コメントありがとうございます。

セキュリティ機能は、 電話のIDやデータへの脅威を含む脅威から保護します。 これらの機能は、 Cisco Unified Communications Manager電話とサーバー間の認証された通信ストリームを確立して維持し、 電話がデジタル署名されたファイルのみを使用することを保証します。

Cisco Unified Communications Managerリリース 8.5 (1) 以降には、デフォルトでセキュリティが含まれています。 これにより、 CTLクライアントを実行しなくてもCisco IP Phoneに次のセキュリティ機能が提供されます。

• 電話設定ファイルの署名

• 電話設定ファイルの暗号化

• Tomcatやその他のウェブサービスでの HTTPS

Cisco Unified Communications Managerシステムにセキュリティを実装することで、 Cisco Unified Communications Manager電話やサーバーの個人情報の盗難、データの改ざんを防ぎ、 通話信号やメディアストリームの改ざんを防ぎます。

これらの脅威を軽減するために、Cisco IPテレフォニーネットワークは、電話とサーバー間の安全な （暗号化された）通信ストリームを確立して維持し、 電話に転送される前にファイルにデジタル署名し、Cisco IP電話間のメディアストリームとコールシグナリングを暗号化します。

ローカルで有効な証明書（LSC）は、Certificate Authorityプロキシ機能（CAPF） に関連する必要なタスクを実行した後に電話にインストールされます。 Cisco Unified Communications Managerセキュリティガイドで説明されているように、 Cisco Unified Communications Manager Administrationを使用してLSCを設定できます。 または、 電話機のセキュリティメニューからLSCのインストールを開始することもできます。 このメニューでは、 LSCの更新や削除もできます。

電話は、 デバイスが非セキュアかセキュアかを定義する電話セキュリティプロファイルを使用します。 セキュリティプロファイルを電話に適用する方法については、 Cisco Unified Communications Manager特定のリリースのドキュメントを参照してください。

でセキュリティ関連の設定を行うとCisco Unified Communications Manager Administration、電話設定ファイルには機密情報が含まれます。 設定ファイルのプライバシーを確保するには、暗号化するように設定する必要があります。 詳細については、 Cisco Unified Communications Manager特定のリリースのドキュメントを参照してください。

次の表は、 電話がサポートするセキュリティ機能の概要を示しています。 詳細については、Cisco Unified Communications Manager特定のリリースのドキュメントを参照してください。

次の表には、トラストリストの更新アラームメッセージと意味が含まれています。 詳細については、Cisco Unified Communications Manager ドキュメントを参照してください。

電話にセキュリティが実装されている場合、 電話画面のアイコンで安全な通話であることがわかります。 通話の開始時にセキュリティトーンが鳴れば、 接続されている電話が安全で保護されているかどうかを判断することもできます。

安全な通話では、すべての通話信号とメディアストリームが暗号化されます。 安全な通話は高レベルのセキュリティを提供し、通話に完全性とプライバシーを提供します。 進行中の通話が暗号化されると、回線に安全なアイコンが表示されます。

ではCisco Unified Communications Manager、安全に設定されている（ 暗号化され信頼されている）電話に、保護ステータスを割り当てることができます。 保護が完了すると、これらのデバイスは各通話の開始時にセキュリティトーンを鳴らすように設定できます 。

• 保護対象デバイス:

  安全な電話のステータスを保護済みに変更するには：

  1. でCisco Unified Communications Manager Administration、[デバイス] > [電話] を選択します。
  2. 設定する電話を探してください。
  3. 電話の設定ウィンドウで、 保護対象デバイスのチェックボックスを選択してください。
  4. [保存] をクリックします。

• セキュア・インディケーション・トーンを再生：

  保護された電話でセキュア通知トーンまたは非セキュア通知トーンを再生できるようにするには：

  1. でCisco Unified Communications Manager Administration、[システム] > [サービスパラメータ] を選択します。
  2. サーバーを選択し、Cisco CallManager 次にサービスを選択します。
  3. クラスター全体のパラメータ（機能-セキュアトーン）エリアで、セキュア/ノンセキュアコールステータスを示すPlay Toneの設定をTrueに設定します。
  4. [保存] をクリックします。

