Hvala na povratnim informacijama.

Sigurnosne značajke štite od prijetnji, uključujući prijetnje identitetu telefona i podacima. Ove značajke uspostavljaju i održavaju autentificirane komunikacijske tokove između telefona i Cisco Unified Communications Manager poslužitelja te osiguravaju da telefon koristi samo digitalno potpisane datoteke.

Cisco Unified Communications Manager izdanja 8.5(1) i novije verzije uključuju sigurnost prema zadanim postavkama, koja pruža sljedeće sigurnosne značajke za Cisco IP telefone bez pokretanja CTL klijenta:

• Potpisivanje datoteka za konfiguraciju telefona

• Šifriranje datoteke konfiguracije telefona

• HTTPS s Tomcatom i drugim web servisima

Implementacija sigurnosti u Cisco Unified Communications Manager sustavu sprječava krađu identiteta telefona i Cisco Unified Communications Manager poslužitelja, sprječava neovlašteno mijenjanje podataka te sprječava neovlašteno mijenjanje signalizacije poziva i medijskog toka.

Kako bi se ublažile te prijetnje, Cisco IP telefonska mreža uspostavlja i održava sigurne (šifrirane) komunikacijske tokove između telefona i poslužitelja, digitalno potpisuje datoteke prije nego što se prenesu na telefon te šifrira medijske tokove i signalizaciju poziva između Cisco IP telefona.

Lokalno značajan certifikat (LSC) instalira se na telefone nakon što izvršite potrebne zadatke povezane s funkcijom proxyja ovlaštenja za izdavanje certifikata (CAPF). Za konfiguriranje LSC-a možete koristiti Cisco Unified Communications Manager Administration, kao što je opisano u Cisco Unified Communications Manager Security Guide. Alternativno, instalaciju LSC-a možete pokrenuti iz izbornika Sigurnost na telefonu. Ovaj izbornik vam također omogućuje ažuriranje ili uklanjanje LSC-a.

Telefoni koriste sigurnosni profil telefona koji definira je li uređaj nesiguran ili siguran. Za informacije o primjeni sigurnosnog profila na telefon pogledajte dokumentaciju za vaše određeno izdanje Cisco Unified Communications Managera.

Ako konfigurirate sigurnosne postavke u Cisco Unified Communications Manager Administration, konfiguracijska datoteka telefona sadrži osjetljive podatke. Kako biste osigurali privatnost konfiguracijske datoteke, morate je konfigurirati za šifriranje. Za detaljne informacije pogledajte dokumentaciju za vaše određeno izdanje Cisco Unified Communications Managera.

Sljedeća tablica pruža pregled sigurnosnih značajki koje telefoni podržavaju. Za više informacija pogledajte dokumentaciju za vaše priopćenje za Cisco Unified Communications Manager.

Sljedeća tablica sadrži poruke alarma ažuriranja popisa pouzdanih uređaja i njihovo značenje. Za više informacija pogledajte dokumentaciju za Cisco Unified Communications Manager.

Kada je za telefon implementirana sigurnost, sigurne telefonske pozive možete prepoznati po ikonama na zaslonu telefona. Također možete utvrditi je li povezani telefon siguran i zaštićen ako se na početku poziva reproducira sigurnosni ton.

U sigurnom pozivu, sva signalizacija poziva i medijski tokovi su šifrirani. Siguran poziv nudi visoku razinu sigurnosti, osiguravajući integritet i privatnost poziva. Kada je poziv u tijeku šifriran, na liniji možete vidjeti ikonu sigurnosti .

U Cisco Unified Communications Manageru, telefonima konfiguriranim kao sigurni (šifrirani i pouzdani) može se dodijeliti zaštićeni status. Nakon što su zaštićeni, ovi se uređaji mogu konfigurirati da reproduciraju sigurnosni ton na početku svakog poziva.

• Zaštićeni uređaj:

  Za promjenu statusa sigurnog telefona u zaštićeni:

  1. U administraciji Cisco Unified Communications Managera odaberite Uređaj > Telefon.
  2. Pronađite telefon koji ćete postaviti.
  3. U prozoru Konfiguracija telefona označite potvrdni okvir Zaštićeni uređaj.
  4. Kliknite na Spremi.

• Reproduciraj ton sigurnosne indikacije:

  Da biste omogućili zaštićenom telefonu da reproducira sigurni ili nesigurni signalni ton:

  1. U administraciji Cisco Unified Communications Managera odaberite Sustav > Parametri usluge.
  2. Odaberite poslužitelj, a zatim uslugu Cisco CallManager.
  3. U području Parametri cijelog klastera (Značajka - Sigurnosni ton) postavite Ton reprodukcije na Označi Secure/Non-Secure Postavljanje statusa poziva na True.
  4. Kliknite na Spremi.

