Obrigado pelos seus comentários.

Os recursos de segurança protegem contra ameaças, incluindo ameaças à identidade do telefone e aos dados. Esses recursos estabelecem e mantêm fluxos de comunicação autenticados entre o telefone e o Cisco Unified Communications Manager servidor e garantem que o telefone use somente arquivos assinados digitalmente.

Cisco Unified Communications ManagerA versão 8.5 (1) e posterior inclui Segurança por padrão, que fornece os seguintes recursos de segurança para telefones IP Cisco sem executar o cliente CTL:

• Assinatura dos arquivos de configuração do telefone

• Criptografia do arquivo de configuração do telefone

• HTTPS com Tomcat e outros serviços da web

A implementação da segurança no Cisco Unified Communications Manager sistema evita o roubo de identidade do telefone e do Cisco Unified Communications Manager servidor, evita a adulteração de dados e evita a sinalização de chamadas e a adulteração do fluxo de mídia.

Para aliviar essas ameaças, a rede de telefonia IP da Cisco estabelece e mantém fluxos de comunicação seguros (criptografados) entre um telefone e o servidor, assina digitalmente os arquivos antes de serem transferidos para um telefone e criptografa fluxos de mídia e sinalização de chamadas entre os Cisco IP Phones.

Um Certificado Localmente Significativo (LSC) é instalado nos telefones depois que você executa as tarefas necessárias associadas à Função de Certificate Authority Proxy (CAPF). Você pode usar Cisco Unified Communications Manager Administration para configurar um LSC, conforme descrito no Guia Cisco Unified Communications Manager de Segurança. Como alternativa, você pode iniciar a instalação de um LSC no menu Segurança do telefone. Esse menu também permite atualizar ou remover um LSC.

Os telefones usam o perfil de segurança do telefone, que define se o dispositivo não é seguro ou não. Para obter informações sobre como aplicar o perfil de segurança ao telefone, consulte a documentação de sua Cisco Unified Communications Manager versão específica.

Se você definir as configurações relacionadas à segurança emCisco Unified Communications Manager Administration, o arquivo de configuração do telefone conterá informações confidenciais. Para garantir a privacidade de um arquivo de configuração, você deve configurá-lo para criptografia. Para obter informações detalhadas, consulte a documentação de sua Cisco Unified Communications Manager versão específica.

A tabela a seguir fornece uma visão geral dos recursos de segurança suportados pelos telefones . Para obter mais informações, consulte a documentação de sua Cisco Unified Communications Manager versão específica.

A tabela a seguir contém as mensagens e o significado do alarme de atualização da Lista de Confiança. Para obter mais informações, consulte a Cisco Unified Communications Manager documentação.

Quando a segurança é implementada em um telefone, você pode identificar chamadas telefônicas seguras por meio de ícones na tela do telefone. Você também pode determinar se o telefone conectado está seguro e protegido se um tom de segurança for reproduzido no início da chamada.

Em uma chamada segura, todos os fluxos de mídia e sinalização de chamadas são criptografados. Uma chamada segura oferece um alto nível de segurança, proporcionando integridade e privacidade à chamada. Quando uma chamada em andamento é criptografada, você pode ver o ícone seguro na linha.

EmCisco Unified Communications Manager, os telefones configurados como seguros (criptografados e confiáveis) podem receber um status protegido. Uma vez protegidos, esses dispositivos podem ser configurados para reproduzir um tom de segurança no início de cada chamada.

• Dispositivo protegido:

  Para alterar o status de um telefone seguro para protegido:

  1. EmCisco Unified Communications Manager Administration, selecione Dispositivo > Telefone.
  2. Localize o telefone que você configurará.
  3. Na janela Configuração do telefone, marque a caixa de seleção Dispositivo protegido.
  4. Clique em Salvar.

• Toque o tom de indicação segura:

  Para permitir que o telefone protegido reproduza um tom de indicação seguro ou não seguro:

  1. EmCisco Unified Communications Manager Administration, selecione Sistema > Parâmetros de serviço.
  2. Selecione o servidor e, em seguida, o Cisco CallManager serviço.
  3. Na área Parâmetros de todo o cluster (Recurso - Tom seguro), defina a configuração Tom de reprodução para indicar status de chamada segura/não segura como Verdadeiro.
  4. Clique em Salvar.