範囲内にあるすべてのWLANデバイスは他のすべてのWLANトラフィックを受信できるため、WLANでは音声通信を保護することが重要です。 侵入者が音声トラフィックを操作したり傍受したりしないように、Cisco SAFEセキュリティアーキテクチャは電話をサポートしています。 ネットワークのセキュリティの詳細については、http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .htmlを参照してください。

シスコワイヤレスIPテレフォニーソリューションは、 電話がサポートする次の認証方法を使用して、 不正なサインインや通信の侵害を防ぐワイヤレスネットワークセキュリティを提供します。

• オープン認証:どのワイヤレスデバイスでも、オープンシステムでの認証を要求できます。 リクエストを受信したAPは、任意の要求者に認証を与えることも、ユーザーのリストに記載されている要求者にのみ認証を与えることもできます。 ワイヤレスデバイスとアクセスポイント（AP）間の通信は暗号化されていない可能性があります。

• 拡張可能な認証プロトコル-セキュアトンネリング（EAP-FAST）認証による柔軟な認証：このクライアント/サーバーセキュリティアーキテクチャは、IDサービスエンジン（ISE）などのAPとRADIUSサーバー間のトランスポートレベルセキュリティ（TLS）トンネル内のEAPトランザクションを暗号化します。

  TLSトンネルは、クライアント（電話）とRADIUSサーバー間の認証に保護アクセス証明書（PAC）を使用します。 サーバーはオーソリティID（AID）をクライアント（電話）に送信し、クライアント（電話）は適切なPACを選択します。 クライアント（電話）は、PAC-OPEQUEをRADIUSサーバーに返します。 サーバーは主キーでPACを復号化します。 これで、両方のエンドポイントにPACキーが含まれ、TLSトンネルが作成されました。 EAP-FASTは自動PACプロビジョニングをサポートしていますが、RADIUSサーバーで有効にする必要があります。

  ISEでは、デフォルトで、PACは1週間で期限切れになります。 電話機のPACの有効期限が切れている場合、電話機が新しいPACを取得するまでの間、RADIUSサーバーでの認証に時間がかかります。 PACプロビジョニングの遅延を避けるには、ISEまたはRADIUSサーバーでPACの有効期限を90日以上に設定してください。

• 拡張認証プロトコル-トランスポート層セキュリティ（EAP-TLS）認証：EAP-TLSでは、認証とネットワークアクセスにクライアント証明書が必要です。 ワイヤレスEAP-TLSの場合、クライアント証明書はMIC、LSC、またはユーザーがインストールした証明書です。

• 保護された拡張認証プロトコル（PEAP）：クライアント（電話）とRADIUSサーバー間のシスコ独自のパスワードベースの相互認証方式。 電話はワイヤレスネットワークでの認証にPEAPを使用できます。 PEAP-MSCHAPV2とPEAP-GTCの両方の認証方法がサポートされています。

• 事前共有キー（PSK）：電話はASCII形式と16進数（HEX）形式をサポートしています。 WPA2/SAE事前共有鍵を設定するときは、これらの形式を使用する必要があります。

  ASCII: 長さ8～63文字のASCII文字列 (0～9、 小文字のa～z、大文字のA～Z、特殊文字)。 例えば、 GREG123567@9ZX&W。

  16進数：長さが64桁の16進文字列（0-9、a-f、またはA-F）。

次の認証方式では、RADIUSサーバーを使用して認証キーを管理します。

• WPA2/WPA3：RADIUSサーバーの情報を使用して、認証用の固有のキーを生成します。 これらのキーは集中型のRADIUSサーバーで生成されるため、WPA2/WPA3はAPと電話に保存されているWPA事前共有キーよりもセキュリティが高くなります。

• 高速で安全なローミング：RADIUSサーバーとワイヤレスドメインサーバー（WDS）の情報を使用して、キーを管理および認証します。 WDSは、FT対応のクライアントデバイスのセキュリティ認証情報のキャッシュを作成して、迅速かつ安全な再認証を行います。

WPA2/WPA3では、暗号化キーは電話では入力されませんが、 APと電話の間で自動的に生成されます。 ただし、認証に使用するEAPのユーザー名とパスワードは、各電話で入力する必要があります。

