Gracias por sus comentarios.

Las funciones de seguridad protegen contra amenazas, incluidas las que atentan contra la identidad del teléfono y los datos. Estas funciones establecen y mantienen flujos de comunicación autenticados entre el teléfono y el servidor Cisco Unified Communications Manager, y garantizan que el teléfono utilice únicamente archivos firmados digitalmente.

Cisco Unified Communications Manager versión 8.5(1) y posteriores incluyen Seguridad de forma predeterminada, que proporciona las siguientes características de seguridad para los teléfonos IP de Cisco sin necesidad de ejecutar el cliente CTL:

• Firma de los archivos de configuración del teléfono

• Cifrado del archivo de configuración del teléfono

• HTTPS con Tomcat y otros servicios web

La implementación de medidas de seguridad en el sistema Cisco Unified Communications Manager evita el robo de identidad del teléfono y del servidor Cisco Unified Communications Manager, previene la manipulación de datos y evita la manipulación de la señalización de llamadas y del flujo multimedia.

Para mitigar estas amenazas, la red de telefonía IP de Cisco establece y mantiene flujos de comunicación seguros (encriptados) entre un teléfono y el servidor, firma digitalmente los archivos antes de transferirlos a un teléfono y encripta los flujos multimedia y la señalización de llamadas entre los teléfonos IP de Cisco.

Un Certificado de Importancia Local (LSC, por sus siglas en inglés) se instala en los teléfonos después de realizar las tareas necesarias asociadas con la Función de Proxy de la Autoridad de Certificación (CAPF, por sus siglas en inglés). Puede utilizar la administración de Cisco Unified Communications Manager para configurar un LSC, como se describe en la Guía de seguridad de Cisco Unified Communications Manager. Alternativamente, puede iniciar la instalación de un LSC desde el menú Seguridad del teléfono. Este menú también permite actualizar o eliminar un LSC.

Los teléfonos utilizan el perfil de seguridad del teléfono, que define si el dispositivo es seguro o no seguro. Para obtener información sobre cómo aplicar el perfil de seguridad al teléfono, consulte la documentación de su versión específica de Cisco Unified Communications Manager.

Si configura ajustes relacionados con la seguridad en la administración de Cisco Unified Communications Manager, el archivo de configuración del teléfono contiene información confidencial. Para garantizar la privacidad de un archivo de configuración, debe configurarlo para que esté cifrado. Para obtener información detallada, consulte la documentación de su versión específica de Cisco Unified Communications Manager.

La siguiente tabla ofrece una descripción general de las funciones de seguridad que admiten los teléfonos. Para obtener más información, consulte la documentación de su versión específica de Cisco Unified Communications Manager.

La siguiente tabla contiene los mensajes de alarma de actualización de la lista de confianza y su significado. Para obtener más información, consulte la documentación de Cisco Unified Communications Manager.

Cuando se implementa la seguridad en un teléfono, puedes identificar las llamadas seguras mediante iconos en la pantalla del teléfono. También puedes determinar si el teléfono conectado es seguro y está protegido si suena un tono de seguridad al comienzo de la llamada.

En una llamada segura, toda la señalización de la llamada y las transmisiones multimedia están encriptadas. Una llamada segura ofrece un alto nivel de seguridad, proporcionando integridad y privacidad a la llamada. Cuando una llamada en curso está cifrada, puede ver el icono de seguridad en la línea.

En Cisco Unified Communications Manager, a los teléfonos configurados como seguros (encriptados y de confianza) se les puede asignar un estado de protegido. Una vez protegidos, estos dispositivos pueden configurarse para reproducir un tono de seguridad al inicio de cada llamada.

• Dispositivo protegido:

  Para cambiar el estado de un teléfono seguro a protegido:

  1. En la administración de Cisco Unified Communications Manager, seleccione Dispositivo > Teléfono.
  2. Localiza el teléfono que vas a configurar.
  3. En la ventana de Configuración del teléfono, seleccione la casilla de verificación Dispositivo protegido.
  4. Haga clic en Guardar.

• Reproducir tono de indicación de seguridad:

  Para que el teléfono protegido pueda reproducir un tono de indicación seguro o no seguro:

  1. En la administración de Cisco Unified Communications Manager, seleccione Sistema > Parámetros del servicio.
  2. Seleccione el servidor y luego el servicio Cisco CallManager.
  3. En el área Parámetros de todo el clúster (Función - Tono seguro), configure el Tono de reproducción para indicar Secure/Non-Secure Llamar al estado estableciendo en Verdadero.
  4. Haga clic en Guardar.

