Merci pour votre commentaire.

Les dispositifs de sécurité protègent contre les menaces, y compris les menaces visant l'identité du téléphone et les données. Ces fonctionnalités établissent et gèrent des flux de communication authentifiés entre le téléphone et le Cisco Unified Communications Manager serveur, et garantissent que le téléphone utilise uniquement des fichiers signés numériquement.

Cisco Unified Communications ManagerLes versions 8.5 (1) et ultérieures incluent la sécurité par défaut, qui fournit les fonctionnalités de sécurité suivantes pour les téléphones IP Cisco sans utiliser le client CTL :

• Signature des fichiers de configuration du téléphone

• Chiffrement des fichiers de configuration du téléphone

• HTTPS avec Tomcat et d'autres services Web

La mise en place de mesures de sécurité dans le Cisco Unified Communications Manager système empêche l' usurpation d'identité du téléphone et Cisco Unified Communications Manager du serveur, empêche la falsification des données, la signalisation des appels et la falsification des flux multimédia.

Pour atténuer ces menaces, le réseau de téléphonie IP Cisco établit et gère des flux de communication sécurisés (cryptés) entre un téléphone et le serveur, signe numériquement les fichiers avant qu'ils ne soient transférés sur un téléphone et crypte les flux multimédia et la signalisation des appels entre les téléphones IP Cisco.

Un certificat d'importance locale (LSC) s'installe sur les téléphones une fois que vous avez effectué les tâches nécessaires associées à la fonction Certificate Authority proxy (CAPF). Vous pouvez l'utiliser Cisco Unified Communications Manager Administration pour configurer un LSC, comme décrit dans le Guide Cisco Unified Communications Manager de sécurité. Vous pouvez également lancer l'installation d'un LSC depuis le menu Sécurité du téléphone. Ce menu vous permet également de mettre à jour ou de supprimer un LSC.

Les téléphones utilisent le profil de sécurité du téléphone, qui définit si l'appareil n'est pas sécurisé ou non. Pour plus d'informations sur l'application du profil de sécurité au téléphone, consultez la documentation relative à votre Cisco Unified Communications Manager version en question.

Si vous configurez les paramètres de sécurité dansCisco Unified Communications Manager Administration, le fichier de configuration du téléphone contient des informations sensibles. Pour garantir la confidentialité d' un fichier de configuration, vous devez le configurer pour le chiffrer. Pour plus d'informations, consultez la documentation de votre Cisco Unified Communications Manager version en question.

Le tableau suivant donne un aperçu des fonctionnalités de sécurité prises en charge par les téléphones. Pour plus d'informations, consultez la documentation de votre Cisco Unified Communications Manager version en question.

Le tableau suivant contient les messages d'alarme relatifs à la mise à jour de la liste de confiance et leur signification. Pour plus d'informations, consultez la Cisco Unified Communications Manager documentation.

Lorsque la sécurité est mise en place pour un téléphone, vous pouvez identifier les appels téléphoniques sécurisés grâce à des icônes sur l'écran du téléphone. Vous pouvez également déterminer si le téléphone connecté est sécurisé et protégé si une tonalité de sécurité retentit au début de l'appel.

Lors d'un appel sécurisé, tous les signaux d'appel et les flux multimédia sont cryptés. Un appel sécurisé offre un haut niveau de sécurité, garantissant intégrité et confidentialité. Lorsqu'un appel en cours est crypté, vous pouvez voir l'icône sécurisée sur la ligne.

DansCisco Unified Communications Manager, les téléphones configurés comme sécurisés (cryptés et fiables) peuvent se voir attribuer un statut protégé. Une fois protégés, ces appareils peuvent être configurés pour émettre une tonalité de sécurité au début de chaque appel.

• Appareil protégé :

  Pour changer le statut d'un téléphone sécurisé en « protégé » :

  1. DansCisco Unified Communications Manager Administration, sélectionnez Appareil > Téléphone.
  2. Localisez le téléphone que vous allez configurer.
  3. Dans la fenêtre de configuration du téléphone, cochez la case Appareil protégé.
  4. Cliquez sur Enregistrer.

• Jouez à Secure Indication Tone :

  Pour permettre au téléphone protégé d'émettre une tonalité d'indication sécurisée ou non sécurisée :

  1. DansCisco Unified Communications Manager Administration, sélectionnez Système > Paramètres de service.
  2. Sélectionnez le serveur puis le Cisco CallManager service.
  3. Dans la zone Paramètres à l'échelle du cluster (Fonctionnalité - Tonalité sécurisée), réglez la tonalité de lecture pour indiquer le statut des appels sécurisés/non sécurisés sur True.
  4. Cliquez sur Enregistrer.

