피드백을 보내 주셔서 감사합니다.

보안 기능은 휴대전화의 신원 및 데이터에 대한 위협을 포함한 다양한 위협으로부터 보호합니다. 이러한 기능은 전화기와 Cisco Unified Communications Manager 서버 간에 인증된 통신 스트림을 설정 및 유지하고 전화기가 디지털 서명된 파일만 사용하도록 보장합니다.

Cisco Unified Communications Manager 릴리스 8.5(1) 이상에는 기본적으로 보안 기능이 포함되어 있어 CTL 클라이언트를 실행하지 않고도 Cisco IP 전화기에 다음과 같은 보안 기능을 제공합니다.

• 전화 구성 파일 서명

• 휴대폰 설정 파일 암호화

• Tomcat 및 기타 웹 서비스에서 HTTPS 사용

Cisco Unified Communications Manager 시스템에 보안을 구현하면 전화기 및 Cisco Unified Communications Manager 서버의 신원 도용, 데이터 변조, 통화 신호 및 미디어 스트림 변조를 방지할 수 있습니다.

이러한 위협을 완화하기 위해 시스코 IP 전화 네트워크는 전화기와 서버 간에 안전한(암호화된) 통신 스트림을 설정 및 유지하고, 파일을 전화기로 전송하기 전에 디지털 서명하며, 시스코 IP 전화기 간의 미디어 스트림과 통화 신호를 암호화합니다.

로컬 중요 인증서(LSC)는 인증 기관 프록시 기능(CAPF)과 관련된 필수 작업을 수행한 후 휴대전화에 설치됩니다. Cisco Unified Communications Manager 보안 가이드에 설명된 대로 Cisco Unified Communications Manager 관리 기능을 사용하여 LSC를 구성할 수 있습니다. 또는 휴대폰의 보안 메뉴에서 LSC 설치를 시작할 수도 있습니다. 이 메뉴를 통해 LSC를 업데이트하거나 삭제할 수도 있습니다.

휴대전화는 휴대전화 보안 프로필을 사용하는데, 이 프로필은 기기가 안전하지 않은지 또는 안전한지를 정의합니다. 전화기에 보안 프로필을 적용하는 방법에 대한 자세한 내용은 사용 중인 Cisco Unified Communications Manager 릴리스의 설명서를 참조하십시오.

Cisco Unified Communications Manager 관리에서 보안 관련 설정을 구성하는 경우, 전화 구성 파일에 민감한 정보가 포함될 수 있습니다. 설정 파일의 개인 정보 보호를 위해 암호화 설정을 해야 합니다. 자세한 내용은 사용 중인 Cisco Unified Communications Manager 릴리스의 설명서를 참조하십시오.

다음 표는 휴대폰에서 지원하는 보안 기능에 대한 개요를 제공합니다. 자세한 내용은 사용 중인 Cisco Unified Communications Manager 릴리스의 설명서를 참조하십시오.

다음 표에는 신뢰 목록 업데이트 알림 메시지와 그 의미가 나와 있습니다. 자세한 내용은 Cisco Unified Communications Manager 설명서를 참조하십시오.

휴대전화에 보안 기능이 적용되면 휴대전화 화면의 아이콘을 통해 보안 통화를 확인할 수 있습니다. 통화 시작 시 보안음이 재생되는지 여부를 통해 연결된 전화기가 안전하고 보호되고 있는지 확인할 수 있습니다.

보안 통화에서는 모든 통화 신호와 미디어 스트림이 암호화됩니다. 보안 통화는 높은 수준의 보안을 제공하여 통화의 무결성과 개인 정보 보호를 보장합니다. 통화가 암호화되면 회선에 보안 아이콘 이 표시됩니다.

Cisco Unified Communications Manager에서 보안(암호화 및 신뢰)으로 구성된 전화기에는 보호 상태를 할당할 수 있습니다. 일단 보호 설정이 완료되면, 이러한 장치들은 각 통화 시작 시 보안음을 재생하도록 구성할 수 있습니다.

• 보호된 장치:

  보안 전화의 상태를 보호됨으로 변경하려면 다음 단계를 따르세요.

  1. Cisco Unified Communications Manager 관리에서 장치 를 선택합니다. > 핸드폰.
  2. 설정할 전화기를 찾으세요.
  3. 전화 구성 창에서 보호 장치 확인란을 선택합니다.
  4. 저장을 클릭합니다.

• 안전 확보 신호음 재생:

  보호된 휴대전화에서 보안 또는 비보안 표시음을 재생하도록 설정하려면 다음 단계를 따르십시오.

  1. Cisco Unified Communications Manager 관리에서 시스템 을 선택합니다. > 서비스 매개변수.
  2. 서버를 선택한 다음 Cisco CallManager 서비스를 선택하십시오.
  3. 클러스터 전체 매개변수(기능 - 보안음) 영역에서 재생음을 표시하도록 설정합니다. Secure/Non-Secure 통화 상태 설정을 True로 설정합니다.
  4. 저장을 클릭합니다.

