コメントありがとうございます。

セキュリティ機能は、電話の個人情報やデータに対する脅威を含む、あらゆる脅威から保護します。これらの機能は、電話機とCisco Unified Communications Managerサーバー間の認証済み通信ストリームを確立および維持し、電話機がデジタル署名されたファイルのみを使用することを保証します。

Cisco Unified Communications Manager リリース 8.5(1) 以降では、デフォルトでセキュリティ機能が搭載されており、CTL クライアントを実行せずに Cisco IP 電話に対して以下のセキュリティ機能を提供します。

• 電話構成ファイルの署名

• 電話設定ファイルの暗号化

• Tomcatやその他のWebサービスでのHTTPS接続

Cisco Unified Communications Managerシステムにセキュリティを実装することで、電話機やCisco Unified Communications Managerサーバーのなりすまし、データの改ざん、通話信号やメディアストリームの改ざんを防ぐことができます。

これらの脅威を軽減するために、Cisco IP電話ネットワークは、電話機とサーバー間の安全な（暗号化された）通信ストリームを確立および維持し、ファイルを電話機に転送する前にデジタル署名を行い、Cisco IP電話機間のメディアストリームと通話シグナリングを暗号化します。

ローカル証明書（LSC）は、認証局プロキシ機能（CAPF）に関連する必要なタスクを実行した後に、電話機にインストールされます。Cisco Unified Communications Manager Administration を使用して LSC を構成できます。詳細は Cisco Unified Communications Manager セキュリティ ガイドを参照してください。または、電話機の セキュリティ メニューから LSC のインストールを開始することもできます。このメニューでは、LSCを更新または削除することもできます。

電話機は、端末が安全か非安全かを定義する電話セキュリティプロファイルを使用します。セキュリティプロファイルを電話機に適用する方法については、お使いのCisco Unified Communications Managerのリリース版に関するドキュメントを参照してください。

Cisco Unified Communications Manager Administrationでセキュリティ関連の設定を構成すると、電話機の設定ファイルに機密情報が含まれます。設定ファイルのプライバシーを確保するには、暗号化を設定する必要があります。詳細については、お使いのCisco Unified Communications Managerのリリース版のドキュメントを参照してください。

以下の表は、これらのスマートフォンがサポートするセキュリティ機能の概要を示しています。詳細については、お使いのCisco Unified Communications Managerのリリース版のドキュメントを参照してください。

以下の表には、信頼リスト更新アラームメッセージとその意味が記載されています。詳細については、Cisco Unified Communications Managerのドキュメントを参照してください。

電話にセキュリティ機能が実装されている場合、電話画面上のアイコンで安全な通話を識別できます。通話開始時にセキュリティ音が鳴るかどうかで、接続されている電話が安全で保護されているかどうかも判断できます。

安全な通話では、すべての通話信号とメディアストリームが暗号化されます。セキュア通話は高いレベルのセキュリティを提供し、通話の完全性とプライバシーを確保します。通話が暗号化されている場合、回線上にセキュリティアイコン が表示されます。

Cisco Unified Communications Managerでは、セキュリティ保護（暗号化および信頼済み）が設定された電話機に保護ステータスを割り当てることができます。保護設定が完了すると、これらのデバイスは各通話の開始時にセキュリティ音を鳴らすように設定できます。

• 保護対象デバイス:

  セキュリティ保護された電話機の状態を「保護済み」に変更するには：

  1. Cisco Unified Communications Manager Administrationで、 デバイス を選択します。 > 電話。
  2. 設定する電話機を探してください。
  3. 電話設定ウィンドウで、 保護対象デバイス チェックボックスを選択します。
  4. [保存] をクリックします。

• セキュリティ表示音を再生してください。

  保護された電話機で、安全な表示音または安全でない表示音を鳴らすには：

  1. Cisco Unified Communications Manager Administrationで、 システム を選択します。 > サービスパラメータ。
  2. サーバーを選択し、次に Cisco CallManager サービスを選択します。
  3. クラスタ全体のパラメータ (機能 - セキュアトーン) 領域で、 再生トーンを通知するように設定します。 Secure/Non-Secure 通話ステータス を Trueに設定します。
  4. [保存] をクリックします。