Budući da svi WLAN uređaji koji se nalaze unutar dometa mogu primati sav ostali WLAN promet, osiguranje glasovne komunikacije je ključno u WLAN-ovima. Kako bi se osiguralo da uljezi ne manipuliraju niti presreću glasovni promet, Cisco SAFE Security arhitektura podržava telefon. Za više informacija o sigurnosti u mrežama, pogledajte http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Cisco bežično IP telefonsko rješenje pruža sigurnost bežične mreže koja sprječava neovlaštene prijave i kompromitiranu komunikaciju korištenjem sljedećih metoda provjere autentičnosti koje telefon podržava.

• Otvorena autentifikacija: Bilo koji bežični uređaj može zatražiti autentifikaciju u otvorenom sustavu. AP koji primi zahtjev može odobriti autentifikaciju bilo kojem podnositelju zahtjeva ili samo podnositeljima zahtjeva koji se nalaze na popisu korisnika. Komunikacija između bežičnog uređaja i pristupne točke (AP) može biti nešifrirana.

• Extensible Authentication Protocol - Fleksibilna autentifikacija putem sigurnog tuneliranja (EAP-FAST): Ova klijent-poslužiteljska sigurnosna arhitektura šifrira EAP transakcije unutar tunela Transport Level Security (TLS) između AP-a i RADIUS poslužitelja, kao što je Identity Services Engine (ISE).

  TLS tunel koristi zaštićene pristupne vjerodajnice (PAC) za autentifikaciju između klijenta (telefona) i RADIUS poslužitelja. Poslužitelj šalje ID autorizacije (AID) klijentu (telefonu), koji zatim odabire odgovarajući PAC. Klijent (telefon) vraća PAC-Opaque RADIUS poslužitelju. Poslužitelj dešifrira PAC primarnim ključem. Obje krajnje točke sada sadrže PAC ključ i stvara se TLS tunel. EAP-FAST podržava automatsko pružanje PAC-a, ali ga morate omogućiti na RADIUS poslužitelju.

  U ISE-u, PAC prema zadanim postavkama istječe za tjedan dana. Ako telefon ima istekli PAC, autentifikacija s RADIUS poslužiteljem traje dulje dok telefon ne dobije novi PAC. Kako biste izbjegli kašnjenja u pružanju PAC-a, postavite razdoblje isteka PAC-a na 90 dana ili dulje na ISE ili RADIUS poslužitelju.

• Autentifikacija putem protokola za proširivu autentifikaciju - sigurnosti transportnog sloja (EAP-TLS): EAP-TLS zahtijeva klijentski certifikat za autentifikaciju i pristup mreži. Za bežični EAP-TLS, klijentski certifikat može biti MIC, LSC ili certifikat koji je instalirao korisnik.

• Zaštićeni proširivi protokol za autentifikaciju (PEAP): Ciscova vlasnička shema međusobne autentifikacije temeljena na lozinki između klijenta (telefona) i RADIUS poslužitelja. Telefon može koristiti PEAP za autentifikaciju s bežičnom mrežom. Podržane su metode autentifikacije PEAP-MSCHAPV2 i PEAP-GTC.

• Unaprijed dijeljeni ključ (PSK): Telefon podržava ASCII i heksadecimalni (HEX) format. Morate koristiti ove formate prilikom postavljanja WPA2/SAE Unaprijed podijeljeni ključ.

  ASCII: Niz ASCII znakova duljine od 8 do 63 znaka (0-9, mala slova az, velika slova AZ i posebni znakovi). Na primjer, GREG123567@9ZX&W.

  HEX: Niz HEX znakova s duljinom od 64 heksadecimalne znamenke (0-9, af ili AF).

Sljedeće sheme autentifikacije koriste RADIUS poslužitelj za upravljanje ključevima autentifikacije:

• WPA2/WPA3: Koristi podatke RADIUS poslužitelja za generiranje jedinstvenih ključeva za autentifikaciju. Budući da se ovi ključevi generiraju na centraliziranom RADIUS poslužitelju, WPA2/WPA3 pruža veću sigurnost od WPA unaprijed podijeljenih ključeva koji su pohranjeni na pristupnoj točki i telefonu.

• Brzi i sigurni roaming: Koristi RADIUS poslužitelj i podatke bežičnog domenskog poslužitelja (WDS) za upravljanje i autentifikaciju ključeva. WDS stvara predmemoriju sigurnosnih vjerodajnica za klijentske uređaje s omogućenim FT-om za brzu i sigurnu ponovnu autentifikaciju.

S WPA2/WPA3, Ključevi za šifriranje se ne unose na telefon, već se automatski izvode između pristupne točke i telefona. Ali korisničko ime i lozinka za EAP koji se koriste za autentifikaciju moraju se unijeti na svaki telefon.