무선 LAN 범위 내의 모든 장치는 다른 모든 무선 LAN 트래픽을 수신할 수 있으므로 무선 LAN에서 음성 통신 보안은 매우 중요합니다. 침입자가 음성 트래픽을 조작하거나 가로채지 못하도록 Cisco SAFE 보안 아키텍처가 전화기를 지원합니다. 네트워크 보안에 대한 자세한 내용은 http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html를 참조하세요.

시스코 무선 IP 전화 솔루션은 전화기가 지원하는 다음과 같은 인증 방법을 사용하여 무단 로그인 및 통신 손상을 방지하는 무선 네트워크 보안을 제공합니다.

• 인증 열기: 개방형 시스템에서는 모든 무선 장치가 인증을 요청할 수 있습니다. 요청을 수신하는 AP는 모든 요청자에게 인증을 부여하거나 사용자 목록에 있는 요청자에게만 인증을 부여할 수 있습니다. 무선 장치와 액세스 포인트(AP) 간의 통신은 암호화되지 않을 수 있습니다.

• 확장 가능 인증 프로토콜-보안 터널링을 통한 유연한 인증(EAP-FAST) 인증: 이 클라이언트-서버 보안 아키텍처는 AP와 RADIUS 서버(예: Identity Services Engine(ISE)) 간의 전송 계층 보안(TLS) 터널 내에서 EAP 트랜잭션을 암호화합니다.

  TLS 터널은 클라이언트(휴대폰)와 RADIUS 서버 간의 인증을 위해 PAC(Protected Access Credentials)를 사용합니다. 서버는 클라이언트(휴대폰)에 인증 ID(AID)를 전송하고, 클라이언트는 이에 따라 적절한 PAC를 선택합니다. 클라이언트(휴대폰)는 RADIUS 서버로 PAC-Opaque를 반환합니다. 서버는 기본 키를 사용하여 PAC를 복호화합니다. 이제 양쪽 엔드포인트 모두 PAC 키를 보유하게 되었으며 TLS 터널이 생성되었습니다. EAP-FAST는 자동 PAC 프로비저닝을 지원하지만, RADIUS 서버에서 해당 기능을 활성화해야 합니다.

  ISE에서 PAC는 기본적으로 1주일 후에 만료됩니다. 휴대전화의 PAC가 만료된 경우, 새 PAC를 발급받는 동안 RADIUS 서버와의 인증 시간이 더 오래 걸립니다. PAC 프로비저닝 지연을 방지하려면 ISE 또는 RADIUS 서버에서 PAC 만료 기간을 90일 이상으로 설정하십시오.

• 확장 가능한 인증 프로토콜-전송 계층 보안(EAP-TLS) 인증: EAP-TLS는 인증 및 네트워크 접근을 위해 클라이언트 인증서를 필요로 합니다. 무선 EAP-TLS의 경우 클라이언트 인증서는 MIC, LSC 또는 사용자가 설치한 인증서일 수 있습니다.

• PEAP(Protected Extendable Authentication Protocol): 클라이언트(휴대폰)와 RADIUS 서버 간에 사용되는 시스코 고유의 암호 기반 상호 인증 체계입니다. 휴대전화는 무선 네트워크와의 인증을 위해 PEAP를 사용할 수 있습니다. PEAP-MSCHAPV2 및 PEAP-GTC 인증 방식이 모두 지원됩니다.

• 사전 공유 키(PSK): 이 전화기는 ASCII 및 16진수(HEX) 형식을 지원합니다. 설정할 때는 반드시 다음 형식을 사용해야 합니다. WPA2/SAE 사전 공유 키.

  ASCII: 길이가 8~63자인 ASCII 문자열(0~9, 소문자 az, 대문자 AZ 및 특수 문자 포함). 예를 들어, GREG123567@9ZX&W.

  HEX: 64자리 16진수 문자열(0-9, af 또는 AF)입니다.

다음 인증 방식은 RADIUS 서버를 사용하여 인증 키를 관리합니다.

• WPA2/WPA3: RADIUS 서버 정보를 사용하여 인증을 위한 고유 키를 생성합니다. 이러한 키는 중앙 집중식 RADIUS 서버에서 생성되기 때문에, WPA2/WPA3 AP와 휴대폰에 저장되는 WPA 사전 공유 키보다 더 높은 보안성을 제공합니다.

• 빠르고 안전한 로밍: RADIUS 서버와 무선 도메인 서버(WDS) 정보를 사용하여 키를 관리하고 인증합니다. WDS는 FT 지원 클라이언트 장치의 빠르고 안전한 재인증을 위해 보안 자격 증명 캐시를 생성합니다.

와 함께 WPA2/WPA3, 암호화 키는 휴대전화에 입력되는 것이 아니라 AP와 휴대전화 간에 자동으로 생성됩니다. 하지만 인증에 사용되는 EAP 사용자 이름과 비밀번호는 각 전화기에 입력해야 합니다.