Como todos os dispositivos WLAN que estão dentro do alcance podem receber todos os outros tráfegos de WLAN, proteger as comunicações de voz é fundamental nas WLANs. Para garantir que intrusos não manipulem nem interceptem o tráfego de voz, a arquitetura Cisco SAFE Security suporta o telefone. Para obter mais informações sobre segurança em redes, consulte http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

A solução de telefonia IP sem fio da Cisco fornece segurança de rede sem fio que evita logins não autorizados e comunicações comprometidas usando os seguintes métodos de autenticação suportados pelo telefone.

• Autenticação aberta: qualquer dispositivo sem fio pode solicitar autenticação em um sistema aberto. O AP que recebe a solicitação pode conceder autenticação a qualquer solicitante ou somente aos solicitantes encontrados em uma lista de usuários. A comunicação entre o dispositivo sem fio e o ponto de acesso (AP) pode não ser criptografada.

• Protocolo de Autenticação Extensível - Autenticação flexível via túnel seguro (EAP-FAST): Essa arquitetura de segurança cliente-servidor criptografa transações EAP em um túnel TLS (Transport Level Security) entre o AP e o servidor RADIUS, como o Identity Services Engine (ISE).

  O túnel TLS usa Credenciais de Acesso Protegido (PACs) para autenticação entre o cliente (telefone) e o servidor RADIUS. O servidor envia uma ID de autoridade (AID) ao cliente (telefone), que por sua vez seleciona a PAC apropriada. O cliente (telefone) retorna um PAC-opaco ao servidor RADIUS. O servidor descriptografa a PAC com a chave primária. Ambos os endpoints agora contêm a chave PAC e um túnel TLS é criado. O EAP-FAST suporta o provisionamento automático de PAC, mas você deve habilitá-lo no servidor RADIUS.

  No ISE, por padrão, o PAC expira em uma semana. Se o telefone tiver uma PAC expirada, a autenticação com o servidor RADIUS demorará mais enquanto o telefone recebe uma nova PAC. Para evitar atrasos no provisionamento da PAC, defina o período de expiração da PAC para 90 dias ou mais no servidor ISE ou RADIUS.

• Autenticação EAP-TLS (Extensible Authentication Protocol-Transport Layer Security): o EAP-TLS exige um certificado de cliente para autenticação e acesso à rede. Para EAP-TLS sem fio, o certificado do cliente pode ser MIC, LSC ou certificado instalado pelo usuário.

• Protocolo de Autenticação Extensível Protegido (PEAP): esquema de autenticação mútua baseado em senha proprietário da Cisco entre o cliente (telefone) e um servidor RADIUS. O telefone pode usar o PEAP para autenticação com a rede sem fio. Os métodos de autenticação PEAP-MSCHAPV2 e PEAP-GTC são suportados.

• Chave pré-compartilhada (PSK): o telefone suporta os formatos ASCII e hexadecimal (HEX). Você deve usar esses formatos ao configurar uma chave pré-compartilhada WPA2/SAE.

  ASCII: Uma cadeia de caracteres ASCII com 8 a 63 caracteres de comprimento (0-9, a-z minúscula, A-Z maiúscula e caracteres especiais). Por exemplo, GREG123567@9ZX&W.

  HEX: Uma cadeia de caracteres hexadecimais com 64 dígitos hexadecimais de comprimento (0-9, a-f ou A-F).

Os esquemas de autenticação a seguir usam o servidor RADIUS para gerenciar as chaves de autenticação:

• WPA2/WPA3: usa as informações do servidor RADIUS para gerar chaves exclusivas para autenticação. Como essas chaves são geradas no servidor RADIUS centralizado, o WPA2/WPA3 fornece mais segurança do que as chaves pré-compartilhadas WPA armazenadas no AP e no telefone.

• Roaming rápido e seguro: usa as informações do servidor RADIUS e de um servidor de domínio sem fio (WDS) para gerenciar e autenticar chaves. O WDS cria um cache de credenciais de segurança para dispositivos clientes habilitados para FT para uma reautenticação rápida e segura.

Com o WPA2/WPA3, as chaves de criptografia não são inseridas no telefone, mas são derivadas automaticamente entre o AP e o telefone. Mas o nome de usuário e a senha do EAP usados para autenticação devem ser inseridos em cada telefone.

