Takk for tilbakemeldingen.

Sikkerhetsfunksjoner beskytter mot trusler, inkludert trusler mot telefonens identitet og data. Disse funksjonene oppretter og vedlikeholder autentiserte kommunikasjonsstrømmer mellom telefonen og Cisco Unified Communications Manager-serveren, og sikrer at telefonen bare bruker digitalt signerte filer.

Cisco Unified Communications Manager versjon 8.5(1) og senere inkluderer Sikkerhet som standard, som gir følgende sikkerhetsfunksjoner for Cisco IP-telefoner uten å kjøre CTL-klienten:

• Signering av telefonens konfigurasjonsfiler

• Kryptering av telefonkonfigurasjonsfiler

• HTTPS med Tomcat og andre webtjenester

Implementering av sikkerhet i Cisco Unified Communications Manager-systemet forhindrer identitetstyveri av telefonen og Cisco Unified Communications Manager-serveren, forhindrer datamanipulering og forhindrer manipulering av anropssignalering og mediestrømmer.

For å redusere disse truslene etablerer og vedlikeholder Cisco IP-telefoninettverket sikre (krypterte) kommunikasjonsstrømmer mellom en telefon og serveren, signerer filer digitalt før de overføres til en telefon, og krypterer mediestrømmer og anropssignalering mellom Cisco IP-telefoner.

Et lokalt signifikant sertifikat (LSC) installeres på telefoner etter at du har utført de nødvendige oppgavene som er knyttet til sertifiseringsinstansens proxyfunksjon (CAPF). Du kan bruke Cisco Unified Communications Manager Administration til å konfigurere en LSC, som beskrevet i sikkerhetsveiledningen for Cisco Unified Communications Manager. Alternativt kan du starte installasjonen av en LSC fra Sikkerhet -menyen på telefonen. Denne menyen lar deg også oppdatere eller fjerne en LSC.

Telefonene bruker telefonens sikkerhetsprofil, som definerer om enheten er usikker eller sikker. Hvis du vil ha informasjon om hvordan du bruker sikkerhetsprofilen på telefonen, kan du se dokumentasjonen for din spesifikke Cisco Unified Communications Manager-versjon.

Hvis du konfigurerer sikkerhetsrelaterte innstillinger i Cisco Unified Communications Manager Administration, inneholder telefonkonfigurasjonsfilen sensitiv informasjon. For å sikre personvernet til en konfigurasjonsfil, må du konfigurere den for kryptering. Hvis du vil ha detaljert informasjon, kan du se dokumentasjonen for din spesifikke Cisco Unified Communications Manager-versjon.

Tabellen nedenfor gir en oversikt over sikkerhetsfunksjonene som telefonene støtter. Hvis du vil ha mer informasjon, kan du se dokumentasjonen for din spesifikke Cisco Unified Communications Manager-versjon.

Tabellen nedenfor inneholder alarmmeldinger og betydning for oppdatering av tillitsliste. Hvis du vil ha mer informasjon, kan du se dokumentasjonen for Cisco Unified Communications Manager.

Når sikkerhet er implementert for en telefon, kan du identifisere sikre telefonsamtaler ved hjelp av ikoner på telefonskjermen. Du kan også avgjøre om den tilkoblede telefonen er sikker og beskyttet hvis en sikkerhetstone spilles av i begynnelsen av samtalen.

I en sikker samtale krypteres all samtalesignalering og mediestrømmer. En sikker samtale tilbyr et høyt sikkerhetsnivå, og gir integritet og personvern til samtalen. Når en pågående samtale er kryptert, kan du se sikkerhetsikonet på linjen.

I Cisco Unified Communications Manager kan telefoner som er konfigurert som sikre (krypterte og klarerte) tildeles en beskyttet status. Når disse enhetene er beskyttet, kan de konfigureres til å spille av en sikkerhetstone i begynnelsen av hver samtale.

• Beskyttet enhet:

  Slik endrer du statusen til en sikker telefon til beskyttet:

  1. I Cisco Unified Communications Manager Administration velger du Enhet > Telefon.
  2. Finn telefonen du skal sette opp.
  3. I vinduet Telefonkonfigurasjon merker du av for Beskyttet enhet.
  4. Klikk på Lagre.

• Spill av sikker indikasjonstone:

  Slik aktiverer du at den beskyttede telefonen spiller av en sikker eller usikker indikasjonstone:

  1. I Cisco Unified Communications Manager Administration velger du System > Tjenesteparametere.
  2. Velg serveren og deretter Cisco CallManager -tjenesten.
  3. I området Klyngeomfattende parametere (Funksjon - Sikker tone) angir du Spill av tone til å indikere Secure/Non-Secure Innstillingen for anropsstatus er satt til Sann.
  4. Klikk på Lagre.