Dado que todos los dispositivos WLAN que se encuentran dentro del alcance pueden recibir todo el tráfico WLAN, garantizar la seguridad de las comunicaciones de voz es fundamental en las redes WLAN. Para garantizar que los intrusos no manipulen ni intercepten el tráfico de voz, la arquitectura de seguridad Cisco SAFE es compatible con el teléfono. Para obtener más información sobre seguridad en redes, consulte http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

La solución de telefonía IP inalámbrica de Cisco proporciona seguridad de red inalámbrica que impide los inicios de sesión no autorizados y las comunicaciones comprometidas mediante el uso de los siguientes métodos de autenticación que admite el teléfono.

• Autenticación abierta: En un sistema abierto, cualquier dispositivo inalámbrico puede solicitar autenticación. El punto de acceso que recibe la solicitud puede otorgar autenticación a cualquier solicitante o solo a los solicitantes que se encuentren en una lista de usuarios. La comunicación entre el dispositivo inalámbrico y el punto de acceso (AP) podría no estar cifrada.

• Autenticación mediante protocolo de autenticación extensible-autenticación flexible a través de tunelización segura (EAP-FAST): Esta arquitectura de seguridad cliente-servidor cifra las transacciones EAP dentro de un túnel de seguridad de nivel de transporte (TLS) entre el punto de acceso y el servidor RADIUS, como Identity Services Engine (ISE).

  El túnel TLS utiliza credenciales de acceso protegido (PAC) para la autenticación entre el cliente (teléfono) y el servidor RADIUS. El servidor envía un ID de autoridad (AID) al cliente (teléfono), que a su vez selecciona el PAC apropiado. El cliente (teléfono) devuelve un paquete PAC-Opaque al servidor RADIUS. El servidor descifra el PAC con la clave principal. Ahora ambos extremos contienen la clave PAC y se crea un túnel TLS. EAP-FAST admite el aprovisionamiento automático de PAC, pero debe habilitarlo en el servidor RADIUS.

  En ISE, por defecto, el PAC caduca en una semana. Si el teléfono tiene un código PAC caducado, la autenticación con el servidor RADIUS tarda más tiempo mientras el teléfono obtiene un nuevo código PAC. Para evitar retrasos en el aprovisionamiento de PAC, configure el período de caducidad de PAC en 90 días o más en el servidor ISE o RADIUS.

• Autenticación mediante el Protocolo de Autenticación Extensible-Seguridad de la Capa de Transporte (EAP-TLS): EAP-TLS requiere un certificado de cliente para la autenticación y el acceso a la red. Para EAP-TLS inalámbrico, el certificado del cliente puede ser MIC, LSC o un certificado instalado por el usuario.

• Protocolo de autenticación extensible protegido (PEAP): Esquema de autenticación mutua basado en contraseña, propiedad de Cisco, entre el cliente (teléfono) y un servidor RADIUS. El teléfono puede utilizar PEAP para autenticarse con la red inalámbrica. Se admiten los métodos de autenticación PEAP-MSCHAPV2 y PEAP-GTC.

• Clave precompartida (PSK): El teléfono admite formatos ASCII y hexadecimal (HEX). Debe utilizar estos formatos al configurar un WPA2/SAE Clave precompartida.

  ASCII: Una cadena de caracteres ASCII con una longitud de entre 8 y 63 caracteres (0-9, az minúscula, AZ mayúscula y caracteres especiales). Por ejemplo, GREG123567@9ZX&W.

  HEX: Una cadena de caracteres hexadecimales con una longitud de 64 dígitos hexadecimales (0-9, af o AF).

Los siguientes esquemas de autenticación utilizan el servidor RADIUS para gestionar las claves de autenticación:

• WPA2/WPA3: Utiliza la información del servidor RADIUS para generar claves únicas de autenticación. Debido a que estas claves se generan en el servidor RADIUS centralizado, WPA2/WPA3 Proporciona mayor seguridad que las claves precompartidas WPA, que se almacenan en el punto de acceso y en el teléfono.

• Roaming rápido y seguro: Utiliza información del servidor RADIUS y del servidor de dominio inalámbrico (WDS) para gestionar y autenticar las claves. El WDS crea una caché de credenciales de seguridad para los dispositivos cliente compatibles con FT, lo que permite una reautenticación rápida y segura.

Con WPA2/WPA3, Las claves de cifrado no se introducen en el teléfono, sino que se generan automáticamente entre el punto de acceso y el teléfono. Sin embargo, el nombre de usuario y la contraseña de EAP que se utilizan para la autenticación deben introducirse en cada teléfono.