通信範囲内にあるすべてのWLANデバイスは他のすべてのWLANトラフィックを受信できるため、WLANにおける音声通信のセキュリティ確保は非常に重要です。侵入者が音声トラフィックを操作したり傍受したりしないようにするため、Cisco SAFE Securityアーキテクチャは電話機をサポートしています。ネットワークのセキュリティに関する詳細については、 http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.htmlを参照してください。

CiscoのワイヤレスIP電話ソリューションは、電話機がサポートする以下の認証方法を使用することで、不正なサインインや通信の侵害を防ぐワイヤレスネットワークセキュリティを提供します。

• オープン認証: オープンシステムでは、あらゆる無線機器が認証を要求できる。リクエストを受信したアクセスポイントは、任意のリクエスト元に認証を許可することも、ユーザーリストに登録されているリクエスト元にのみ認証を許可することもできます。無線機器とアクセスポイント（AP）間の通信は暗号化されていない可能性がある。

• 拡張認証プロトコル - セキュアトンネリングによる柔軟な認証 (EAP-FAST) 認証: このクライアント/サーバー型セキュリティアーキテクチャでは、アクセスポイント（AP）と、アイデンティティサービスエンジン（ISE）などのRADIUSサーバー間のトランスポート層セキュリティ（TLS）トンネル内でEAPトランザクションを暗号化します。

  TLSトンネルは、クライアント（電話）とRADIUSサーバー間の認証に保護アクセス認証情報（PAC）を使用します。サーバーは認証局ID（AID）をクライアント（電話）に送信し、クライアントはそれに応じて適切なPACを選択します。クライアント（電話機）はRADIUSサーバーにPAC-Opaqueを返します。サーバーはプライマリキーを使用してPACを復号します。両方のエンドポイントにPACキーが格納され、TLSトンネルが作成されます。EAP-FASTはPACの自動プロビジョニングをサポートしていますが、RADIUSサーバーで有効にする必要があります。

  ISEでは、デフォルトではPACは1週間後に期限切れになります。電話機のPAC（パーソナルアクセスコントロール）の有効期限が切れている場合、電話機が新しいPACを取得するまで、RADIUSサーバーとの認証に時間がかかります。PACのプロビジョニング遅延を回避するには、ISEまたはRADIUSサーバーでPACの有効期限を90日以上に設定してください。

• 拡張認証プロトコル - トランスポート層セキュリティ (EAP-TLS) 認証: EAP-TLSでは、認証とネットワークアクセスにクライアント証明書が必要です。無線EAP-TLSの場合、クライアント証明書はMIC、LSC、またはユーザーがインストールした証明書のいずれかを使用できます。

• 保護拡張認証プロトコル (PEAP): クライアント（電話機）とRADIUSサーバー間の、シスコ独自のパスワードベースの相互認証方式。この電話機は、無線ネットワークとの認証にPEAPを使用できます。PEAP-MSCHAPV2とPEAP-GTCの両方の認証方式がサポートされています。

• 事前共有キー (PSK): この電話機はASCII形式と16進数（HEX）形式に対応しています。設定時にはこれらの形式を使用する必要があります WPA2/SAE 事前共有キー。

  ASCII: 長さが8～63文字のASCII文字文字列（0～9、小文字のaz、大文字のaz、および特殊文字）。例えば、 GREG123567@9ZX&W。

  16進数: 長さ64桁の16進数文字列（0～9、afまたはAF）。

以下の認証方式は、RADIUSサーバーを使用して認証キーを管理します。

• WPA2/WPA3: RADIUSサーバーの情報を使用して、認証用の固有キーを生成します。これらのキーは中央RADIUSサーバーで生成されるため、 WPA2/WPA3 アクセスポイントと電話機に保存されるWPA事前共有キーよりも高いセキュリティを提供します。

• 高速で安全なローミング：RADIUSサーバーと無線ドメインサーバー（WDS）の情報を使用して、キーの管理と認証を行います。WDSは、FT対応クライアントデバイス向けにセキュリティ認証情報のキャッシュを作成し、高速かつ安全な再認証を実現します。

と WPA2/WPA3, 暗号化キーは電話機に入力する必要はなく、アクセスポイントと電話機の間で自動的に生成されます。しかし、認証に使用されるEAPのユーザー名とパスワードは、各電話機に入力する必要があります。