Fordi alle WLAN-enheter som er innenfor rekkevidde kan motta all annen WLAN-trafikk, er det avgjørende å sikre talekommunikasjon i WLAN-er. For å sikre at inntrengere ikke manipulerer eller avlytter taletrafikk, støtter Cisco SAFE Security-arkitekturen telefonen. For mer informasjon om sikkerhet i nettverk, se http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Ciscos trådløse IP-telefoniløsning gir trådløs nettverkssikkerhet som forhindrer uautoriserte pålogginger og kompromittert kommunikasjon ved å bruke følgende autentiseringsmetoder som telefonen støtter.

• Åpen autentisering: Enhver trådløs enhet kan be om autentisering i et åpent system. AP-en som mottar forespørselen kan gi autentisering til enhver forespørrer eller bare til forespørrere som finnes på en liste over brukere. Kommunikasjonen mellom den trådløse enheten og tilgangspunktet (AP) kan være ukryptert.

• Extensible Authentication Protocol – fleksibel autentisering via sikker tunnelering (EAP-FAST)-autentisering: Denne klient-server-sikkerhetsarkitekturen krypterer EAP-transaksjoner i en TLS-tunnel (Transport Level Security) mellom tilgangspunktet og RADIUS-serveren, for eksempel Identity Services Engine (ISE).

  TLS-tunnelen bruker PAC-er (Protected Access Credentials) for autentisering mellom klienten (telefonen) og RADIUS-serveren. Serveren sender en autoritets-ID (AID) til klienten (telefonen), som igjen velger riktig PAC. Klienten (telefonen) returnerer en PAC-Opaque til RADIUS-serveren. Serveren dekrypterer PAC-en med primærnøkkelen. Begge endepunktene inneholder nå PAC-nøkkelen, og en TLS-tunnel er opprettet. EAP-FAST støtter automatisk PAC-klargjøring, men du må aktivere det på RADIUS-serveren.

  I ISE utløper PAC-en som standard om én uke. Hvis telefonen har en utløpt PAC, tar autentisering med RADIUS-serveren lengre tid mens telefonen får en ny PAC. For å unngå forsinkelser i PAC-klargjøring, angi PAC-utløpsperioden til 90 dager eller lenger på ISE- eller RADIUS-serveren.

• EAP-TLS-autentisering (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS krever et klientsertifikat for autentisering og nettverkstilgang. For trådløs EAP-TLS kan klientsertifikatet være MIC, LSC eller et brukerinstallert sertifikat.

• Beskyttet utvidbar autentiseringsprotokoll (PEAP): Ciscos proprietære passordbaserte gjensidige autentiseringsordning mellom klienten (telefonen) og en RADIUS-server. Telefonen kan bruke PEAP for autentisering med det trådløse nettverket. Både PEAP-MSCHAPV2- og PEAP-GTC-autentiseringsmetodene støttes.

• Forhåndsdelt nøkkel (PSK): Telefonen støtter ASCII- og heksadesimale (HEX) formater. Du må bruke disse formatene når du setter opp en WPA2/SAE Forhåndsdelt nøkkel.

  ASCII: En ASCII-tegnstreng med en lengde på 8 til 63 tegn (0–9, små bokstaver a–z, store bokstaver AZ og spesialtegn). For eksempel, GREG123567@9ZX&W.

  HEKSIKRET: En heksadesimal tegnstreng med 64 heksadesimale sifre (0–9, af eller AF).

Følgende autentiseringsordninger bruker RADIUS-serveren til å administrere autentiseringsnøkler:

• WPA2/WPA3: Bruker RADIUS-serverinformasjon til å generere unike nøkler for autentisering. Fordi disse nøklene genereres på den sentraliserte RADIUS-serveren, WPA2/WPA3 gir mer sikkerhet enn forhåndsdelte WPA-nøkler som er lagret på tilgangspunktet og telefonen.

• Rask sikker roaming: Bruker RADIUS-server og informasjon fra en trådløs domeneserver (WDS) til å administrere og autentisere nøkler. WDS oppretter en hurtigbuffer med sikkerhetslegitimasjon for FT-aktiverte klientenheter for rask og sikker ny autentisering.

Med WPA2/WPA3, Krypteringsnøkler legges ikke inn på telefonen, men utledes automatisk mellom tilgangspunktet og telefonen. Men EAP-brukernavnet og -passordet som brukes til autentisering må oppgis på hver telefon.

