicherheitsprofils auf das Telefon finden Sie in der Dokumentation zu Ihrer jeweiligen Cisco Unified Communications Manager-Version.

Wenn Sie sicherheitsrelevante Einstellungen in der Cisco Unified Communications Manager-Administration konfigurieren, enthält die Telefonkonfigurationsdatei sensible Informationen. Um die Vertraulichkeit einer Konfigurationsdatei zu gewährleisten, müssen Sie diese für die Verschlüsselung konfigurieren. Detaillierte Informationen finden Sie in der Dokumentation zu Ihrer jeweiligen Cisco Unified Communications Manager-Version.

Die folgende Tabelle bietet einen Überblick über die Sicherheitsfunktionen, die die Telefone unterstützen. Weitere Informationen finden Sie in der Dokumentation zu Ihrer jeweiligen Cisco Unified Communications Manager-Version.

Die folgende Tabelle enthält die Warnmeldungen zur Aktualisierung der Vertrauensliste und deren Bedeutung. Weitere Informationen finden Sie in der Dokumentation zu Cisco Unified Communications Manager.

Wenn Sicherheitsfunktionen für ein Telefon implementiert sind, können Sie sichere Telefonanrufe anhand von Symbolen auf dem Telefonbildschirm erkennen. Sie können auch feststellen, ob das verbundene Telefon sicher und geschützt ist, wenn zu Beginn des Anrufs ein Sicherheitston ertönt.

Bei einem sicheren Anruf werden die gesamte Anrufsignalisierung und die Medienströme verschlüsselt. Ein sicherer Anruf bietet ein hohes Maß an Sicherheit und gewährleistet Integrität und Vertraulichkeit des Gesprächs. Wenn ein laufender Anruf verschlüsselt ist, können Sie das Sicherheitssymbol in der Leitung sehen.

In Cisco Unified Communications Manager können Telefone, die als sicher (verschlüsselt und vertrauenswürdig) konfiguriert sind, mit einem geschützten Status versehen werden. Sobald diese Geräte geschützt sind, können sie so konfiguriert werden, dass sie zu Beginn jedes Anrufs einen Sicherheitston abspielen.

• Geschütztes Gerät:

  So ändern Sie den Status eines sicheren Telefons auf geschützt:

  1. Wählen Sie in der Cisco Unified Communications Manager-Administration das Gerät ] aus. > Telefon.
  2. Suchen Sie das Telefon, das Sie einrichten möchten.
  3. Im Fenster „Telefonkonfiguration“ aktivieren Sie das Kontrollkästchen „ Geschütztes Gerät “ .
  4. Klicken Sie auf Speichern.

• Sicheres Wiedergabesignal:

  Um dem geschützten Telefon die Wiedergabe eines Sicherheits- oder Nicht-Sicherheitssignaltons zu ermöglichen:

  1. Wählen Sie in der Cisco Unified Communications Manager-Administration die Option System > Dienstparameter.
  2. Wählen Sie den Server und anschließend den Dienst Cisco CallManager aus.
  3. Im Bereich Clusterweite Parameter (Funktion – Sicherheitston) legen Sie die Option Wiedergabeton für Indikation fest. Secure/Non-Secure Anrufstatus Einstellung auf True.
  4. Klicken Sie auf Speichern.

Da alle WLAN-Geräte in Reichweite den gesamten WLAN-Datenverkehr anderer Geräte empfangen können, ist die Sicherung der Sprachkommunikation in WLANs von entscheidender Bedeutung. Um zu gewährleisten, dass Eindringlinge den Sprachverkehr weder manipulieren noch abfangen, wird das Telefon von der Cisco SAFE Security-Architektur unterstützt. Weitere Informationen zur Sicherheit in Netzwerken finden Sie unter http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Die Cisco Wireless IP-Telefonielösung bietet drahtlose Netzwerksicherheit, die unautorisierte Anmeldungen und kompromittierte Kommunikationen durch die Verwendung der folgenden, vom Telefon unterstützten Authentifizierungsmethoden verhindert.

• Offene Authentifizierung: In einem offenen System kann jedes drahtlose Gerät eine Authentifizierung anfordern. Der Access Point, der die Anfrage empfängt, kann die Authentifizierung entweder jedem Anfragenden oder nur Anfragenden gewähren, die sich auf einer Liste von Benutzern befinden. Die Kommunikation zwischen dem drahtlosen Gerät und dem Zugangspunkt (AP) kann unverschlüsselt erfolgen.

• Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling (EAP-FAST) Authentication: Diese Client-Server-Sicherheitsarchitektur verschlüsselt EAP-Transaktionen innerhalb eines TLS-Tunnels (Transport Level Security) zwischen dem Access Point (AP) und dem RADIUS-Server, wie z. B. Identity Services Engine (ISE).

