Hartelijk dank voor uw feedback

Beveiligingsfuncties beschermen tegen bedreigingen, waaronder bedreigingen voor de identiteit van de telefoon en gegevens. Deze functies zorgen voor het opzetten en onderhouden van geverifieerde communicatiestromen tussen de telefoon en de Cisco Unified Communications Manager server, en zorgen ervoor dat de telefoon alleen digitaal ondertekende bestanden gebruikt.

Cisco Unified Communications ManagerRelease 8.5 (1) en hoger bevat standaard Security, dat de volgende beveiligingsfuncties biedt voor Cisco IP-telefoons zonder dat de CTL-client hoeft te worden uitgevoerd:

• Ondertekening van de telefoonconfiguratiebestanden

• Versleuteling van bestanden voor telefoonconfiguratie

• HTTPS met Tomcat en andere webservices

Het implementeren van beveiliging in het Cisco Unified Communications Manager systeem voorkomt identiteitsdiefstal van de telefoon en Cisco Unified Communications Manager server, voorkomt manipulatie van gegevens en voorkomt gesprekssignalering en manipulatie van mediastreams.

Om deze bedreigingen het hoofd te bieden, zorgt het Cisco IP-telefonienetwerk voor het opzetten en onderhouden van veilige (versleutelde) communicatiestromen tussen een telefoon en de server, worden bestanden digitaal ondertekend voordat ze naar een telefoon worden overgebracht, en worden mediastreams en gesprekssignalering tussen Cisco IP-telefoons versleuteld.

Een Locally Significant Certificate (LSC) wordt op telefoons geïnstalleerd nadat u de noodzakelijke taken hebt uitgevoerd die verband houden met de Certificate Authority proxyfunctie (CAPF). U kunt dit gebruiken Cisco Unified Communications Manager Administration om een LSC te configureren, zoals beschreven in de Cisco Unified Communications ManagerBeveiligingsgids. Als alternatief kunt u de installatie van een LSC starten via het menu Beveiliging op de telefoon. In dit menu kunt u ook een LSC bijwerken of verwijderen.

De telefoons maken gebruik van het telefoonbeveiligingsprofiel, dat bepaalt of het apparaat onveilig of beveiligd is. Voor informatie over het toepassen van het beveiligingsprofiel op de telefoon, zie de documentatie voor uw specifieke Cisco Unified Communications Manager release.

Als u beveiligingsinstellingen configureert inCisco Unified Communications Manager Administration, bevat het telefoonconfiguratiebestand gevoelige informatie. Om de privacy van een configuratiebestand te waarborgen, moet u het configureren voor versleuteling. Zie de documentatie voor uw specifieke Cisco Unified Communications Manager release voor gedetailleerde informatie.

De volgende tabel geeft een overzicht van de beveiligingsfuncties die de telefoons ondersteunen. Zie de documentatie voor uw specifieke Cisco Unified Communications Manager release voor meer informatie.

De volgende tabel bevat de alarmberichten en de betekenis van de update van de Trust List. Zie de Cisco Unified Communications Manager documentatie voor meer informatie.

Wanneer beveiliging is geïmplementeerd voor een telefoon, kunt u beveiligde telefoongesprekken herkennen aan de pictogrammen op het telefoonscherm. U kunt ook bepalen of de verbonden telefoon veilig en beschermd is als er aan het begin van het gesprek een beveiligingstoon klinkt.

Bij een beveiligd gesprek worden alle gesprekssignalen en mediastreams versleuteld. Een veilig gesprek biedt een hoog beveiligingsniveau en zorgt voor integriteit en privacy tijdens het gesprek. Als een lopend gesprek versleuteld is, ziet u het beveiligde pictogram op de lijn.

InCisco Unified Communications Manager, aan telefoons die als veilig zijn geconfigureerd (versleuteld en vertrouwd) kan een beschermde status worden toegekend. Eenmaal beveiligd, kunnen deze apparaten worden geconfigureerd om aan het begin van elk gesprek een beveiligingstoon af te spelen.

• Beveiligd apparaat:

  Om de status van een beveiligde telefoon te wijzigen naar beveiligd:

  1. Selecteer in Cisco Unified Communications Manager Administration Apparaat > Telefoon.
  2. Zoek de telefoon die u wilt instellen.
  3. Selecteer in het venster Telefoonconfiguratie het selectievakje Beveiligd apparaat.
  4. Klik op Opslaan.

• Speel Secure Indication Tone af:

  Om ervoor te zorgen dat de beveiligde telefoon een veilige of onveilige signaaltoon kan afspelen:

  1. Selecteer in Cisco Unified Communications Manager Administration Systeem > Serviceparameters.
  2. Selecteer de server en vervolgens de Cisco CallManager service.
  3. Stel in het gedeelte Clusterbrede parameters (functie - veilige toon) de afspeeltoon in om de instelling Secure/Non-Secure Call Status aan te geven op True.
  4. Klik op Opslaan.