ワイヤレスリンク上の音声トラフィックを保護するために、電話機はAESベースの暗号化をサポートしています。 WPA2/WPA3 認証。AESは、NISTによって標準化された対称ブロック暗号です。AESは固定の128ビットのブロックサイズを使用し、128ビット、192ビット、256ビットの鍵サイズをサポートしています。Wi-Fi ネットワークでは、AES は CCMP や GCMP などの暗号スイートで使用され、認証は PSK、SAE などで別途提供されます。 802.1X/EAP, 設定されているWLANセキュリティモードによって異なります。対応する暗号スイートと鍵サイズは、電話機の機種と無線LANの設定によって異なります。

電話機がAES暗号化を使用する場合、シグナリングSIPパケットと音声リアルタイムトランスポートプロトコル（RTP）パケットの両方が、アクセスポイントと電話機の間で暗号化されます。

無線LAN内では、認証および暗号化方式が設定されます。VLANはネットワークおよびアクセスポイント（AP）上で設定され、認証と暗号化のさまざまな組み合わせを指定します。SSIDは、VLANおよび特定の認証方式と暗号化方式に関連付けられます。無線クライアントデバイスが正常に認証されるためには、アクセスポイントと電話機の両方で、同じSSID、認証方式、暗号化方式を設定する必要があります。

認証方式によっては、特定の種類の暗号化が必要となる場合がある。

次の表に示す認証および暗号化方式は、AP構成に対応するCisco Wireless Phone 9821のネットワーク構成オプションを示しています。

Cisco Wireless Phone 9821は、有線ネットワーク向けに802.1X認証をサポートしています。これは通常、電話機がサポートされている USB-イーサネットアダプタを介してデスクトップ充電器に接続されているときの 自動プロビジョニング中に使用されます。

有線ネットワークにおける802.1X認証のサポートには、以下のいくつかのコンポーネントが必要です。

• シスコIP電話：電話機がネットワークへのアクセス要求を開始する。Cisco IP電話には802.1Xサプリカントが搭載されています。このサプリカントを使用すると、ネットワーク管理者はIP電話とLANスイッチポートの接続を制御できます。現行バージョンの電話機用802.1Xサプリカントは、ネットワーク認証にEAP-FASTおよびEAP-TLSオプションを使用します。

• 認証サーバー: 認証サーバーとスイッチの両方に、RADIUS共有シークレットを設定する必要があります。

• スイッチ：スイッチは802.1Xをサポートしている必要があり、認証器として機能し、電話機と認証サーバー間でEAPメッセージを中継できる必要があります。交換が完了すると、スイッチは電話機のネットワークへのアクセスを許可または拒否します。

Cisco IP電話とCisco Catalystスイッチは、従来、Cisco Discovery Protocol（CDP）を使用して互いを識別し、VLAN割り当てやインライン電源要件などのパラメータを決定します。

802.1Xを設定するには、以下の手順を実行する必要があります。

• 設定する CDP/LLDP 音声VLANバイパス。

• 電話機で有線ネットワーク用の802.1X認証を有効にする前に、認証サーバーとスイッチを設定してください。

• 音声VLANの設定：802.1X規格はVLANに対応していないため、この設定はスイッチのサポート状況に基づいて構成する必要があります。

  • 有効済み: マルチドメイン認証をサポートするスイッチを使用している場合は、音声VLANを使用するように設定できます。
  • 無効済み: スイッチがマルチドメイン認証をサポートしていない場合は、音声VLANを無効にして、ポートをネイティブVLANに割り当てることを検討してください。

• Cisco Wireless Phone 9821は、他のCisco製電話機とは異なるPIDのプレフィックスを持っています。電話機が 802.1X 認証を通過するようにするには、 Radius·User-Name パラメーターに Cisco Wireless Phone 9821 を含めます。

  例えば、Cisco Wireless Phone 9821のPIDはWP-9821です。以下の両方のセクションで、 Radius·User-Name を Start with WP または Contains WP に設定できます。

  • ポリシー > 条件 > 図書館利用条件

  • ポリシー > ポリシーセット > 承認ポリシー > 承認ルール 1