For å beskytte taletrafikk over den trådløse koblingen støtter telefonen AES-basert kryptering for WPA2/WPA3 autentisering. AES er en symmetrisk blokkchiffer standardisert av NIST. AES bruker en fast blokkstørrelse på 128 bit og støtter nøkkelstørrelser på 128 bit, 192 bit og 256 bit. I Wi-Fi-nettverk brukes AES av krypteringspakker som CCMP eller GCMP, mens autentisering leveres separat av PSK, SAE eller 802.1X/EAP, avhengig av den konfigurerte WLAN-sikkerhetsmodusen. Den støttede krypteringspakken og nøkkelstørrelsen avhenger av telefonmodellen og WLAN-konfigurasjonen.

Når telefonen bruker AES-kryptering, krypteres både SIP-signalpakkene og talepakkene for Real-Time Transport Protocol (RTP) mellom tilgangspunktet og telefonen.

Autentiserings- og krypteringsordninger er konfigurert i det trådløse lokalnettverket. VLAN-er konfigureres i nettverket og på AP-ene og spesifiserer forskjellige kombinasjoner av autentisering og kryptering. En SSID tilknyttes et VLAN og det spesifikke autentiserings- og krypteringsskjemaet. For at trådløse klientenheter skal kunne autentiseres, må du konfigurere de samme SSID-ene med autentiserings- og krypteringsskjemaene på tilgangspunktene og på telefonen.

Noen autentiseringsordninger krever spesifikke typer kryptering.

Autentiserings- og krypteringsskjemaene i tabellen nedenfor viser nettverkskonfigurasjonsalternativene for Cisco Wireless Phone 9821 som samsvarer med AP-konfigurasjonen.

Cisco trådløs telefon 9821 støtter 802.1X-autentisering for kablede nettverk. Dette brukes vanligvis under automatisk klargjøring når telefonen er koblet til bordladeren via en støttet USB-til-Ethernet-adapter.

Støtte for 802.1X-autentisering på kablede nettverk krever flere komponenter som følger:

• Cisco IP-telefon: Telefonen starter forespørselen om å få tilgang til nettverket. Cisco IP-telefoner inneholder en 802.1X-supplikant. Denne supplikanten lar nettverksadministratorer kontrollere tilkoblingen av IP-telefoner til LAN-svitsjportene. Den nåværende versjonen av telefonens 802.1X-supplikant bruker EAP-FAST- og EAP-TLS-alternativene for nettverksautentisering.

• Autentiseringsserver: Både autentiseringsserveren og svitsjen må konfigureres med en delt RADIUS-hemmelighet.

• Bryter: Svitsjen må støtte 802.1X, slik at den kan fungere som autentiseringsenhet og videresende EAP-meldingene mellom telefonen og autentiseringsserveren. Etter at utvekslingen er fullført, gir eller nekter svitsjen telefonen tilgang til nettverket.

Cisco IP-telefoner og Cisco Catalyst-svitsjer bruker tradisjonelt Cisco Discovery Protocol (CDP) til å identifisere hverandre og bestemme parametere som VLAN-allokering og innebygde strømkrav.

Du må utføre følgende handlinger for å konfigurere 802.1X.

• Konfigurer CDP/LLDP tale-VLAN-omgåelse.

• Konfigurer autentiseringsserveren og svitsjen før du aktiverer 802.1X-autentisering for kablede nettverk på telefonen.

• Konfigurer tale-VLAN: Fordi 802.1X-standarden ikke tar hensyn til VLAN-er, bør du konfigurere denne innstillingen basert på svitsjstøtten.

  • Aktivert: Hvis du bruker en svitsj som støtter flerdomeneautentisering, kan du konfigurere den til å bruke tale-VLAN.
  • Funksjonshemmet: Hvis svitsjen ikke støtter flerdomeneautentisering, deaktiver Voice VLAN og vurder å tilordne porten til det opprinnelige VLAN-et.

• Cisco trådløs telefon 9821 har et annet prefiks i PID-en enn de andre Cisco-telefonene. For å aktivere 802.1X-autentisering på telefonen, angi parameteren Radius·Brukernavn slik at den inkluderer Cisco trådløse telefonen 9821.

  For eksempel er PID-en til Cisco trådløs telefon 9821 WP-9821. Du kan sette Radius·Brukernavn til Start with WP eller Contains WP i begge de følgende seksjonene:

  • Retningslinjer > Betingelser > Bibliotekforhold

  • Retningslinjer > Policysett > Autorisasjonspolicy > Autorisasjonsregel 1