Comme tous les appareils WLAN à portée peuvent recevoir tout autre trafic WLAN, la sécurisation des communications vocales est essentielle sur les réseaux locaux sans fil. Pour s'assurer que les intrus ne manipulent ni n'interceptent le trafic vocal, l'architecture Cisco SAFE Security prend en charge le téléphone. Pour plus d' informations sur la sécurité des réseaux, voir http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

La solution de téléphonie IP sans fil Cisco assure la sécurité du réseau sans fil qui empêche les connexions non autorisées et les communications compromises en utilisant les méthodes d'authentification suivantes prises en charge par le téléphone.

• Authentification ouverte : n'importe quel appareil sans fil peut demander une authentification dans un système ouvert. L'AP qui reçoit la demande peut authentifier n'importe quel demandeur ou uniquement aux demandeurs figurant sur une liste d'utilisateurs. La communication entre l'appareil sans fil et le point d'accès (AP) n'est peut-être pas cryptée.

• Protocole d'authentification extensible : authentification flexible via un tunnel sécurisé (EAP-FAST) Authentification : Cette architecture de sécurité client-serveur chiffre les transactions EAP dans un tunnel TLS (Transport Level Security) entre l'AP et le serveur RADIUS, tel que Identity Services Engine (ISE).

  Le tunnel TLS utilise des informations d'accès protégées (PAC) pour l'authentification entre le client (téléphone) et le serveur RADIUS. Le serveur envoie un identifiant d'autorité (AID) au client (téléphone), qui sélectionne à son tour le PAC approprié. Le client (téléphone) renvoie un PAC-opaque au serveur RADIUS. Le serveur déchiffre le PAC à l'aide de la clé primaire. Les deux points de terminaison contiennent désormais la clé PAC et un tunnel TLS est créé. EAP-FAST prend en charge le provisionnement automatique des PAC, mais vous devez l'activer sur le serveur RADIUS.

  Dans ISE, par défaut, le PAC expire dans une semaine. Si le PAC du téléphone est expiré, l'authentification auprès du serveur RADIUS prend plus de temps tant que le téléphone reçoit un nouveau PAC. Pour éviter les retards d'approvisionnement du PAC, définissez la période d'expiration du PAC à 90 jours ou plus sur le serveur ISE ou RADIUS.

• Authentification EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) : L'EAP-TLS nécessite un certificat client pour l'authentification et l'accès au réseau. Pour l'EAP-TLS sans fil, le certificat client peut être un MIC, un LSC ou un certificat installé par l'utilisateur.

• Protocole d'authentification extensible protégé (PEAP) : système d'authentification mutuelle basé sur un mot de passe propriétaire de Cisco entre le client (téléphone) et un serveur RADIUS. Le téléphone peut utiliser le protocole PEAP pour s'authentifier sur le réseau sans fil. Les méthodes d'authentification PEAP-MSCHAPV2 et PEAP-GTC sont prises en charge.

• Clé pré-partagée (PSK) : Le téléphone prend en charge les formats ASCII et hexadécimal (HEX). Vous devez utiliser ces formats lorsque vous configurez une clé prépartagée WPA2/SAE.

  ASCII : chaîne de caractères ASCII de 8 à 63 caractères (0 à 9, a-z minuscules, A-Z majuscules et caractères spéciaux). Par exemple, GREG123567@9ZX&W.

  HEX : chaîne de caractères hexadécimaux de 64 chiffres hexadécimaux (0-9, a-f ou A-F).

Les schémas d'authentification suivants utilisent le serveur RADIUS pour gérer les clés d'authentification :

• WPA2/WPA3 : utilise les informations du serveur RADIUS pour générer des clés uniques d'authentification. Comme ces clés sont générées sur le serveur RADIUS centralisé, le WPA2/WPA3 offre plus de sécurité que les clés prépartagées WPA stockées sur l'AP et le téléphone.

• Roaming rapide et sécurisé : utilise les informations du serveur RADIUS et d'un serveur de domaine sans fil (WDS) pour gérer et authentifier les clés. Le WDS crée un cache contenant les informations de sécurité pour les appareils clients compatibles FT afin de permettre une réauthentification rapide et sécurisée.

Avec le WPA2/WPA3, les clés de cryptage ne sont pas saisies sur le téléphone, mais sont automatiquement dérivées entre l'AP et le téléphone. Mais le nom d'utilisateur et le mot de passe EAP utilisés pour l'authentification doivent être saisis sur chaque téléphone.

