תודה על המשוב.

תכונות אבטחה מגנות מפני איומים, כולל איומים על זהות הטלפון ועל הנתונים. תכונות אלה מקימות ומקיימות זרמי תקשורת מאומתים בין הטלפון לש Cisco Unified Communications Manager רת ומבטיחות ש הטלפון משתמש רק בקבצים חתומים דיגיטלית.

Cisco Unified Communications Managerגרסה 8.5 (1) ואילך כוללת אבטחה כברירת מחדל, המספקת את תכונות האבטחה הבאות עבור טלפונים IP של Cisco מבלי להפעיל את לקוח CTL:

• חתימה על קבצי תצורת הטלפון

• הצפנת קובץ תצורת טלפון

• HTTPS עם Tomcat ושירותי אינטרנט אחרים

הטמעת אבטחה Cisco Unified Communications Manager במערכת מונעת גניבת זהות של הטלפון והש Cisco Unified Communications Manager רת, מונעת חבלה בנתונים ומונעת איתות שיחות והתעללות בזרם מדיה.

כדי להקל על איומים אלה, רשת הטלפוניה IP של סיסקו מקימה ושומרת על זרמי תקשורת מאובטחים (מוצפנים) בין טלפון לשרת, חותמת דיגיטלית על קבצים לפני שהם מועברים לטלפון ומצפינה זרמי מדיה ואיתות שיחות בין טלפונים IP של סיסקו.

אישור משמעותי מקומי (LSC) מותקן בטלפונים לאחר ביצוע המשימות הדרושות המשויכות לפונקציית ה- Certificate Authority Proxy (CAPF). באפשרותך להשתמש Cisco Unified Communications Manager Administration כדי להגדיר LSC, כמתואר במד ריך הא Cisco Unified Communications Manager בטחה. לחלופין, באפשרותך ליזום התקנה של LSC מתפריט האבטחה בטלפון. תפריט זה מאפשר לך גם לעדכן או להסיר LSC.

הטלפונים משתמשים בפרופיל האבטחה של הטלפון, המגדיר אם המכשיר אינו מאובטח או מאו בטח. לקבלת מידע אודות החלת פרופיל האבטחה בטלפון, עיין בתי עוד של המהדורה הספציפית Cisco Unified Communications Manager שלך.

אם תגדיר הגדרות הקשורות לאבטחה ב-Cisco Unified Communications Manager Administration, קובץ תצורת הטלפון מכיל מידע רגיש. כדי להבטיח את הפרטיות של קובץ תצורה, עליך להגדיר אותו להצפנה. לקבלת מידע מפורט, עיין בתי עוד של המהדורה הספצי Cisco Unified Communications Manager פית שלך.

הטבלה הבאה מספקת סקירה כללית של תכונות האבטחה בהן תומכים הטלפונים . לקבלת מידע נוסף, עיין בתיעוד של המהדורה הספצי Cisco Unified Communications Manager פית שלך.

הטבלה הבאה מכילה את הודעות האזעקה והמשמעות של עדכון רשימת האמון. לקבלת מידע נוסף, עיין בתי Cisco Unified Communications Manager עוד.

כאשר מיושמת אבטחה עבור טלפון, באפשרותך לזהות שיחות טלפון מאובטחות לפי סמלים במסך הטלפון. באפשרותך גם לקבוע אם הטלפון המחובר מאובטח ומו גן אם צליל אבטחה מתנגן בתחילת השיחה.

בשיחה מאובטחת, כל איתות השיחות וזרמי המדיה מוצפנים. שי חה מאובטחת מציעה רמה גבוהה של אבטחה, ומספקת שלמות ופרטיות לשיחה. כאשר שי חה מתנהלת מוצפנת, תוכל לראות את הסמל המאובטח בקו.

בCisco Unified Communications Manager, ניתן להקצות סטטוס מוגן לטלפונים המו גדרים כמאובטחים (מוצפנים ואמינים). לאחר ההגנה, ניתן להגדיר מכשירים אלה להשמיע צליל אבטחה בתחילת כל שיחה.

• התקן מוגן:

  כדי לשנות את הסטטוס של טלפון מאובטח למוגן:

  1. בתוךCisco Unified Communications Manager Administration, בחר התקן > טלפון.
  2. אתר את הטלפון שתגדיר.
  3. בחלון תצורת טלפון, בחר בתיבת הסי מון התקן מוגן.
  4. לחץ על שמור.

• הפעל צליל אינדיקציה מאובטח:

  כדי לאפשר לטלפון המוגן להפעיל צליל אינדיקציה מאובטח או לא מאובטח:

  1. בתוךCisco Unified Communications Manager Administration, בחר מערכת > פרמטרי שירות.
  2. בחר את השרת ולאחר מכן את Cisco CallManager השירות.
  3. באזור פרמטרים רחבי אשכול (תכונה - צליל מאובטח), הגדר את ה הגדרה 'צליל הפע לה' להצביע על מצב שיחה מאובטח/לא מאובטח (True).
  4. לחץ על שמור.