Omdat alle WLAN-apparaten binnen bereik al het andere WLAN-verkeer kunnen ontvangen, is de beveiliging van spraakcommunicatie van cruciaal belang in WLAN's. Om ervoor te zorgen dat indringers spraakverkeer niet manipuleren of onderscheppen, ondersteunt de Cisco SAFE Security-architectuur de telefoon. Voor meer informatie over beveiliging in netwerken, zie http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

De Cisco draadloze IP-telefonieoplossing biedt draadloze netwerkbeveiliging die ongeoorloofde aanmeldingen en gecompromitteerde communicatie voorkomt door gebruik te maken van de volgende verificatiemethoden die de telefoon ondersteunt.

• Open authenticatie: Elk draadloos apparaat kan authenticatie aanvragen in een open systeem. De AP die het verzoek ontvangt, kan authenticatie verlenen aan elke aanvrager of alleen aan aanvragers die op een lijst van gebruikers voorkomen. De communicatie tussen het draadloze apparaat en het access point (AP) kan niet-versleuteld zijn.

• Extensible Authentication Protocol-Flexibele authenticatie via Secure Tunneling (EAP-FAST) Authenticatie: Deze client-serverbeveiligingsarchitectuur versleutelt EAP-transacties binnen een Transport Level Security-tunnel (TLS) tussen de AP en de RADIUS-server, zoals Identity Services Engine (ISE).

  De TLS-tunnel maakt gebruik van Protected Access Credentials (PAC's) voor authenticatie tussen de client (telefoon) en de RADIUS-server. De server stuurt een autoriteits-ID (AID) naar de client (telefoon), die op zijn beurt de juiste PAC selecteert. De client (telefoon) stuurt een PAC-ondoorzichtig terug naar de RADIUS-server. De server decodeert de PAC met de primaire sleutel. Beide eindpunten bevatten nu de PAC-sleutel en er wordt een TLS-tunnel gemaakt. EAP-FAST ondersteunt automatische PAC-provisioning, maar u moet deze inschakelen op de RADIUS-server.

  In ISE verloopt de PAC standaard over een week. Als de PAC van de telefoon is verlopen, duurt de authenticatie met de RADIUS-server langer, terwijl de telefoon een nieuwe PAC krijgt. Om vertragingen bij de levering van PAC te voorkomen, stelt u de PAC vervaldatum in op 90 dagen of langer op de ISE- of RADIUS-server.

• Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) Authenticatie: EAP-TLS vereist een clientcertificaat voor authenticatie en netwerktoegang. Voor draadloze EAP-TLS kan het clientcertificaat een MIC-, LSC- of door de gebruiker geïnstalleerd certificaat zijn.

• Protected Extensible Authentication Protocol (PEAP): een gepatenteerd systeem voor wederzijdse authenticatie op basis van een wachtwoord van Cisco tussen de client (telefoon) en een RADIUS-server. De telefoon kan PEAP gebruiken voor authenticatie met het draadloze netwerk. Zowel PEAP-MSCHAPV2- als PEAP-GTC-authenticatiemethoden worden ondersteund.

• Pre-Shared Key (PSK): De telefoon ondersteunt de formaten ASCII en hexadecimaal (HEX). U moet deze formaten gebruiken bij het instellen van een vooraf gedeelde WPA2/SAE-sleutel.

  ASCII: Een ASCII-tekenreeks met een lengte van 8 tot 63 tekens (0-9, kleine letters a-z, hoofdletters A-Z en speciale tekens). Bijvoorbeeld GREG123567@9ZX&W.

  HEX: Een reeks van hexadecimale tekens met een lengte van 64 hexadecimale cijfers (0-9, a-f of A-F).

De volgende authenticatieschema's gebruiken de RADIUS-server om authenticatiesleutels te beheren:

• WPA2/WPA3: Gebruikt RADIUS-serverinformatie om unieke sleutels voor authenticatie te genereren. Omdat deze sleutels worden gegenereerd op de gecentraliseerde RADIUS-server, biedt WPA2/WPA3 meer beveiliging dan vooraf gedeelde WPA-sleutels die zijn opgeslagen op het toegangspunt en de telefoon.

• Fast Secure Roaming: Maakt gebruik van RADIUS-server en informatie over een draadloze domeinserver (WDS) om sleutels te beheren en te verifiëren. Het WDS creëert een cache met beveiligingsgegevens voor clientapparaten met FT-ondersteuning voor snelle en veilige herauthenticatie.

Met WPA2/WPA3 worden coderingssleutels niet ingevoerd op de telefoon, maar automatisch afgeleid tussen het toegangspunt en de telefoon. Maar de EAP-gebruikersnaam en -wachtwoord die voor authenticatie worden gebruikt, moeten op elke telefoon worden ingevoerd.

