Merci pour votre commentaire.

Les fonctions de sécurité protègent contre les menaces, notamment celles qui portent atteinte à l'identité du téléphone et aux données. Ces fonctionnalités établissent et maintiennent des flux de communication authentifiés entre le téléphone et le serveur Cisco Unified Communications Manager, et garantissent que le téléphone utilise uniquement des fichiers signés numériquement.

Cisco Unified Communications Manager version 8.5(1) et ultérieures inclut la sécurité par défaut, qui fournit les fonctionnalités de sécurité suivantes pour les téléphones IP Cisco sans exécuter le client CTL :

• Signature des fichiers de configuration téléphoniques

• chiffrement du fichier de configuration du téléphone

• HTTPS avec Tomcat et d'autres services Web

La mise en œuvre de mesures de sécurité dans le système Cisco Unified Communications Manager empêche l'usurpation d'identité du téléphone et du serveur Cisco Unified Communications Manager, empêche la falsification des données et empêche la falsification de la signalisation des appels et des flux multimédias.

Pour atténuer ces menaces, le réseau de téléphonie IP Cisco établit et maintient des flux de communication sécurisés (cryptés) entre un téléphone et le serveur, signe numériquement les fichiers avant leur transfert vers un téléphone et crypte les flux multimédias et la signalisation d'appel entre les téléphones IP Cisco.

Un certificat à signification locale (LSC) s'installe sur les téléphones après que vous ayez effectué les tâches nécessaires associées à la fonction de proxy d'autorité de certification (CAPF). Vous pouvez utiliser l'administration de Cisco Unified Communications Manager pour configurer un LSC, comme décrit dans le Guide de sécurité de Cisco Unified Communications Manager. Vous pouvez également lancer l'installation d'un LSC à partir du menu Sécurité du téléphone. Ce menu vous permet également de mettre à jour ou de supprimer un LSC.

Les téléphones utilisent le profil de sécurité du téléphone, qui définit si l'appareil est non sécurisé ou sécurisé. Pour plus d'informations sur l'application du profil de sécurité au téléphone, consultez la documentation relative à votre version spécifique de Cisco Unified Communications Manager.

Si vous configurez des paramètres liés à la sécurité dans l'administration de Cisco Unified Communications Manager, le fichier de configuration du téléphone contient des informations sensibles. Pour garantir la confidentialité d'un fichier de configuration, vous devez le configurer pour le chiffrement. Pour plus d'informations, consultez la documentation relative à votre version spécifique de Cisco Unified Communications Manager.

Le tableau suivant présente un aperçu des fonctionnalités de sécurité prises en charge par les téléphones. Pour plus d'informations, consultez la documentation relative à votre version spécifique de Cisco Unified Communications Manager.

Le tableau suivant contient les messages d'alarme de mise à jour de la liste de confiance et leur signification. Pour plus d'informations, consultez la documentation de Cisco Unified Communications Manager.

Lorsqu'un système de sécurité est mis en place pour un téléphone, les appels sécurisés sont identifiables grâce à des icônes affichées sur l'écran. Vous pouvez également déterminer si le téléphone connecté est sécurisé et protégé si une tonalité de sécurité retentit au début de l'appel.

Lors d'un appel sécurisé, tous les flux de signalisation et multimédias sont cryptés. Un appel sécurisé offre un niveau de sécurité élevé, garantissant l'intégrité et la confidentialité de l'appel. Lorsqu'un appel en cours est chiffré, vous pouvez voir l'icône de sécurité sur la ligne.

Dans Cisco Unified Communications Manager, les téléphones configurés comme sécurisés (chiffrés et approuvés) peuvent se voir attribuer un statut protégé. Une fois protégés, ces appareils peuvent être configurés pour émettre une tonalité de sécurité au début de chaque appel.

• Dispositif protégé :

  Pour changer le statut d'un téléphone sécurisé en protégé :

  1. Dans l'interface d'administration de Cisco Unified Communications Manager, sélectionnez Périphérique > Téléphone.
  2. Repérez le téléphone que vous allez configurer.
  3. Dans la fenêtre de configuration du téléphone, sélectionnez la case à cocher Appareil protégé.
  4. Cliquez sur Enregistrer.

• Émettre le signal sonore de sécurité :

  Pour permettre au téléphone protégé d'émettre une tonalité d'indication sécurisée ou non sécurisée :

  1. Dans l'administration de Cisco Unified Communications Manager, sélectionnez Système > Paramètres de service.
  2. Sélectionnez le serveur puis le service Cisco CallManager.
  3. Dans la zone Paramètres globaux du cluster (Fonctionnalité - Tonalité sécurisée), définissez le Sonnerie de lecture sur Indiquer Secure/Non-Secure Statut de l'appel paramétré sur Vrai.
  4. Cliquez sur Enregistrer.