מכיוון שכל התקני WLAN הנמצאים בטווח יכולים לקבל את כל תעבורת ה- WLAN האחרת, אבטחת תקשורת קולית היא קריטית ברשתות WLAN. כדי להבטיח שהפולשים לא יעשו מניפולציות או יירטו תנועה קולית, ארכיטקטורת ה- SAFE Security של Cisco תומכת בטלפון. לקבלת מידע נוסף אודות אבטחה ברשתות, ראה http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

פתרון טלפוניה IP אלחוטית של Cisco מספק אבטחת רשת אלחוטית המונעת כניסות לא מורשות ותקשורת שנפגעה באמצעות שיטות האימות הבאות בהן הטלפון תומך.

• אימות פתוח: כל התקן אלחוטי יכול לבקש אימות במערכת פתוחה. ה- AP שמקבל את הבקשה רשאי להעניק אימות לכל מבקש או רק למבקשים שנמצאים ברשימת משתמשים. התקשורת בין ההתקן האלחוטי לנקודת הגישה (AP) עשויה להיות לא מוצפנת.

• פרו@@ טוקול אימות הניתן להרחבה-אימות גמיש באמצעות אימות מנהור מאובטח (EAP-FAST): ארכיטקטורת אבטחה זו של לקוח-שרת מצפינה עסקאות EAP בתוך מנהרת אבטחה ברמת תחבורה (TLS) בין נקודת הגישה לשרת RADIUS, כגון מנוע שירותי זהות (ISE).

  מנהרת ה- TLS משתמשת באישורי גישה מוגנים (PAC) לאימות בין הלקוח (טלפון) לשרת RADIUS. השרת שולח מזהה רשות (AID) ללקוח (טלפון), אשר בתורו בוחר את ה- PAC המתאים. הלקוח (הטלפון) מחזיר פאק-אטום לשרת RADIUS. השרת מפענח את ה- PAC עם המפתח הראשי. שתי נקודות הקצה מכילות כעת את מפתח PAC ונוצרת מנהרת TLS. EAP-FAST תומך בהקצאת PAC אוטומטית, אך עליך להפעיל אותה בשרת RADIUS.

  ב- ISE, כברירת מחדל, תוקף ה- PAC יפוג בעוד שבוע. אם לטלפון יש PAC שפג תוקפו, האימות עם שרת RADIUS לוקח זמן רב יותר בזמן שהטלפון מקבל PAC חדש. כדי למנוע עיכובים בהקצאת PAC, הגדר את תקופת התפוגה של PAC ל-90 יום או יותר בשרת ISE או RADIUS.

• אימות הניתן להרחבת-אימות פרוטוקול אבטחת שכבת הובלה (EAP-TLS): EAP-TLS דורש אישור לקוח לצורך אימות וגישה לרשת. עבור EAP-TLS אלחוטי, אישור הלקוח יכול להיות MIC, LSC או אישור המותקן על ידי המשתמש.

• פרוטוקול אימות מוגן להרחבה (PEAP): ע רכת אימות הדדית מבוססת סיסמה קניינית של סיסקו בין הלקוח (הטלפון) לשרת RADIUS. הטלפון יכול להשתמש ב- PEAP לאימות עם הרשת האלחוטית. הן שיטות האימות PEAP-MSCHAPV2 והן PEAP-GTC נתמכות.

• מפתח משותף מראש (PSK): הטלפון תומך בפורמטים ASCII ו- הקסדצימליים (HEX). עליך להשתמש בפורמטים אלה בעת הגדרת מפתח משותף מראש של WPA2/SAE.

  ASCII: מחרוזת תווים ASCII באורך של 8 עד 63 תווים (0-9, אותיות קטנות a-z, אותיות גדולות A-Z ותווים מיוחדים). לדוגמה, GREG123567@9ZX&W.

  HEX: מחרוזת בעלת תווים משושה עם 64 ספרות משושה באורך (0-9, a-f או A-F).

ערכות האימות הבאות משתמשות בשרת RADIUS לניהול מפתחות אימות:

• WPA2/WPA3: משתמש במידע שרת RADIUS כדי ליצור מפתחות ייחודיים לאימות. מכיוון שמפתחות אלה נוצרים בשרת RADIUS המרכזי, WPA2/WPA3 מספק אבטחה רבה יותר מאשר מפתחות WPA המשותפים מראש המאוחסנים ב- AP ובטלפון.

• נדידה מאובטחת מהירה: משתמש בשרת RADIUS ובמידע על שרת תחום אלחוטי (WDS) לניהול ואימות מפתחות. ה- WDS יוצר מטמון של אישורי אבטחה עבור התקני לקוח התומכים ב- FT לצורך אימות חוזר מהיר ומאובטח.

עם WPA2/WPA3, מפתחות הצפנה אינם מוזנים בטלפון, אלא נגזרים אוטומטית בין נקודת הגישה לטלפון. אך יש להכניס את שם המשתמש והסיסמה של EAP המשמשים לאימות בכל טלפון.