Pour protéger le trafic vocal via la liaison sans fil, le téléphone prend en charge le cryptage AES pour l'authentification WPA2/WPA3. L'AES est un chiffrement par blocs symétrique normalisé par le NIST. AES utilise une taille de bloc fixe de 128 bits et prend en charge des tailles de clé de 128 bits, 192 bits et 256 bits. Sur les réseaux Wi-Fi, l'AES est utilisé par des suites de chiffrement telles que CCMP ou GCMP, tandis que l'authentification est fournie séparément par PSK, SAE ou 802.1X/EAP, selon le mode de sécurité WLAN configuré. La suite de chiffrement et la taille de clé prises en charge dépendent du modèle de téléphone et de la configuration du réseau local sans fil.

Lorsque le téléphone utilise le cryptage AES, les paquets SIP de signalisation et les paquets vocaux RTP sont chiffrés entre l'AP et le téléphone.

Les systèmes d'authentification et de cryptage sont configurés sur le réseau sans fil. Les VLAN sont configurés sur le réseau et sur les points d'accès et proposent différentes combinaisons d'authentification et de cryptage. Un SSID est associé à un VLAN et à un schéma d'authentification et de cryptage spécifique. Pour que les appareils clients sans fil s'authentifient correctement, vous devez configurer les mêmes SSID avec leurs schémas d'authentification et de cryptage sur les points d'accès et sur le téléphone.

Certains systèmes d'authentification nécessitent des types de cryptage spécifiques.

Les schémas d'authentification et de cryptage du tableau suivant indiquent les options de configuration réseau du téléphone sans fil Cisco 9821, qui correspondent à la configuration du point d'accès.

Le téléphone sans fil Cisco 9821 prend en charge l'authentification 802.1X pour les réseaux filaires. C'est généralement utilisé lors de l'approvisionnement automatique lorsque le téléphone est connecté au chargeur de bureau via un adaptateur USB/Ethernet compatible.

La prise en charge de l'authentification 802.1X sur les réseaux câblés nécessite plusieurs composants, à savoir  :

• Téléphone IP Cisco : C'est le téléphone qui lance la demande d'accès au réseau. Les téléphones IP Cisco contiennent un implorant 802.1X. Ce suppliant permet aux administrateurs réseau de contrôler la connectivité des téléphones IP aux ports du commutateur LAN. La version actuelle du téléphone 802.1X supplicant utilise les options EAP-FAST et EAP-TLS pour l'authentification réseau.

• Serveur d'authentification : Le serveur d'authentification et le switch doivent tous deux être configurés avec un secret partagé RADIUS.

• Switch : Le switch doit prendre en charge la norme 802.1X pour pouvoir faire office d'authentificateur et relayer les messages EAP entre le téléphone et le serveur d'authentification. Une fois l'échange terminé, le commutateur accorde ou refuse l'accès téléphonique au réseau.

Les téléphones IP Cisco et les commutateurs Cisco Catalyst utilisent Cisco Discovery Protocol traditionnellement le CDP pour s'identifier et déterminer des paramètres tels que l'allocation du VLAN et les besoins en alimentation en ligne.

Vous devez effectuer les actions suivantes pour configurer le 802.1X.

• Configurez le contournement vocal VLAN CDP/LLDP.

• Configurez le serveur d'authentification et le commutateur avant d'activer l' authentification 802.1X pour les réseaux filaires sur le téléphone.

• Configurer le VLAN vocal : comme la norme 802.1X ne prend pas en compte les VLAN, vous devez configurer ce paramètre en fonction de la prise en charge des commutateurs.

  • Activé : si vous utilisez un commutateur qui prend en charge l'authentification multidomaine, vous pouvez le configurer pour utiliser le VLAN vocal.
  • Désactivé : si le commutateur ne prend pas en charge l'authentification multidomaine, désactivez le VLAN vocal et envisagez d'attribuer le port au VLAN natif.

• Le téléphone sans fil Cisco 9821 a un préfixe PID différent de celui des autres téléphones Cisco. Pour permettre à votre téléphone de passer l'authentification 802.1X, définissez le paramètre Radius·User-Name pour inclure votre téléphone sans fil Cisco 9821.

  Par exemple, le PID du téléphone sans fil Cisco 9821 est WP-9821. Vous pouvez définir Radius·User-Name sur Start with WPou Contains WPdans les deux sections suivantes :

  • Politique > Conditions > Conditions de la bibliothèque

  • Politique > Ensembles de politiques > Politique d'autorisation > Règle d'autorisation 1