  Der TLS-Tunnel verwendet Protected Access Credentials (PACs) zur Authentifizierung zwischen dem Client (Telefon) und dem RADIUS-Server. Der Server sendet eine Authority ID (AID) an den Client (Telefon), der daraufhin den passenden PAC auswählt. Der Client (Telefon) sendet ein PAC-Opaque an den RADIUS-Server zurück. Der Server entschlüsselt den PAC mit dem Primärschlüssel. Beide Endpunkte enthalten nun den PAC-Schlüssel und es wird ein TLS-Tunnel erstellt. EAP-FAST unterstützt die automatische PAC-Bereitstellung, diese muss jedoch auf dem RADIUS-Server aktiviert werden.

  In ISE läuft der PAC standardmäßig nach einer Woche ab. Wenn das Telefon über einen abgelaufenen PAC verfügt, dauert die Authentifizierung beim RADIUS-Server länger, da das Telefon einen neuen PAC anfordern muss. Um Verzögerungen bei der PAC-Bereitstellung zu vermeiden, stellen Sie die PAC-Ablaufperiode auf dem ISE- oder RADIUS-Server auf 90 Tage oder länger ein.

• Extensible Authentication Protocol-Transport Layer Security (EAP-TLS)-Authentifizierung: EAP-TLS benötigt ein Clientzertifikat zur Authentifizierung und zum Netzwerkzugriff. Bei drahtlosem EAP-TLS kann das Client-Zertifikat ein MIC-, LSC- oder ein vom Benutzer installiertes Zertifikat sein.

• Geschütztes erweiterbares Authentifizierungsprotokoll (PEAP): Cisco-eigenes passwortbasiertes gegenseitiges Authentifizierungsverfahren zwischen dem Client (Telefon) und einem RADIUS-Server. Das Telefon kann PEAP zur Authentifizierung im drahtlosen Netzwerk verwenden. Es werden sowohl die PEAP-MSCHAPV2- als auch die PEAP-GTC-Authentifizierungsmethoden unterstützt.

• Vorinstallierter Schlüssel (PSK): Das Telefon unterstützt ASCII- und Hexadezimalformate (HEX). Diese Formate müssen Sie beim Einrichten eines/einer WPA2/SAE Vorab geteilter Schlüssel.

  ASCII: Eine ASCII-Zeichenkette mit einer Länge von 8 bis 63 Zeichen (0-9, Kleinbuchstaben az, Großbuchstaben AZ und Sonderzeichen). Zum Beispiel, GREG123567@9ZX&W.

  HEX: Eine HEX-Zeichenkette mit 64 Hexadezimalstellen (0-9, af oder AF).

Die folgenden Authentifizierungsschemata verwenden den RADIUS-Server zur Verwaltung der Authentifizierungsschlüssel:

• WPA2/WPA3: Nutzt RADIUS-Serverinformationen, um eindeutige Schlüssel für die Authentifizierung zu generieren. Da diese Schlüssel auf dem zentralen RADIUS-Server generiert werden, WPA2/WPA3 bietet mehr Sicherheit als WPA-Pre-Shared-Keys, die auf dem Access Point und dem Telefon gespeichert sind.

• Schnelles und sicheres Roaming: Verwendet RADIUS-Server- und WDS-Informationen (Wireless Domain Server) zur Verwaltung und Authentifizierung von Schlüsseln. Das WDS erstellt einen Cache mit Sicherheitsanmeldeinformationen für FT-fähige Clientgeräte, um eine schnelle und sichere erneute Authentifizierung zu ermöglichen.

Mit WPA2/WPA3, Die Verschlüsselungsschlüssel werden nicht auf dem Telefon eingegeben, sondern automatisch zwischen Access Point und Telefon abgeleitet. Der EAP-Benutzername und das Passwort, die zur Authentifizierung verwendet werden, müssen jedoch auf jedem Telefon eingegeben werden.

Zum Schutz des Sprachverkehrs über die drahtlose Verbindung unterstützt das Telefon eine AES-basierte Verschlüsselung für WPA2/WPA3 Authentifizierung. AES ist ein symmetrischer Blockchiffre, der vom NIST standardisiert wurde. AES verwendet eine feste Blockgröße von 128 Bit und unterstützt Schlüssellängen von 128 Bit, 192 Bit und 256 Bit. In WLAN-Netzwerken wird AES von Verschlüsselungssammlungen wie CCMP oder GCMP verwendet, während die Authentifizierung separat durch PSK, SAE oder … bereitgestellt wird. 802.1X/EAP, abhängig vom konfigurierten WLAN-Sicherheitsmodus. Die unterstützten Verschlüsselungssuiten und Schlüssellängen hängen vom Telefonmodell und der WLAN-Konfiguration ab.

