Obrigado pelos seus comentários.

Os recursos de segurança protegem contra ameaças, incluindo ameaças à identidade do telefone e aos dados. Esses recursos estabelecem e mantêm fluxos de comunicação autenticados entre o telefone e o servidor Cisco Unified Communications Manager, e garantem que o telefone use apenas arquivos com assinatura digital.

O Cisco Unified Communications Manager versão 8.5(1) e posteriores incluem segurança por padrão, que fornece os seguintes recursos de segurança para telefones IP Cisco sem a necessidade de executar o cliente CTL:

• Assinar os arquivos de configuração do telefone

• criptografia de arquivo de configuração do telefone

• HTTPS com Tomcat e outros serviços web

A implementação de segurança no sistema Cisco Unified Communications Manager impede o roubo de identidade do telefone e do servidor Cisco Unified Communications Manager, previne a adulteração de dados e impede a manipulação da sinalização de chamadas e do fluxo de mídia.

Para atenuar essas ameaças, a rede de telefonia IP da Cisco estabelece e mantém fluxos de comunicação seguros (criptografados) entre um telefone e o servidor, assina digitalmente os arquivos antes de serem transferidos para um telefone e criptografa os fluxos de mídia e a sinalização de chamadas entre os telefones IP da Cisco.

Um Certificado Localmente Significativo (LSC, na sigla em inglês) é instalado nos telefones após a execução das tarefas necessárias associadas à Função Proxy da Autoridade de Certificação (CAPF, na sigla em inglês). Você pode usar o Cisco Unified Communications Manager Administration para configurar um LSC, conforme descrito no Guia de Segurança do Cisco Unified Communications Manager. Alternativamente, você pode iniciar a instalação de um LSC a partir do menu Segurança no telefone. Este menu também permite atualizar ou remover um LSC.

Os telefones utilizam o perfil de segurança do telefone, que define se o dispositivo é seguro ou não seguro. Para obter informações sobre como aplicar o perfil de segurança ao telefone, consulte a documentação da sua versão específica do Cisco Unified Communications Manager.

Se você configurar as definições relacionadas à segurança no Cisco Unified Communications Manager Administration, o arquivo de configuração do telefone conterá informações confidenciais. Para garantir a privacidade de um arquivo de configuração, você deve configurá-lo para criptografia. Para obter informações detalhadas, consulte a documentação da sua versão específica do Cisco Unified Communications Manager.

A tabela a seguir fornece uma visão geral dos recursos de segurança compatíveis com os telefones. Para obter mais informações, consulte a documentação da sua versão específica do Cisco Unified Communications Manager.

A tabela a seguir contém as mensagens de alarme de atualização da Lista de Confiança e seus significados. Para obter mais informações, consulte a documentação do Cisco Unified Communications Manager.

Quando a segurança é implementada em um telefone, você pode identificar chamadas telefônicas seguras por meio de ícones na tela do aparelho. Você também pode determinar se o telefone conectado está seguro e protegido se um tom de segurança for reproduzido no início da chamada.

Em uma chamada segura, todos os sinais de chamada e fluxos de mídia são criptografados. Uma chamada segura oferece um alto nível de segurança, proporcionando integridade e privacidade à chamada. Quando uma chamada em andamento está criptografada, você pode ver o ícone seguro na linha.

No Cisco Unified Communications Manager, os telefones configurados como seguros (criptografados e confiáveis) podem receber um status de protegido. Uma vez protegidos, esses dispositivos podem ser configurados para reproduzir um tom de segurança no início de cada chamada.

• Dispositivo protegido:

  Para alterar o status de um telefone seguro para protegido:

  1. Na Administração do Cisco Unified Communications Manager, selecione Dispositivo > Telefone.
  2. Localize o telefone que você irá configurar.
  3. Na janela Configuração do telefone, selecione a caixa de seleção Dispositivo protegido.
  4. Clique em Salvar.

• Tom de indicação de segurança de reprodução:

  Para permitir que o telefone protegido reproduza um tom de indicação de segurança ou não segurança:

  1. Na Administração do Cisco Unified Communications Manager, selecione Sistema > Parâmetros de serviço.
  2. Selecione o servidor e, em seguida, o serviço Cisco CallManager.
  3. Na área Parâmetros de todo o cluster (Recurso - Tom de segurança), defina o Toque de reprodução para Indicar Secure/Non-Secure Status da chamada configuração para Verdadeiro.
  4. Clique em Salvar.

Como todos os dispositivos WLAN que estão dentro do alcance podem receber todo o tráfego WLAN dos outros dispositivos, a segurança das comunicações de voz é fundamental em redes WLAN. Para garantir que invasores não manipulem nem interceptem o tráfego de voz, a arquitetura de segurança Cisco SAFE oferece suporte ao telefone. Para obter mais informações sobre segurança em redes, consulte http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

A solução de telefonia IP sem fio da Cisco oferece segurança de rede sem fio que impede logins não autorizados e comunicações comprometidas, utilizando os seguintes métodos de autenticação compatíveis com o telefone.

• Autenticação Aberta: Em um sistema aberto, qualquer dispositivo sem fio pode solicitar autenticação. O ponto de acesso (AP) que recebe a solicitação pode conceder autenticação a qualquer solicitante ou somente aos solicitantes que constam em uma lista de usuários. A comunicação entre o dispositivo sem fio e o ponto de acesso (AP) pode não ser criptografada.

