Grazie per il feedback.

Le funzionalità di sicurezza proteggono dalle minacce, comprese le minacce all'identità del telefono e ai dati. Queste funzionalità stabiliscono e mantengono flussi di comunicazione autenticati tra il telefono e il Cisco Unified Communications Manager server e assicurano che il telefono utilizzi solo file con firma digitale.

Cisco Unified Communications ManagerLa versione 8.5 (1) e successive include Security per impostazione predefinita, che fornisce le seguenti funzionalità di sicurezza per i telefoni IP Cisco senza eseguire il client CTL:

• Firma dei file di configurazione del telefono

• Crittografia dei file di configurazione del telefono

• HTTPS con Tomcat e altri servizi web

L'implementazione della sicurezza nel Cisco Unified Communications Manager sistema previene il furto di identità del telefono e del Cisco Unified Communications Manager server, previene la manomissione dei dati e previene la segnalazione delle chiamate e la manomissione del flusso multimediale.

Per alleviare queste minacce, la rete di telefonia IP Cisco stabilisce e mantiene flussi di comunicazione sicuri (crittografati) tra un telefono e il server, firma digitalmente i file prima che vengano trasferiti su un telefono e crittografa i flussi multimediali e la segnalazione delle chiamate tra telefoni IP Cisco.

Un Locally Significant Certificate (LSC) si installa sui telefoni dopo aver eseguito le attività necessarie associate alla funzione Certificate Authority proxy (CAPF). Può usarlo Cisco Unified Communications Manager Administration per configurare un LSC, come descritto nella Guida alla Cisco Unified Communications Manager sicurezza. In alternativa, può avviare l'installazione di un LSC dal menu Sicurezza del telefono. Questo menu Le consente anche di aggiornare o rimuovere un LSC.

I telefoni utilizzano il profilo di sicurezza del telefono, che definisce se il dispositivo non è sicuro o è protetto. Per informazioni sull'applicazione del profilo di sicurezza al telefono, consulti la documentazione della sua Cisco Unified Communications Manager versione specifica.

Se configura le impostazioni relative alla sicurezza inCisco Unified Communications Manager Administration, il file di configurazione del telefono contiene informazioni sensibili. Per garantire la privacy di un file di configurazione, deve configurarlo per la crittografia. Per informazioni dettagliate, consulti la documentazione per la sua Cisco Unified Communications Manager versione specifica.

La tabella seguente fornisce una panoramica delle funzionalità di sicurezza supportate dai telefoni. Per ulteriori informazioni, consulti la documentazione per la sua Cisco Unified Communications Manager versione specifica.

La tabella seguente contiene i messaggi di allarme e il significato dell'aggiornamento della Trust List. Per ulteriori informazioni, consulti la Cisco Unified Communications Manager documentazione.

Quando la sicurezza è implementata per un telefono, può identificare le telefonate sicure tramite le icone sullo schermo del telefono. Può anche determinare se il telefono connesso è sicuro e protetto se viene emesso un tono di sicurezza all'inizio della chiamata.

In una chiamata sicura, tutti i segnali di chiamata e i flussi multimediali sono crittografati. Una chiamata sicura offre un elevato livello di sicurezza, garantendo integrità e privacy alla chiamata. Quando una chiamata in corso è crittografata, può vedere l'icona sicura sulla linea.

InCisco Unified Communications Manager, ai telefoni configurati come sicuri (crittografati e affidabili) può essere assegnato uno stato protetto. Una volta protetti, questi dispositivi possono essere configurati per riprodurre un tono di sicurezza all'inizio di ogni chiamata.

• Dispositivo protetto:

  Per modificare lo stato di un telefono sicuro in protetto:

  1. InCisco Unified Communications Manager Administration, seleziona Dispositivo > Telefono.
  2. Localizzi il telefono che configurerà.
  3. Nella finestra Configurazione telefono, selezioni la casella di controllo Dispositivo protetto.
  4. Faccia clic su Salva.

• Riproduci un tono di indicazione sicuro:

  Per consentire al telefono protetto di riprodurre un segnale acustico sicuro o non protetto:

  1. InCisco Unified Communications Manager Administration, selezioni Sistema > Parametri del servizio.
  2. Seleziona il server e poi il Cisco CallManager servizio.
  3. Nell'area Clusterwide Parameters (Feature - Secure Tone), imposta l'impostazione Play Tone per indicare lo stato della chiamata sicure/non protetta su True.
  4. Faccia clic su Salva.