Étant donné que tous les appareils WLAN situés à portée peuvent recevoir tout le trafic WLAN, la sécurisation des communications vocales est essentielle dans les réseaux WLAN. Pour garantir que les intrus ne manipulent ni n'interceptent le trafic vocal, l'architecture de sécurité Cisco SAFE prend en charge le téléphone. Pour plus d'informations sur la sécurité des réseaux, voir http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

La solution de téléphonie IP sans fil Cisco assure la sécurité du réseau sans fil en empêchant les connexions non autorisées et les communications compromises grâce aux méthodes d'authentification suivantes prises en charge par le téléphone.

• Authentification ouverte: Tout appareil sans fil peut demander une authentification dans un système ouvert. Le point d'accès qui reçoit la requête peut accorder l'authentification à tout demandeur ou uniquement aux demandeurs figurant sur une liste d'utilisateurs. La communication entre le périphérique sans fil et le point d'accès (AP) pourrait ne pas être cryptée.

• Protocole d'authentification extensible - Authentification flexible via tunnel sécurisé (EAP-FAST): Cette architecture de sécurité client-serveur chiffre les transactions EAP dans un tunnel de sécurité au niveau transport (TLS) entre le point d'accès et le serveur RADIUS, tel que Identity Services Engine (ISE).

  Le tunnel TLS utilise des identifiants d'accès protégés (PAC) pour l'authentification entre le client (téléphone) et le serveur RADIUS. Le serveur envoie un identifiant d'autorité (AID) au client (téléphone), qui à son tour sélectionne le PAC approprié. Le client (téléphone) renvoie un PAC-Opaque au serveur RADIUS. Le serveur déchiffre le PAC avec la clé primaire. Les deux points de terminaison contiennent désormais la clé PAC et un tunnel TLS est créé. EAP-FAST prend en charge le provisionnement automatique des PAC, mais vous devez l'activer sur le serveur RADIUS.

  Dans ISE, par défaut, le PAC expire au bout d'une semaine. Si le code PAC du téléphone est expiré, l'authentification auprès du serveur RADIUS prendra plus de temps le temps que le téléphone obtienne un nouveau code PAC. Pour éviter les retards de provisionnement des PAC, définissez la période d'expiration des PAC à 90 jours ou plus sur le serveur ISE ou RADIUS.

• Authentification EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) : EAP-TLS requiert un certificat client pour l'authentification et l'accès au réseau. Pour le protocole EAP-TLS sans fil, le certificat client peut être un certificat MIC, LSC ou un certificat installé par l'utilisateur.

• Protocole d'authentification extensible protégé (PEAP): Système d'authentification mutuelle par mot de passe propriétaire de Cisco entre le client (téléphone) et un serveur RADIUS. Le téléphone peut utiliser PEAP pour l'authentification auprès du réseau sans fil. Les deux méthodes d'authentification PEAP-MSCHAPV2 et PEAP-GTC sont prises en charge.

• Clé pré-partagée (PSK): Le téléphone prend en charge les formats ASCII et hexadécimal (HEX). Vous devez utiliser ces formats lors de la configuration d'un WPA2/SAE Clé pré-partagée.

  ASCII: Une chaîne de caractères ASCII de 8 à 63 caractères de longueur (0-9, az minuscule, AZ majuscule et caractères spéciaux). Par exemple, GREG123567@9ZX&W.

  HEX: Une chaîne de caractères HEX de 64 chiffres hexadécimaux (0-9, af ou AF).

Les schémas d'authentification suivants utilisent le serveur RADIUS pour gérer les clés d'authentification :

• WPA2/WPA3: Utilise les informations du serveur RADIUS pour générer des clés uniques d'authentification. Ces clés étant générées par le serveur RADIUS centralisé, WPA2/WPA3 offre une sécurité supérieure aux clés pré-partagées WPA stockées sur le point d'accès et le téléphone.

• Itinérance rapide et sécurisée : Utilise un serveur RADIUS et les informations d'un serveur de domaine sans fil (WDS) pour gérer et authentifier les clés. Le WDS crée un cache d'informations d'identification de sécurité pour les appareils clients compatibles FT afin de permettre une réauthentification rapide et sécurisée.

Avec WPA2/WPA3, Les clés de chiffrement ne sont pas saisies sur le téléphone, mais sont automatiquement générées entre le point d'accès et le téléphone. Mais le nom d'utilisateur et le mot de passe EAP utilisés pour l'authentification doivent être saisis sur chaque téléphone.