Kako bi se zaštitio glasovni promet putem bežične veze, telefon podržava AES-bazirano šifriranje za WPA2/WPA3 autentifikacija. AES je simetrična blokovska šifra standardizirana od strane NIST-a. AES koristi fiksnu veličinu bloka od 128 bita i podržava veličine ključeva od 128 bita, 192 bita i 256 bita. U Wi-Fi mrežama, AES koriste šifrirni paketi poput CCMP-a ili GCMP-a, dok se autentifikacija zasebno provodi pomoću PSK-a, SAE-a ili 802.1X/EAP, ovisno o konfiguriranom WLAN sigurnosnom načinu rada. Podržani paket šifriranja i veličina ključa ovise o modelu telefona i konfiguraciji WLAN-a.

Kada telefon koristi AES enkripciju, i signalni SIP paketi i glasovni Real-Time Transport Protocol (RTP) paketi su šifrirani između pristupne točke i telefona.

Sheme autentifikacije i šifriranja postavljene su unutar bežične lokalne mreže. VLAN-ovi su konfigurirani u mreži i na pristupnim točkama te specificiraju različite kombinacije autentifikacije i šifriranja. SSID se povezuje s VLAN-om i određenom shemom autentifikacije i šifriranja. Da bi se bežični klijentski uređaji uspješno autentificirali, morate konfigurirati iste SSID-ove s njihovim shemama autentifikacije i šifriranja na pristupnim točkama i na telefonu.

Neke sheme autentifikacije zahtijevaju određene vrste šifriranja.

Sheme autentifikacije i šifriranja u sljedećoj tablici prikazuju opcije konfiguracije mreže za Cisco bežični telefon 9821 koje odgovaraju konfiguraciji pristupne točke.

Cisco bežični telefon 9821 podržava 802.1X provjeru autentičnosti za žičane mreže. Ovo se obično koristi tijekom automatskog opskrbljivanja kada je telefon spojen na stolni punjač putem podržanog USB-Ethernet adaptera.

Podrška za 802.1X autentifikaciju na žičnim mrežama zahtijeva nekoliko komponenti kako slijedi:

• Cisco IP telefon: Telefon inicira zahtjev za pristup mreži. Cisco IP telefoni sadrže 802.1X suplikant. Ovaj suplikant omogućuje mrežnim administratorima kontrolu povezivosti IP telefona s portovima LAN preklopnika. Trenutno izdanje telefona koji podržava 802.1X standard koristi opcije EAP-FAST i EAP-TLS za mrežnu autentifikaciju.

• Autentifikacijski poslužitelj: Poslužitelj za autentifikaciju i preklopnik moraju biti konfigurirani s RADIUS dijeljenim tajnim ključem.

• Prekidač: Preklopnik mora podržavati 802.1X kako bi mogao djelovati kao autentifikator i prenositi EAP poruke između telefona i autentifikacijskog poslužitelja. Nakon što je razmjena završena, preklopnik odobrava ili odbija telefonu pristup mreži.

Cisco IP telefoni i Cisco Catalyst preklopnici tradicionalno koriste Cisco Discovery Protocol (CDP) za međusobnu identifikaciju i određivanje parametara kao što su dodjela VLAN-a i zahtjevi za napajanje.

Za konfiguriranje 802.1X morate izvršiti sljedeće radnje.

• Konfigurirati CDP/LLDP zaobilaženje glasovne VLAN mreže.

• Konfigurirajte poslužitelj za autentifikaciju i prekidač prije nego što omogućite 802.1X autentifikaciju za žičane mreže na telefonu.

• Konfigurirajte glasovni VLAN: Budući da 802.1X standard ne uzima u obzir VLAN-ove, ovu postavku trebali biste konfigurirati na temelju podrške koju preklopnik podržava.

  • Omogućeno: Ako koristite preklopnik koji podržava višedomensku autentifikaciju, možete ga konfigurirati za korištenje glasovnog VLAN-a.
  • Onemogućeno: Ako preklopnik ne podržava višedomensku autentifikaciju, onemogućite Voice VLAN i razmislite o dodjeljivanju porta izvornom VLAN-u.

• Cisco bežični telefon 9821 ima drugačiji prefiks u PID-u od onog za ostale Cisco telefone. Da biste omogućili telefonu da prođe 802.1X autentifikaciju, postavite parametar Radius·User-Name tako da uključuje vaš Cisco bežični telefon 9821.

  Na primjer, PID bežičnog telefona Cisco 9821 je WP-9821. Možete postaviti Radius·User-Name na Start with WP ili Contains WP u oba sljedeća odjeljka:

  • Pravila > Uvjeti > Uvjeti u knjižnici

  • Pravila > Skupovi pravila > Pravila autorizacije > Pravilo autorizacije 1