무선 링크를 통한 음성 트래픽을 보호하기 위해, 이 전화기는 AES 기반 암호화를 지원합니다. WPA2/WPA3 입증. AES는 NIST에서 표준화한 대칭 블록 암호입니다. AES는 128비트의 고정 블록 크기를 사용하며 128비트, 192비트 및 256비트의 키 크기를 지원합니다. Wi-Fi 네트워크에서 AES는 CCMP 또는 GCMP와 같은 암호화 스위트에서 사용되며, 인증은 PSK, SAE 또는 기타 방식으로 별도로 제공됩니다. 802.1X/EAP, 설정된 WLAN 보안 모드에 따라 다릅니다. 지원되는 암호화 스위트와 키 크기는 휴대폰 모델 및 WLAN 구성에 따라 다릅니다.

전화기가 AES 암호화를 사용하는 경우, AP와 전화기 간에 신호 SIP 패킷과 음성 실시간 전송 프로토콜(RTP) 패킷 모두가 암호화됩니다.

무선 LAN 내에서 인증 및 암호화 체계가 설정됩니다. VLAN은 네트워크와 AP에 구성되며 다양한 인증 및 암호화 조합을 지정합니다. SSID는 VLAN 및 특정 인증 및 암호화 체계와 연결됩니다. 무선 클라이언트 장치가 성공적으로 인증하려면 AP와 휴대폰에 동일한 SSID와 인증 및 암호화 방식을 구성해야 합니다.

일부 인증 체계는 특정 유형의 암호화를 요구합니다.

다음 표의 인증 및 암호화 방식은 AP 구성에 해당하는 Cisco 무선 전화기 9821의 네트워크 구성 옵션을 보여줍니다.

시스코 무선 전화기 9821은 유선 네트워크용 802.1X 인증을 지원합니다. 이는 일반적으로 휴대폰이 지원되는 USB-이더넷 어댑터를 통해 데스크톱 충전기에 연결될 때 자동 프로비저닝 중에 사용됩니다.

유선 네트워크에서 802.1X 인증을 지원하려면 다음과 같은 몇 가지 구성 요소가 필요합니다.

• 시스코 IP 전화: 휴대전화가 네트워크 접속 요청을 시작합니다. 시스코 IP 전화기에는 802.1X 서플리컨트가 포함되어 있습니다. 이 요청 기능을 통해 네트워크 관리자는 IP 전화기와 LAN 스위치 포트 간의 연결을 제어할 수 있습니다. 현재 버전의 휴대폰 802.1X 서플리컨트는 네트워크 인증을 위해 EAP-FAST 및 EAP-TLS 옵션을 사용합니다.

• 인증 서버: 인증 서버와 스위치 모두 RADIUS 공유 비밀 키로 구성되어 있어야 합니다.

• 스위치: 스위치는 802.1X를 지원해야 하며, 그래야 인증자 역할을 하여 휴대폰과 인증 서버 간에 EAP 메시지를 중계할 수 있습니다. 통신이 완료되면 스위치는 전화기의 네트워크 접속을 허용하거나 거부합니다.

시스코 IP 전화기와 시스코 카탈리스트 스위치는 전통적으로 시스코 디스커버리 프로토콜(CDP)을 사용하여 서로를 식별하고 VLAN 할당 및 인라인 전원 요구 사항과 같은 매개변수를 확인합니다.

802.1X를 구성하려면 다음 단계를 수행해야 합니다.

• 구성 CDP/LLDP 음성 VLAN 우회.

• 전화기에서 유선 네트워크에 대한 802.1X 인증을 활성화하기 전에 인증 서버와 스위치를 구성하십시오.

• 음성 VLAN 구성: 802.1X 표준은 VLAN을 지원하지 않으므로 스위치의 VLAN 지원 여부에 따라 이 설정을 구성해야 합니다.

  • 활성화됨: 다중 도메인 인증을 지원하는 스위치를 사용하는 경우 음성 VLAN을 사용하도록 구성할 수 있습니다.
  • 비활성화됨: 스위치가 멀티도메인 인증을 지원하지 않는 경우, 음성 VLAN을 비활성화하고 해당 포트를 네이티브 VLAN에 할당하는 것을 고려하십시오.

• 시스코 무선 전화기 9821은 다른 시스코 전화기와 달리 PID의 접두사가 다릅니다. 802.1X 인증을 통과하도록 휴대폰을 설정하려면 Radius·User-Name 매개변수에 Cisco 무선 전화기 9821을 포함시키십시오.

  예를 들어, 시스코 무선 전화기 9821의 PID는 WP-9821입니다. 다음 두 섹션 모두에서 Radius·User-Name 을 Start with WP 또는 Contains WP 으로 설정할 수 있습니다.

  • 정책 > 조건 > 도서관 이용 약관

  • 정책 > 정책 세트 > 권한 부여 정책 > 권한 부여 규칙 1