ワイヤレスリンクを介した音声トラフィックを保護するために、 電話はWPA2/WPA3認証のAESベースの暗号化をサポートしています。 AESはNISTによって標準化された対称ブロック暗号です。 AESは固定128ビットのブロックサイズを使用し、128ビット、192ビット、 256ビットのキーサイズをサポートします。 Wi-Fiネットワークでは、AESはCCMPやGCMPなどの暗号スイートで使用され、 認証は設定されたWLANセキュリティモードに応じて、PSK、SAE、または802.1X/EAPによって個別に提供されます。 サポートされる暗号スイートとキーサイズは、 電話のモデルとWLAN構成によって異なります。

電話がAES暗号化を使用している場合、 シグナリングSIPパケットと音声リアルタイム転送プロトコル（RTP）パケットの両方がAPと電話の間で暗号化されます。

認証と暗号化の仕組みは、無線LAN内に設定されています。 VLANはネットワークとAPで設定され、認証と暗号化のさまざまな組み合わせを指定します。 SSIDはVLANと特定の認証および暗号化スキームに関連付けられます。 ワイヤレスクライアントデバイスを正常に認証するには、APと電話で同じSSIDを認証および暗号化スキームで設定する必要があります。

一部の認証方式では、特定の種類の暗号化が必要です。

次の表の認証および暗号化スキームは、 AP構成に対応するCiscoワイヤレス電話9821のネットワーク構成オプションを示しています。

シスコワイヤレス電話9821は、有線ネットワークの802.1X認証をサポートしています。 これは通常、 サポートされているUSB-イーサネットアダプターを介して電話がデスクトップチャージャーに接続されている場合の自動プロビジョニング時に使用されます。

有線ネットワークでの802.1X認証のサポートには、 次のようないくつかのコンポーネントが必要です。

• Cisco IP電話：電話はネットワークへのアクセスの要求を開始します。 シスコのIP電話には802.1Xサプリカントが含まれています。 このサプリカントにより、ネットワーク管理者はIP電話のLANスイッチポートへの接続を制御できます。 電話機の802.1Xサプリカントの現在のリリースでは、ネットワーク認証にEAP-FASTとEAP-TLSのオプションを使用しています。

• 認証サーバー： 認証サーバーとスイッチの両方にRADIUS共有シークレットを設定する必要があります。

• スイッチ：スイッチは802.1Xをサポートしている必要があります。そうすれば、オーセンティケータとして機能し、 電話と認証サーバー間でEAPメッセージを中継できます。 交換が完了すると、スイッチはネットワークへの電話アクセスを許可または拒否します。

Cisco IP電話とCisco Catalystスイッチは従来、互いを識別し、VLAN割り当てやインライン電力要件などのパラメータを決定するためにCisco Discovery Protocol（CDP）を使用していました。

802.1Xを設定するには 、次の操作を実行する必要があります。

• CDP/LLDPの音声VLANバイパスを設定してください。

• 電話で有線ネットワークの802.1X認証を有効にする前に、 認証サーバーとスイッチを設定してください。

• 音声VLANの設定：802.1X標準ではVLANは考慮されていないので、スイッチのサポートに基づいてこの設定を行う必要があります。

  • 有効： マルチドメイン認証をサポートするスイッチを使用している場合は、音声VLANを使用するように設定できます。
  • 無効：スイッチがマルチドメイン認証をサポートしていない場合は、音声VLANを無効にして、ポートをネイティブVLANに割り当てることを検討してください。

• シスコワイヤレス電話9821のPIDのプレフィックスは、他のシスコ電話のプレフィックスとは異なります。 電話機が802.1X認証を通過できるようにするには、 Radius·User-NameパラメータにCiscoワイヤレス電話9821が含まれるように設定してください。

  たとえば、シスコワイヤレス電話9821のPIDはWP-9821です。 Radius·User-Nameは、次のセクションのどちらでも、Start with WPContains WPまたは両方に設定できます。

  • ポリシー > 条件 > 図書館利用規約

  • ポリシー > ポリシーセット > 承認ポリシー > 承認ルール1