Grazie per il feedback.

Le funzionalità di sicurezza proteggono dalle minacce, comprese quelle all'identità del telefono e ai dati. Queste funzionalità stabiliscono e mantengono flussi di comunicazione autenticati tra il telefono e il server Cisco Unified Communications Manager e garantiscono che il telefono utilizzi solo file con firma digitale.

Cisco Unified Communications Manager Release 8.5(1) e versioni successive includono la sicurezza per impostazione predefinita, che fornisce le seguenti funzionalità di sicurezza per i telefoni IP Cisco senza eseguire il client CTL:

• Firma dei file di configurazione del telefono

• Crittografia del file di configurazione del telefono

• HTTPS con Tomcat e altri servizi web

L'implementazione di misure di sicurezza nel sistema Cisco Unified Communications Manager previene il furto di identità del telefono e del server Cisco Unified Communications Manager, impedisce la manomissione dei dati e previene la manomissione della segnalazione delle chiamate e dei flussi multimediali.

Per mitigare queste minacce, la rete di telefonia IP Cisco stabilisce e mantiene flussi di comunicazione sicuri (crittografati) tra un telefono e il server, firma digitalmente i file prima che vengano trasferiti a un telefono e crittografa i flussi multimediali e la segnalazione delle chiamate tra i telefoni IP Cisco.

Un certificato localmente significativo (LSC) viene installato sui telefoni dopo aver eseguito le operazioni necessarie associate alla funzione proxy dell'autorità di certificazione (CAPF). È possibile utilizzare Cisco Unified Communications Manager Administration per configurare un LSC, come descritto nella Guida alla sicurezza di Cisco Unified Communications Manager. In alternativa, è possibile avviare l'installazione di un LSC dal menu Sicurezza sul telefono. Questo menu consente anche di aggiornare o rimuovere un LSC.

I telefoni utilizzano il profilo di sicurezza del telefono, che definisce se il dispositivo è sicuro o non sicuro. Per informazioni sull'applicazione del profilo di sicurezza al telefono, consultare la documentazione relativa alla specifica versione di Cisco Unified Communications Manager in uso.

Se si configurano impostazioni relative alla sicurezza in Cisco Unified Communications Manager Administration, il file di configurazione del telefono contiene informazioni sensibili. Per garantire la riservatezza di un file di configurazione, è necessario configurarlo per la crittografia. Per informazioni dettagliate, consultare la documentazione relativa alla specifica versione di Cisco Unified Communications Manager in uso.

La tabella seguente fornisce una panoramica delle funzionalità di sicurezza supportate dai telefoni. Per ulteriori informazioni, consultare la documentazione relativa alla specifica versione di Cisco Unified Communications Manager in uso.

La tabella seguente contiene i messaggi di allarme relativi all'aggiornamento dell'elenco di attendibilità e il relativo significato. Per ulteriori informazioni, consultare la documentazione di Cisco Unified Communications Manager.

Quando la sicurezza è implementata su un telefono, è possibile identificare le chiamate sicure tramite le icone visualizzate sullo schermo. È inoltre possibile verificare se il telefono connesso è sicuro e protetto se all'inizio della chiamata viene riprodotto un tono di sicurezza.

In una chiamata sicura, tutti i segnali di chiamata e i flussi multimediali sono crittografati. Una chiamata sicura offre un elevato livello di sicurezza, garantendo integrità e riservatezza alla conversazione. Quando una chiamata in corso è crittografata, puoi vedere l'icona di sicurezza sulla linea.

In Cisco Unified Communications Manager, ai telefoni configurati come sicuri (crittografati e attendibili) può essere assegnato uno stato protetto. Una volta protetti, questi dispositivi possono essere configurati per riprodurre un tono di sicurezza all'inizio di ogni chiamata.

• Dispositivo protetto:

  Per modificare lo stato di un telefono sicuro in protetto:

  1. In Cisco Unified Communications Manager Administration, selezionare Dispositivo > Telefono.
  2. Individua il telefono che devi configurare.
  3. Nella finestra Configurazione telefono, selezionare la casella di controllo Dispositivo protetto.
  4. Fai clic su Salva.

• Suono di indicazione di riproduzione sicura:

  Per consentire al telefono protetto di riprodurre un tono di indicazione sicuro o non sicuro:

  1. In Cisco Unified Communications Manager Administration, selezionare Sistema > Parametri del servizio.
  2. Selezionare il server e quindi il servizio Cisco CallManager.
  3. Nell'area Parametri a livello di cluster (Funzione - Tono sicuro), impostare il Tono di riproduzione su Indica Secure/Non-Secure Impostazione dello stato della chiamata su Vero.
  4. Fai clic su Salva.

Poiché tutti i dispositivi WLAN che si trovano nel raggio d'azione possono ricevere tutto il traffico WLAN, la protezione delle comunicazioni vocali è fondamentale nelle reti WLAN. Per garantire che gli intrusi non manipolino né intercettino il traffico vocale, il telefono è supportato dall'architettura di sicurezza Cisco SAFE. Per ulteriori informazioni sulla sicurezza nelle reti, vedere http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

La soluzione di telefonia IP wireless Cisco offre sicurezza di rete wireless che impedisce accessi non autorizzati e comunicazioni compromesse, utilizzando i seguenti metodi di autenticazione supportati dal telefono.

• Autenticazione aperta: In un sistema aperto, qualsiasi dispositivo wireless può richiedere l'autenticazione. L'AP che riceve la richiesta può concedere l'autenticazione a qualsiasi richiedente oppure solo ai richiedenti presenti in un elenco di utenti. La comunicazione tra il dispositivo wireless e l'Access Point (AP) potrebbe non essere crittografata.