כדי לסייע בהגנה על התעבורה הקולית דרך הקישור האלחוטי, הטלפון תומך ב הצפנה מבוססת AES לאימות WPA2/WPA3. AES הוא צופן בלוק סימטרי סטנדרטי על ידי NIST. AES משתמש בגודל בלוק קבוע של 128 סיביות ותומך בגדלי מפתח של 128 סיביות, 192 סיביות ו -256 סיביות. ברשתות Wi-Fi, AES משמש על ידי חבילות צופן כגון CCMP או GCMP, בעוד האימות מסופק בנפרד על ידי PSK, SAE או 802.1X/EAP, בהתאם למצב האבטחה WLAN שהוגדר. חבילת הצופן הנתמכת וגודל המפתח תלויים בד גם הטלפון ובתצורת ה- WLAN.

כאשר הטלפון משתמש בהצפנת AES, הן מנות ה- SIP האיתות והן חבילות פרוטוקול הובלה בזמן אמת (RTP) מוצפנות בין ה- AP לטלפון.

תוכניות אימות והצפנה מוגדרות בתוך ה- LAN האלחוטי. VLAN מוגדרים ברשת וב- AP ומציינים שילובים שונים של אימות והצפנה. SSID משויך ל- VLAN ולתוכנית האימות וההצפנה המסוימת. כדי שהתקני לקוח אלחוטיים יאותרו בהצלחה, עליך להגדיר את אותם SSIDs עם תוכניות האימות וההצפנה שלהם ב- AP ובטלפון.

תוכניות אימות מסוימות דורשות סוגים ספציפיים של הצפנה.

תוכניות האימות וההצפנה בטבלה הבאה מציגות את אפשרויות תצורת הרשת עבור Cisco Wireless Phone 9821 התואמות את תצורת ה- AP.

טלפון אלחוטי 9821 של סיסקו תומך באימות 802.1X עבור רשתות קוויות. זה משמש בדרך כלל במהלך הקצ אה אוטומטית כאשר הטלפון מחובר למטען השולחני באמצעות מתאם USB-ל-Ethernet נתמך.

תמיכה באימות 802.1X ברשתות קוויות דורשת מספר רכיבים כדלקמן:

• טלפון IP של סיסקו: הטלפון יוזם את הבקשה לגישה לרשת. טלפונים IP של סיסקו מכילים מתבקש 802.1X. מתחנן זה מאפשר למנהלי רשת לשלוט בקישוריות של טלפונים IP ליציאות מתג LAN. המהדורה הנוכחית של המבקש 802.1X של הטלפון משתמשת באפשרויות EAP-FAST ו- EAP-TLS לאימות רשת.

• שרת אימות: שרת האימות והמתג חייבים להיות מוגדרים עם סוד משותף של RADIUS.

• מתג: המתג חייב לתמוך ב- 802.1X, כך שהוא יכול לשמש כמאמת ולהעביר את הודעות ה- EAP בין הטלפון לשרת האימות. לאחר השלמת ההחלפה, המתג מעניק או שולל את הגישה לטלפון לרשת.

טלפונים IP של סיסקו ומתגי Cisco Catalyst משתמשים באופן מסורתי Cisco Discovery Protocol (CDP) כדי לזהות זה את זה ולקבוע פרמטרים כגון הקצאת VLAN ודרישות הספק מוטבע.

עליך לבצע את הפעולות הבאות כדי להגדיר את תצורת 802.1X.

• הגדר מעקף VLAN קולי CDP/LLDP.

• הגדר את שרת האימות ואת המתג לפני שתפעיל אימות 802.1X עבור רשתות קוויות בטלפון.

• קביעת תצורה של VLAN קולי: מכיוון שתקן 802.1X אינו מתייחס לרשתות VLAN, עליך להגדיר הגדרה זו בהתבסס על התמיכה במתג.

  • מופעל: אם אתה משתמש במתג התומ ך באימות רב-דומיין, באפשרותך להגדיר אותו לשימוש ב- VLAN הקולי.
  • מושבת: אם המתג אינו תומך באימות רב-דומיין, השבת את ה- Voice VLAN ושקול להקצות את היציאה ל- VLAN המקורי.

• לטלפון האלחוטי של סיסקו 9821 יש קידומת שונה ב- PID מזו של הטלפונים האחרים של סיסקו. כדי לאפשר לטלפון שלך לעבור אימות 802.1X, הגדר את הפרמטר רדיוס·שם משתמש כך שיכלול את הטלפון האלחוטי 9821 של Cisco.

  לדוגמה, ה- PID של הטלפון האלחוטי של סיסקו 9821 הוא WP-9821. ניתן להגדיר את רדיוס·שם משתמש לשני הסעיפים הבאים Start with WPאו Contains WPבשני הסעיפים הבאים:

  • מדיניות > תנאים > תנאי הספרייה

  • מדיניות > ע רכות מדיניות > מדיניות הרשאות > כלל הרשאה 1