Poiché tutti i dispositivi WLAN che si trovano nel raggio d'azione possono ricevere tutto il resto del traffico WLAN, la protezione delle comunicazioni vocali è fondamentale nelle WLAN. Per garantire che gli intrusi non manipolino né intercettino il traffico vocale, l'architettura Cisco SAFE Security supporta il telefono. Per ulteriori informazioni sulla sicurezza nelle reti, vedere http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

La soluzione di telefonia IP wireless Cisco fornisce una sicurezza della rete wireless che impedisce accessi non autorizzati e comunicazioni compromesse utilizzando i seguenti metodi di autenticazione supportati dal telefono.

• Autenticazione aperta: Qualsiasi dispositivo wireless può richiedere l'autenticazione in un sistema aperto. L'AP che riceve la richiesta può concedere l'autenticazione a qualsiasi richiedente o solo ai richiedenti presenti in un elenco di utenti. La comunicazione tra il dispositivo wireless e l'Access Point (AP) potrebbe essere non crittografata.

• Extensible Authentication Protocol-Autenticazione flessibile tramite Secure Tunneling (EAP-FAST) Autenticazione: questa architettura di sicurezza client-server crittografa le transazioni EAP all'interno di un tunnel Transport Level Security (TLS) tra l'AP e il server RADIUS, come Identity Services Engine (ISE).

  Il tunnel TLS utilizza le credenziali di accesso protetto (PAC) per l'autenticazione tra il client (telefono) e il server RADIUS. Il server invia un Authority ID (AID) al cliente (telefono), che a sua volta seleziona il PAC appropriato. Il client (telefono) restituisce un PAC opaco al server RADIUS. Il server decrittografa il PAC con la chiave primaria. Entrambi gli endpoint ora contengono la chiave PAC e viene creato un tunnel TLS. EAP-FAST supporta il provisioning automatico del PAC, ma deve abilitarlo sul server RADIUS.

  In ISE, per impostazione predefinita, il PAC scade tra una settimana. Se il telefono ha un PAC scaduto, l'autenticazione con il server RADIUS richiede più tempo mentre il telefono riceve un nuovo PAC. Per evitare ritardi nell'approvvigionamento del PAC, imposta il periodo di scadenza del PAC su 90 giorni o più sul server ISE o RADIUS.

• Autenticazione Extensible Authentication Protocol-Transport Layer Security (EAP-TLS): EAP-TLS richiede un certificato client per l'autenticazione e l'accesso alla rete. Per l'EAP-TLS wireless, il certificato client può essere MIC, LSC o un certificato installato dall'utente.

• Protected Extensible Authentication Protocol (PEAP): schema di autenticazione reciproca proprietario di Cisco basato su password tra il client (telefono) e un server RADIUS. Il telefono può utilizzare PEAP per l'autenticazione con la rete wireless. Sono supportati entrambi i metodi di autenticazione PEAP-MSCHAPV2 e PEAP-GTC.

• Chiave precondivisa (PSK): il telefono supporta i formati ASCII ed esadecimale (HEX). Deve utilizzare questi formati quando configura una chiave precondivisa WPA2/SAE.

  ASCII: Una stringa di caratteri ASCII con una lunghezza da 8 a 63 caratteri (0-9, lettere minuscole dalla a z, maiuscole dalla A alla Z e caratteri speciali). Ad esempio, GREG123567@9ZX&W.

  HEX: Una stringa di caratteri esadecimali con 64 cifre esadecimali (0-9, a-f o A-F).

I seguenti schemi di autenticazione utilizzano il server RADIUS per gestire le chiavi di autenticazione:

• WPA2/WPA3: utilizza le informazioni del server RADIUS per generare chiavi univoche per l'autenticazione. Poiché queste chiavi vengono generate sul server RADIUS centralizzato, WPA2/WPA3 offre maggiore sicurezza rispetto alle chiavi WPA precondivise archiviate sull'AP e sul telefono.

• Roaming veloce e sicuro: utilizza il server RADIUS e le informazioni di un server di dominio wireless (WDS) per gestire e autenticare le chiavi. Il WDS crea una cache di credenziali di sicurezza per i dispositivi client abilitati a FT per una riautenticazione rapida e sicura.

Con WPA2/WPA3, le chiavi di crittografia non vengono inserite sul telefono, ma vengono derivate automaticamente tra l'AP e il telefono. Ma il nome utente e la password EAP utilizzati per l'autenticazione devono essere inseriti su ogni telefono.