Para ayudar a proteger el tráfico de voz a través del enlace inalámbrico, el teléfono admite el cifrado basado en AES para WPA2/WPA3 autenticación. AES es un cifrado de bloques simétrico estandarizado por el NIST. AES utiliza un tamaño de bloque fijo de 128 bits y admite tamaños de clave de 128 bits, 192 bits y 256 bits. En las redes Wi-Fi, AES es utilizado por conjuntos de cifrado como CCMP o GCMP, mientras que la autenticación se proporciona por separado mediante PSK, SAE o 802.1X/EAP, dependiendo del modo de seguridad WLAN configurado. El conjunto de cifrado compatible y el tamaño de la clave dependen del modelo de teléfono y de la configuración de la red WLAN.

Cuando el teléfono utiliza el cifrado AES, tanto los paquetes SIP de señalización como los paquetes RTP (Protocolo de Transporte en Tiempo Real) de voz se cifran entre el punto de acceso y el teléfono.

Los esquemas de autenticación y cifrado se configuran dentro de la red LAN inalámbrica. Las VLAN se configuran en la red y en los puntos de acceso, y especifican diferentes combinaciones de autenticación y cifrado. Un SSID se asocia con una VLAN y con un esquema particular de autenticación y cifrado. Para que los dispositivos cliente inalámbricos se autentiquen correctamente, debe configurar los mismos SSID con sus esquemas de autenticación y cifrado tanto en los puntos de acceso como en el teléfono.

Algunos sistemas de autenticación requieren tipos específicos de cifrado.

Los esquemas de autenticación y cifrado que se muestran en la siguiente tabla presentan las opciones de configuración de red para el teléfono inalámbrico Cisco 9821 que corresponden a la configuración del punto de acceso (AP).

El teléfono inalámbrico Cisco 9821 admite la autenticación 802.1X para redes cableadas. Esto se usa normalmente durante el aprovisionamiento automático cuando el teléfono está conectado al cargador de escritorio a través de un adaptador USB a Ethernet compatible.

La compatibilidad con la autenticación 802.1X en redes cableadas requiere varios componentes, como se indica a continuación:

• Teléfono IP de Cisco: El teléfono inicia la solicitud para acceder a la red. Los teléfonos IP de Cisco incluyen un cliente 802.1X. Este programa permite a los administradores de red controlar la conectividad de los teléfonos IP a los puertos del conmutador LAN. La versión actual del cliente 802.1X para teléfonos utiliza las opciones EAP-FAST y EAP-TLS para la autenticación de red.

• Servidor de autenticación: Tanto el servidor de autenticación como el conmutador deben estar configurados con una clave secreta compartida RADIUS.

• Cambiar: El conmutador debe ser compatible con 802.1X para que pueda actuar como autenticador y retransmitir los mensajes EAP entre el teléfono y el servidor de autenticación. Una vez completada la comunicación, el conmutador concede o deniega el acceso del teléfono a la red.

Los teléfonos IP de Cisco y los conmutadores Cisco Catalyst tradicionalmente utilizan el Protocolo de descubrimiento de Cisco (CDP) para identificarse entre sí y determinar parámetros como la asignación de VLAN y los requisitos de alimentación en línea.

Para configurar 802.1X, debe realizar las siguientes acciones.

• Configurar CDP/LLDP Omisión de VLAN de voz.

• Configure el servidor de autenticación y el conmutador antes de habilitar la autenticación 802.1X para redes cableadas en el teléfono.

• Configurar VLAN de voz: Dado que el estándar 802.1X no contempla las VLAN, deberá configurar este ajuste en función de la compatibilidad del switch.

  • Habilitado: Si utiliza un conmutador que admita la autenticación multidominio, puede configurarlo para que utilice la VLAN de voz.
  • Deshabilitado: Si el conmutador no admite la autenticación multidominio, desactive la VLAN de voz y considere asignar el puerto a la VLAN nativa.

• El teléfono inalámbrico Cisco 9821 tiene un prefijo diferente en el PID que el de los demás teléfonos Cisco. Para que su teléfono pueda pasar la autenticación 802.1X, configure el parámetro Radius·User-Name para incluir su teléfono inalámbrico Cisco 9821.

  Por ejemplo, el PID del teléfono inalámbrico Cisco 9821 es WP-9821. Puede establecer Radius·User-Name en Start with WP o Contains WP en ambas secciones siguientes:

  • Política > Condiciones > Condiciones de la biblioteca

  • Política > Conjuntos de políticas > Política de autorización > Regla de autorización 1