Om spraakverkeer via de draadloze verbinding te helpen beschermen, ondersteunt de telefoon AES-versleuteling voor WPA2/WPA3-authenticatie. AES is een symmetrisch blokcijfer dat gestandaardiseerd is door NIST. AES gebruikt een vaste blokgrootte van 128 bits en ondersteunt sleutelgroottes van 128 bits, 192 bits en 256 bits. In Wi-Fi-netwerken wordt AES gebruikt door coderingssuites zoals CCMP of GCMP, terwijl authenticatie afzonderlijk wordt verzorgd door PSK, SAE of 802.1X/EAP, afhankelijk van de geconfigureerde WLAN-beveiligingsmodus. De ondersteunde coderingssuite en de grootte van de sleutel zijn afhankelijk van het telefoonmodel en de WLAN-configuratie.

Wanneer de telefoon AES-versleuteling gebruikt, worden zowel de SIP-signaalpakketten als de RTP-pakketten (Voice Real-Time Transport Protocol) versleuteld tussen de AP en de telefoon.

Authenticatie- en coderingsschema's worden ingesteld binnen het draadloze netwerk. VLAN's worden in het netwerk en op de AP's geconfigureerd en specificeren verschillende combinaties van authenticatie en versleuteling. Een SSID is gekoppeld aan een VLAN en het specifieke authenticatie- en coderingsschema. Om draadloze clientapparaten succesvol te kunnen authenticeren, moet u dezelfde SSID's met hun authenticatie- en coderingsschema's configureren op de AP's en op de telefoon.

Voor sommige authenticatieschema's zijn specifieke soorten versleuteling vereist.

De authenticatie- en coderingsschema's in de volgende tabel tonen de netwerkconfiguratieopties voor Cisco Wireless Phone 9821 die overeenkomen met de AP-configuratie.

Cisco Wireless Phone 9821 ondersteunt 802.1X-verificatie voor bekabelde netwerken. Dit wordt meestal gebruikt bij automatische provisioning wanneer de telefoon is aangesloten op de desktoplader via een ondersteunde USB-naar-Ethernet-adapter.

Voor ondersteuning van 802.1X-authenticatie op bekabelde netwerken zijn verschillende componenten nodig, zoals :

• Cisco IP-telefoon: De telefoon initieert het verzoek om toegang tot het netwerk. Cisco IP-telefoons bevatten een 802.1X-supplicant. Met dit verzoek kunnen netwerkbeheerders de connectiviteit van IP-telefoons met de LAN-switchpoorten regelen. De huidige versie van de 802.1X-telefoonaanbieder maakt gebruik van de opties EAP-FAST en EAP-TLS voor netwerkverificatie.

• Authenticatieserver: De authenticatieserver en de switch moeten beide worden geconfigureerd met een gedeeld RADIUS-geheim.

• Switch: De switch moet 802.1X ondersteunen, zodat deze als authenticator kan fungeren en de EAP-berichten kan doorsturen tussen de telefoon en de authenticatieserver. Nadat de uitwisseling is voltooid, verleent of weigert de overstap de telefoontoegang tot het netwerk.

Cisco IP-telefoons en Cisco Catalyst-switches gebruiken traditioneel Cisco Discovery Protocol CDP om elkaar te identificeren en parameters te bepalen, zoals VLAN-toewijzing en inline-stroomvereisten.

U moet de volgende acties uitvoeren om 802.1X te configureren.

• Configureer de CDP/LLDP-voice-VLAN-bypass.

• Configureer de authenticatieserver en de switch voordat u 802.1X-verificatie inschakelt voor bekabelde netwerken op de telefoon.

• Voice VLAN configureren: Omdat de 802.1X-standaard geen rekening houdt met VLAN's, moet u deze instelling configureren op basis van de ondersteuning van de switch.

  • Ingeschakeld: Als u een switch gebruikt die multidomeinauthenticatie ondersteunt, kunt u deze configureren om het spraak-VLAN te gebruiken.
  • Uitgeschakeld: Als de switch geen ondersteuning biedt voor multidomeinauthenticatie, schakel dan de Voice VLAN uit en overweeg om de poort toe te wijzen aan het oorspronkelijke VLAN.

• Cisco Wireless Phone 9821 heeft een ander voorvoegsel in de PID dan dat voor de andere Cisco-telefoons. Om ervoor te zorgen dat uw telefoon de 802.1X-authenticatie doorstaat, stelt u de parameter Radius·User-Name zo in dat ook uw Cisco Wireless Phone 9821 wordt opgenomen.

  De PID van Cisco Wireless Phone 9821 is bijvoorbeeld WP-9821. U kunt de gebruikersnaam van Radius·op Start with WPof Contains WPin beide van de volgende secties instellen:

  • Beleid > Voorwaarden > Bibliotheekvoorwaarden

  • Beleid > Beleidssets > Autorisatiebeleid > Autorisatieregel 1