• Autenticazione tramite protocollo di autenticazione estensibile-autenticazione flessibile tramite tunneling sicuro (EAP-FAST): Questa architettura di sicurezza client-server crittografa le transazioni EAP all'interno di un tunnel Transport Level Security (TLS) tra l'AP e il server RADIUS, come ad esempio Identity Services Engine (ISE).

  Il tunnel TLS utilizza le Protected Access Credentials (PAC) per l'autenticazione tra il client (telefono) e il server RADIUS. Il server invia un ID di autorizzazione (AID) al client (telefono), che a sua volta seleziona il PAC appropriato. Il client (telefono) restituisce un PAC-Opaque al server RADIUS. Il server decifra il PAC utilizzando la chiave primaria. Entrambi gli endpoint ora contengono la chiave PAC e viene creato un tunnel TLS. EAP-FAST supporta il provisioning automatico dei PAC, ma è necessario abilitarlo sul server RADIUS.

  In ISE, per impostazione predefinita, il PAC scade dopo una settimana. Se il telefono ha un PAC scaduto, l'autenticazione con il server RADIUS richiede più tempo, in attesa che il telefono ottenga un nuovo PAC. Per evitare ritardi nel provisioning dei PAC, impostare il periodo di scadenza dei PAC a 90 giorni o più sul server ISE o RADIUS.

• Autenticazione tramite protocollo di autenticazione estensibile - Transport Layer Security (EAP-TLS): EAP-TLS richiede un certificato client per l'autenticazione e l'accesso alla rete. Per EAP-TLS wireless, il certificato client può essere MIC, LSC o un certificato installato dall'utente.

• Protocollo di autenticazione estensibile protetto (PEAP): Schema di autenticazione reciproca basato su password, proprietario di Cisco, tra il client (telefono) e un server RADIUS. Il telefono può utilizzare PEAP per l'autenticazione con la rete wireless. Sono supportati entrambi i metodi di autenticazione PEAP-MSCHAPV2 e PEAP-GTC.

• Chiave precondivisa (PSK): Il telefono supporta i formati ASCII ed esadecimale (HEX). È necessario utilizzare questi formati durante la configurazione di un WPA2/SAE Chiave precondivisa.

  ASCII: Una stringa di caratteri ASCII con una lunghezza compresa tra 8 e 63 caratteri (0-9, az minuscola, AZ maiuscola e caratteri speciali). Per esempio, GREG123567@9ZX&W.

  ESADECIMALE: Una stringa di caratteri esadecimali lunga 64 cifre (0-9, af o AF).

I seguenti schemi di autenticazione utilizzano il server RADIUS per gestire le chiavi di autenticazione:

• WPA2/WPA3: Utilizza le informazioni del server RADIUS per generare chiavi univoche per l'autenticazione. Poiché queste chiavi vengono generate sul server RADIUS centralizzato, WPA2/WPA3 Offre una sicurezza maggiore rispetto alle chiavi precondivise WPA memorizzate sull'access point e sul telefono.

• Roaming veloce e sicuro: Utilizza le informazioni del server RADIUS e del server di dominio wireless (WDS) per gestire e autenticare le chiavi. Il WDS crea una cache di credenziali di sicurezza per i dispositivi client abilitati a FT, consentendo una riautenticazione rapida e sicura.

Con WPA2/WPA3, Le chiavi di crittografia non vengono inserite sul telefono, ma vengono generate automaticamente tra l'access point e il telefono. Tuttavia, il nome utente e la password EAP utilizzati per l'autenticazione devono essere inseriti su ciascun telefono.

Per contribuire a proteggere il traffico vocale sul collegamento wireless, il telefono supporta la crittografia basata su AES per WPA2/WPA3 autenticazione. AES è un cifrario a blocchi simmetrico standardizzato dal NIST. AES utilizza una dimensione fissa del blocco di 128 bit e supporta dimensioni della chiave di 128 bit, 192 bit e 256 bit. Nelle reti Wi-Fi, AES viene utilizzato da suite di cifratura come CCMP o GCMP, mentre l'autenticazione è fornita separatamente da PSK, SAE o 802.1X/EAP, a seconda della modalità di sicurezza WLAN configurata. La suite di cifratura supportata e la dimensione della chiave dipendono dal modello del telefono e dalla configurazione WLAN.

Quando il telefono utilizza la crittografia AES, sia i pacchetti SIP di segnalazione che i pacchetti RTP (Real-Time Transport Protocol) vocali vengono crittografati tra l'AP e il telefono.

All'interno della rete LAN wireless vengono implementati schemi di autenticazione e crittografia. Le VLAN vengono configurate nella rete e sugli AP e specificano diverse combinazioni di autenticazione e crittografia. Un SSID è associato a una VLAN e a uno specifico schema di autenticazione e crittografia. Affinché i dispositivi client wireless si autentichino correttamente, è necessario configurare gli stessi SSID con i relativi schemi di autenticazione e crittografia sia sugli AP che sul telefono.

Alcuni schemi di autenticazione richiedono tipi specifici di crittografia.

Gli schemi di autenticazione e crittografia nella tabella seguente mostrano le opzioni di configurazione di rete per il telefono wireless Cisco 9821 corrispondenti alla configurazione AP.

Il telefono wireless Cisco 9821 supporta l'autenticazione 802.1X per le reti cablate. Questo viene in genere utilizzato durante il provisioning automatico quando il telefono è collegato al caricabatterie da tavolo tramite un adattatore da USB a Ethernet supportato.