• Autenticação por Protocolo de Autenticação Extensível - Autenticação Flexível via Tunelamento Seguro (EAP-FAST): Essa arquitetura de segurança cliente-servidor criptografa as transações EAP dentro de um túnel TLS (Transport Level Security) entre o ponto de acesso (AP) e o servidor RADIUS, como o Identity Services Engine (ISE).

  O túnel TLS utiliza Credenciais de Acesso Protegido (PACs) para autenticação entre o cliente (telefone) e o servidor RADIUS. O servidor envia um ID de Autoridade (AID) para o cliente (telefone), que por sua vez seleciona o PAC apropriado. O cliente (telefone) retorna um PAC-Opaque para o servidor RADIUS. O servidor descriptografa o PAC com a chave primária. Agora, ambos os pontos de extremidade contêm a chave PAC e um túnel TLS foi criado. O EAP-FAST suporta o provisionamento automático de PAC, mas você precisa habilitá-lo no servidor RADIUS.

  No ISE, por padrão, o PAC expira em uma semana. Se o telefone tiver um PAC expirado, a autenticação com o servidor RADIUS demorará mais tempo enquanto o telefone obtém um novo PAC. Para evitar atrasos no provisionamento do PAC, defina o período de expiração do PAC para 90 dias ou mais no servidor ISE ou RADIUS.

• Autenticação EAP-TLS (Extensible Authentication Protocol-Transport Layer Security): O EAP-TLS requer um certificado de cliente para autenticação e acesso à rede. Para EAP-TLS sem fio, o certificado do cliente pode ser MIC, LSC ou um certificado instalado pelo usuário.

• Protocolo de Autenticação Extensível Protegido (PEAP): Esquema de autenticação mútua baseado em senha, proprietário da Cisco, entre o cliente (telefone) e um servidor RADIUS. O telefone pode usar PEAP para autenticação na rede sem fio. Os métodos de autenticação PEAP-MSCHAPV2 e PEAP-GTC são suportados.

• Chave pré-compartilhada (PSK): O telefone suporta os formatos ASCII e hexadecimal (HEX). Você deve usar esses formatos ao configurar um WPA2/SAE Chave pré-compartilhada.

  ASCII: Uma sequência de caracteres ASCII com 8 a 63 caracteres de comprimento (0-9, letras minúsculas az, letras maiúsculas AZ e caracteres especiais). Por exemplo, GREG123567@9ZX&W.

  HEX: Uma sequência de caracteres hexadecimais com 64 dígitos hexadecimais de comprimento (0-9, af ou AF).

Os seguintes esquemas de autenticação utilizam o servidor RADIUS para gerenciar as chaves de autenticação:

• WPA2/WPA3: Utiliza informações do servidor RADIUS para gerar chaves exclusivas para autenticação. Como essas chaves são geradas no servidor RADIUS centralizado, WPA2/WPA3 Oferece mais segurança do que as chaves pré-compartilhadas WPA armazenadas no ponto de acesso e no telefone.

• Roaming rápido e seguro: Utiliza informações do servidor RADIUS e do servidor de domínio sem fio (WDS) para gerenciar e autenticar chaves. O WDS cria um cache de credenciais de segurança para dispositivos cliente habilitados para FT, permitindo uma reautenticação rápida e segura.

Com WPA2/WPA3, As chaves de criptografia não são inseridas no telefone, mas são derivadas automaticamente entre o ponto de acesso e o telefone. No entanto, o nome de usuário e a senha do EAP usados para autenticação devem ser inseridos em cada telefone.

Para ajudar a proteger o tráfego de voz na conexão sem fio, o telefone oferece suporte à criptografia baseada em AES. WPA2/WPA3 autenticação. AES é uma cifra de bloco simétrica padronizada pelo NIST. O AES usa um tamanho de bloco fixo de 128 bits e suporta tamanhos de chave de 128 bits, 192 bits e 256 bits. Em redes Wi-Fi, o AES é usado por conjuntos de cifras como CCMP ou GCMP, enquanto a autenticação é fornecida separadamente por PSK, SAE ou 802.1X/EAP, dependendo do modo de segurança WLAN configurado. O conjunto de cifras e o tamanho da chave suportados dependem do modelo do telefone e da configuração da WLAN.

Quando o telefone usa criptografia AES, tanto os pacotes de sinalização SIP quanto os pacotes de voz do Protocolo de Transporte em Tempo Real (RTP) são criptografados entre o ponto de acesso (AP) e o telefone.

Os esquemas de autenticação e criptografia são configurados na rede local sem fio (WLAN). As VLANs são configuradas na rede e nos pontos de acesso (APs) e especificam diferentes combinações de autenticação e criptografia. Um SSID está associado a uma VLAN e a um esquema específico de autenticação e criptografia. Para que os dispositivos clientes sem fio se autentiquem com sucesso, você deve configurar os mesmos SSIDs com seus respectivos esquemas de autenticação e criptografia nos pontos de acesso e no telefone.

Alguns sistemas de autenticação exigem tipos específicos de criptografia.

Os esquemas de autenticação e criptografia na tabela a seguir mostram as opções de configuração de rede para o Cisco Wireless Phone 9821 que correspondem à configuração de ponto de acesso (AP).

O telefone sem fio Cisco 9821 suporta autenticação 802.1X para redes com fio. Isso é normalmente usado durante o provisionamento automático quando o telefone está conectado ao carregador de mesa por meio de um adaptador USB para Ethernet compatível.