Per proteggere il traffico vocale tramite il collegamento wireless, il telefono supporta la crittografia basata su AES per l'autenticazione WPA2/WPA3. AES è un cifrario a blocchi simmetrico standardizzato dal NIST. AES utilizza un blocco di dimensioni fisse di 128 bit e supporta dimensioni di chiave di 128 bit, 192 bit e 256 bit. Nelle reti Wi-Fi, AES viene utilizzato da suite di crittografia come CCMP o GCMP, mentre l'autenticazione viene fornita separatamente da PSK, SAE o 802.1X/EAP, a seconda della modalità di sicurezza WLAN configurata. La suite di crittografia supportata e le dimensioni della chiave dipendono dal modello di telefono e dalla configurazione WLAN.

Quando il telefono utilizza la crittografia AES, sia i pacchetti SIP di segnalazione che i pacchetti RTP (Voice Real-Time Transport Protocol) sono crittografati tra l'AP e il telefono.

Gli schemi di autenticazione e crittografia sono impostati all'interno della LAN wireless. Le VLAN sono configurate nella rete e negli AP e specificano diverse combinazioni di autenticazione e crittografia. Un SSID è associato a una VLAN e al particolare schema di autenticazione e crittografia. Affinché i dispositivi client wireless si autentichino correttamente, deve configurare gli stessi SSID con i relativi schemi di autenticazione e crittografia sugli AP e sul telefono.

Alcuni schemi di autenticazione richiedono tipi specifici di crittografia.

Gli schemi di autenticazione e crittografia nella tabella seguente mostrano le opzioni di configurazione di rete per Cisco Wireless Phone 9821 che corrispondono alla configurazione AP.

Cisco Wireless Phone 9821 supporta l'autenticazione 802.1X per le reti cablate. Viene in genere utilizzato durante il provisioning automatico quando il telefono è collegato al caricabatterie da tavolo tramite un adattatore da USB a Ethernet supportato.

Il supporto per l'autenticazione 802.1X su reti cablate richiede diversi componenti come segue:

• Telefono IP Cisco: Il telefono avvia la richiesta di accesso alla rete. I telefoni IP Cisco contengono un supporto 802.1X. Questo supplicante consente agli amministratori di rete di controllare la connettività dei telefoni IP alle porte dello switch LAN. L'attuale versione del telefono che supporta lo standard 802.1X utilizza le opzioni EAP-FAST ed EAP-TLS per l'autenticazione di rete.

• Server di autenticazione: Il server di autenticazione e lo switch devono essere entrambi configurati con un segreto condiviso RADIUS.

• Switch: Lo switch deve supportare 802.1X, quindi può fungere da autenticatore e inoltrare i messaggi EAP tra il telefono e il server di autenticazione. Una volta completato lo scambio, lo switch concede o nega al telefono l'accesso alla rete.

I telefoni IP Cisco e gli switch Cisco Catalyst utilizzano tradizionalmente Cisco Discovery Protocol (CDP) per identificarsi e determinare parametri come l'allocazione della VLAN e i requisiti di alimentazione in linea.

È necessario eseguire le seguenti azioni per configurare 802.1X.

• Configurare il bypass VLAN vocale CDP/LLDP.

• Configura il server di autenticazione e lo switch prima di abilitare l' autenticazione 802.1X per le reti cablate sul telefono.

• Configura la VLAN vocale: Poiché lo standard 802.1X non tiene conto delle VLAN, deve configurare questa impostazione in base al supporto dello switch.

  • Abilitato: se utilizza uno switch che supporta l'autenticazione multidominio, può configurarlo per utilizzare la VLAN vocale.
  • Disabilitato: se lo switch non supporta l'autenticazione multidominio, disabiliti la VLAN vocale e valuta la possibilità di assegnare la porta alla VLAN nativa.

• Il telefono wireless Cisco 9821 ha un prefisso diverso nel PID da quello degli altri telefoni Cisco. Per consentire al suo telefono di superare l'autenticazione 802.1X, imposti il parametro Radius·User-Name per includere il suo telefono wireless Cisco 9821.

  Ad esempio, il PID di Cisco Wireless Phone 9821 è WP-9821. Può impostare Radius·User-Name su Start with WPo Contains WPin entrambe le seguenti sezioni:

  • Politica > Condizioni > Condizioni della biblioteca

  • Politica > Set di politiche > Politica di autorizzazione > Regola di autorizzazione 1