Wenn das Telefon die AES-Verschlüsselung verwendet, werden sowohl die SIP-Signalisierungspakete als auch die Sprach-RTP-Pakete (Real-Time Transport Protocol) zwischen dem Access Point und dem Telefon verschlüsselt.

Innerhalb des drahtlosen LANs werden Authentifizierungs- und Verschlüsselungsverfahren eingerichtet. VLANs werden im Netzwerk und auf den Access Points konfiguriert und legen unterschiedliche Kombinationen von Authentifizierung und Verschlüsselung fest. Eine SSID ist einem VLAN und dem jeweiligen Authentifizierungs- und Verschlüsselungsschema zugeordnet. Damit sich drahtlose Clientgeräte erfolgreich authentifizieren können, müssen Sie auf den Access Points und auf dem Telefon dieselben SSIDs mit ihren Authentifizierungs- und Verschlüsselungsschemata konfigurieren.

Manche Authentifizierungsverfahren erfordern spezifische Verschlüsselungsarten.

Die Authentifizierungs- und Verschlüsselungsschemata in der folgenden Tabelle zeigen die Netzwerkkonfigurationsoptionen für das Cisco Wireless Phone 9821, die der AP-Konfiguration entsprechen.

Das Cisco Wireless Phone 9821 unterstützt die 802.1X-Authentifizierung für kabelgebundene Netzwerke. Dies wird typischerweise während der automatischen Bereitstellung verwendet, wenn das Telefon über einen unterstützten USB-zu-Ethernet-Adapter mit dem Desktop-Ladegerät verbunden ist.

Die Unterstützung der 802.1X-Authentifizierung in kabelgebundenen Netzwerken erfordert folgende Komponenten:

• Cisco IP-Telefon: Das Telefon initiiert die Anfrage zum Zugriff auf das Netzwerk. Cisco IP-Telefone enthalten einen 802.1X-Supplicant. Dieses Supplicant ermöglicht Netzwerkadministratoren die Steuerung der Konnektivität von IP-Telefonen zu den LAN-Switch-Ports. Die aktuelle Version des 802.1X-Supplicants für Telefone nutzt die Optionen EAP-FAST und EAP-TLS zur Netzwerkauthentifizierung.

• Authentifizierungsserver: Sowohl der Authentifizierungsserver als auch der Switch müssen mit einem gemeinsamen RADIUS-Geheimnis konfiguriert sein.

• Schalten: Der Switch muss 802.1X unterstützen, damit er als Authentifikator fungieren und die EAP-Nachrichten zwischen dem Telefon und dem Authentifizierungsserver weiterleiten kann. Nach Abschluss des Austauschs gewährt oder verweigert die Vermittlungsstelle dem Telefon den Zugriff auf das Netzwerk.

Cisco IP-Telefone und Cisco Catalyst Switches verwenden traditionell das Cisco Discovery Protocol (CDP), um sich gegenseitig zu identifizieren und Parameter wie VLAN-Zuweisung und Inline-Strombedarf zu bestimmen.

Zur Konfiguration von 802.1X müssen Sie die folgenden Aktionen durchführen.

• Konfigurieren CDP/LLDP Voice-VLAN-Umgehung.

• Konfigurieren Sie den Authentifizierungsserver und den Switch, bevor Sie die 802.1X-Authentifizierung für kabelgebundene Netzwerke auf dem Telefon aktivieren.

• Sprach-VLAN konfigurieren: Da der 802.1X-Standard VLANs nicht berücksichtigt, sollten Sie diese Einstellung basierend auf der Unterstützung durch den Switch konfigurieren.

  • Enabled (Aktiviert): Wenn Sie einen Switch verwenden, der die Multidomain-Authentifizierung unterstützt, können Sie ihn so konfigurieren, dass er das Voice-VLAN verwendet.
  • Disabled (Deaktiviert): Wenn der Switch die Multidomain-Authentifizierung nicht unterstützt, deaktivieren Sie das Voice-VLAN und erwägen Sie, den Port dem nativen VLAN zuzuweisen.

• Das Cisco Wireless Phone 9821 hat eine andere Vorwahl in der PID als die anderen Cisco-Telefone. Damit Ihr Telefon die 802.1X-Authentifizierung bestehen kann, stellen Sie den Parameter Radius·User-Name so ein, dass er Ihr Cisco Wireless Phone 9821 enthält.

  Zum Beispiel lautet die PID des Cisco Wireless Phone 9821 WP-9821. Sie können Radius·User-Name in beiden der folgenden Abschnitte auf Start with WP oder Contains WP setzen:

  • Politik > Bedingungen > Bibliotheksbedingungen

  • Politik > Richtliniensätze > Autorisierungsrichtlinie > Autorisierungsregel 1