Pour contribuer à protéger le trafic vocal sur la liaison sans fil, le téléphone prend en charge le chiffrement AES pour WPA2/WPA3 authentification. L'AES est un chiffrement par blocs symétrique normalisé par le NIST. AES utilise une taille de bloc fixe de 128 bits et prend en charge des tailles de clé de 128 bits, 192 bits et 256 bits. Dans les réseaux Wi-Fi, l'AES est utilisé par des suites de chiffrement telles que CCMP ou GCMP, tandis que l'authentification est assurée séparément par PSK, SAE ou 802.1X/EAP, en fonction du mode de sécurité WLAN configuré. La suite de chiffrement prise en charge et la taille de la clé dépendent du modèle de téléphone et de la configuration du réseau sans fil.

Lorsque le téléphone utilise le chiffrement AES, les paquets SIP de signalisation et les paquets RTP (Real-Time Transport Protocol) vocaux sont chiffrés entre le point d'accès et le téléphone.

Des systèmes d'authentification et de chiffrement sont mis en place au sein du réseau local sans fil. Les VLAN sont configurés sur le réseau et sur les points d'accès et spécifient différentes combinaisons d'authentification et de chiffrement. Un SSID est associé à un VLAN et à un système d'authentification et de chiffrement spécifique. Pour que les appareils clients sans fil s'authentifient correctement, vous devez configurer les mêmes SSID avec leurs schémas d'authentification et de chiffrement sur les points d'accès et sur le téléphone.

Certains systèmes d'authentification requièrent des types de chiffrement spécifiques.

Les schémas d'authentification et de chiffrement du tableau suivant présentent les options de configuration réseau du téléphone sans fil Cisco 9821 correspondant à la configuration AP.

Le téléphone sans fil Cisco 9821 prend en charge l'authentification 802.1X pour les réseaux câblés. Ceci est généralement utilisé lors de la configuration automatique lorsque le téléphone est connecté au chargeur de bureau via un adaptateur USB-Ethernet compatible.

La prise en charge de l'authentification 802.1X sur les réseaux câblés nécessite plusieurs composants, notamment :

• Téléphone IP Cisco : Le téléphone initie la demande d'accès au réseau. Les téléphones IP Cisco intègrent un module supplicant 802.1X. Ce module permet aux administrateurs réseau de contrôler la connectivité des téléphones IP aux ports du commutateur LAN. La version actuelle du client 802.1X pour téléphones utilise les options EAP-FAST et EAP-TLS pour l'authentification réseau.

• Serveur d'authentification : Le serveur d'authentification et le commutateur doivent tous deux être configurés avec un secret partagé RADIUS.

• Changer: Le commutateur doit prendre en charge la norme 802.1X afin de pouvoir servir d'authentificateur et relayer les messages EAP entre le téléphone et le serveur d'authentification. Une fois l'échange terminé, le commutateur autorise ou refuse l'accès du téléphone au réseau.

Les téléphones IP Cisco et les commutateurs Cisco Catalyst utilisent traditionnellement le protocole Cisco Discovery Protocol (CDP) pour s'identifier mutuellement et déterminer des paramètres tels que l'allocation VLAN et les exigences d'alimentation en ligne.

Vous devez effectuer les actions suivantes pour configurer le protocole 802.1X.

• Configure CDP/LLDP Contournement du VLAN voix.

• Configurez le serveur d'authentification et le commutateur avant d'activer l'authentification 802.1X pour les réseaux câblés sur le téléphone.

• Configurer le VLAN voix : Étant donné que la norme 802.1X ne prend pas en compte les VLAN, vous devez configurer ce paramètre en fonction de la prise en charge du commutateur.

  • Activé : Si vous utilisez un commutateur prenant en charge l'authentification multidomaine, vous pouvez le configurer pour utiliser le VLAN voix.
  • Désactivé : Si le commutateur ne prend pas en charge l'authentification multidomaine, désactivez le VLAN voix et envisagez d'attribuer le port au VLAN natif.

• Le téléphone sans fil Cisco 9821 possède un préfixe différent dans son PID par rapport aux autres téléphones Cisco. Pour permettre à votre téléphone de passer l'authentification 802.1X, définissez le paramètre Radius·User-Name pour inclure votre téléphone sans fil Cisco 9821.

  Par exemple, le PID du téléphone sans fil Cisco 9821 est WP-9821. Vous pouvez définir Radius·User-Name sur Start with WP ou Contains WP dans les deux sections suivantes :

  • Politique > Conditions > Conditions de la bibliothèque

  • Politique > Ensembles de politiques > Politique d'autorisation > Règle d'autorisation 1