Para ajudar a proteger o tráfego de voz pelo link sem fio, o telefone suporta criptografia baseada em AES para autenticação WPA2/WPA3. O AES é uma cifra de bloco simétrica padronizada pelo NIST. O AES usa um tamanho de bloco fixo de 128 bits e suporta tamanhos de chave de 128 bits, 192 bits e 256 bits. Em redes Wi-Fi, o AES é usado por pacotes de criptografia, como CCMP ou GCMP, enquanto a autenticação é fornecida separadamente pelo PSK, SAE ou 802.1X/EAP, dependendo do modo de segurança da WLAN configurado. O conjunto de cifras suportado e o tamanho da chave dependem do modelo do telefone e da configuração da WLAN.

Quando o telefone usa criptografia AES, tanto os pacotes SIP de sinalização quanto os pacotes do Protocolo de Transporte em Tempo Real (RTP) de voz são criptografados entre o AP e o telefone.

Os esquemas de autenticação e criptografia são configurados na LAN sem fio. As VLANs são configuradas na rede e nos APs e especificam diferentes combinações de autenticação e criptografia. Um SSID se associa a uma VLAN e ao esquema específico de autenticação e criptografia. Para que os dispositivos cliente sem fio sejam autenticados com êxito, você deve configurar os mesmos SSIDs com seus esquemas de autenticação e criptografia nos APs e no telefone.

Alguns esquemas de autenticação exigem tipos específicos de criptografia.

Os esquemas de autenticação e criptografia na tabela a seguir mostram as opções de configuração de rede para o Cisco Wireless Phone 9821 que correspondem à configuração do AP.

O Cisco Wireless Phone 9821 suporta autenticação 802.1X para redes com fio. Isso geralmente é usado durante o provisionamento automático quando o telefone está conectado ao carregador de mesa por meio de um adaptador USB para Ethernet compatível.

O suporte à autenticação 802.1X em redes com fio requer vários componentes, como segue:

• Telefone IP Cisco: O telefone inicia a solicitação para acessar a rede. Os telefones IP Cisco contêm um suplicante 802.1X. Esse suplicante permite que os administradores de rede controlem a conectividade dos telefones IP às portas do switch LAN. A versão atual do suplicante 802.1X do telefone usa as opções EAP-FAST e EAP-TLS para autenticação de rede.

• Servidor de autenticação: O servidor de autenticação e o switch devem ser configurados com um segredo compartilhado RADIUS.

• Switch: O switch deve suportar 802.1X, para que possa atuar como autenticador e retransmitir as mensagens EAP entre o telefone e o servidor de autenticação. Após a conclusão da troca, o switch concede ou nega o acesso telefônico à rede.

Os Cisco IP Phones e os switches Cisco Catalyst tradicionalmente usam Cisco Discovery Protocol (CDP) para identificar uns aos outros e determinar parâmetros como alocação de VLAN e requisitos de energia em linha.

Você deve executar as seguintes ações para configurar o 802.1X.

• Configurar o desvio de VLAN de voz CDP/LLDP.

• Configure o servidor de autenticação e o switch antes de ativar a autenticação 802.1X para redes com fio no telefone.

• Configurar VLAN de voz: Como o padrão 802.1X não leva em conta as VLANs, você deve definir essa configuração com base no suporte do switch.

  • Habilitado: se você estiver usando um switch que suporta autenticação de vários domínios, você pode configurá-lo para usar a VLAN de voz.
  • Desativado: se o switch não oferecer suporte à autenticação de vários domínios, desative a VLAN de voz e considere atribuir a porta à VLAN nativa.

• O Cisco Wireless Phone 9821 tem um prefixo diferente no PID daquele dos outros telefones Cisco. Para permitir que seu telefone passe pela autenticação 802.1X, defina o parâmetro Radius·User-Name para incluir seu Cisco Wireless Phone 9821.

  Por exemplo, o PID do Cisco Wireless Phone 9821 é WP-9821. Você pode definir Radius·Nome de usuário para Start with WPou Contains WPem ambas as seções a seguir:

  • Política > Condições > Condições da Biblioteca

  • Política > Conjuntos de políticas > Política de autorização > Regra de autorização 1