Mulțumim pentru feedback.

Funcțiile de securitate protejează împotriva amenințărilor, inclusiv amenințărilor la adresa identității telefonului și a datelor. Aceste caracteristici stabilesc și mențin fluxuri de comunicare autentificate între telefon și Cisco Unified Communications Manager server și asigură că telefonul utilizează numai fișiere semnate digital.

Cisco Unified Communications ManagerVersiunea 8.5 (1) și versiunile ulterioare includ Securitate în mod implicit, care oferă următoarele caracteristici de securitate pentru telefoanele IP Cisco fără a rula clientul CTL:

• Semnarea fișierelor de configurare a telefonului

• Criptarea fișierelor de configurare a telefonului

• HTTPS cu Tomcat și alte servicii web

Implementarea securității în Cisco Unified Communications Manager sistem previne furtul de identitate al telefonului și Cisco Unified Communications Manager serverului, previne manipularea datelor și previne semnalizarea apelurilor și manipularea fluxului media.

Pentru a atenua aceste amenințări, rețeaua de telefonie IP Cisco stabilește și menține fluxuri de comunicare securizate (criptate) între un telefon și server, semnează digital fișierele înainte de a fi transferate pe un telefon și criptează fluxurile media și semnalizarea apelurilor între telefoanele IP Cisco.

Un certificat local semnificativ (LSC) se instalează pe telefoane după ce efectuați sarcinile necesare asociate funcției Certificate Authority proxy (CAPF). Puteți utiliza Cisco Unified Communications Manager Administration pentru a configura un LSC, așa cum este descris în Ghi dul de Cisco Unified Communications Manager securitate. Alternativ, puteți iniția instalarea unui LSC din meniul Securitate de pe telefon. Acest meniu vă permite, de asemenea, să actualizați sau să eliminați un LSC.

Telefoanele utilizează profilul de securitate al telefonului, care definește dacă dispozitivul este nesecurizat sau securizat. Pentru informații despre aplicarea profilului de securitate la telefon, consultați documentația pentru versiunea dvs. particul Cisco Unified Communications Manager ară.

Dacă configurați setările legate de securitate înCisco Unified Communications Manager Administration, fișierul de configurare a telefonului conține informații sensibile. Pentru a asigura confidențialitatea unui fișier de configurare, trebuie să îl configurați pentru criptare. Pentru informații detaliate, consultați documentația pentru versiunea dvs. particul Cisco Unified Communications Manager ară.

Următorul tabel oferă o prezentare generală a caracteristicilor de securitate pe care telefoanele le acceptă. Pentru mai multe informații, consultați documentația pentru versiunea dvs. particul Cisco Unified Communications Manager ară.

Următorul tabel conține mesajele de alarmă și semnificația actualizării Listei de încredere. Pentru mai multe informații, consultați Cisco Unified Communications Manager documentația.

Când securitatea este implementată pentru un telefon, puteți identifica apelurile telefonice sigure prin pictograme de pe ecranul telefonului. De asemenea, puteți determina dacă telefonul conectat este securizat și protejat dacă se redă un ton de securitate la începutul apelului.

Într-un apel securizat, toate semnalele de apeluri și fluxurile media sunt criptate. Un apel securizat oferă un nivel ridicat de securitate, oferind integritate și confidențialitate apelului. Când un apel în curs este criptat, puteți vedea pictograma secur izată pe linie.

ÎnCisco Unified Communications Manager, telefoanelor configurate ca sigure (criptate și de încredere) li se poate atribui o stare protejată. Odată protejate, aceste dispozitive pot fi configurate pentru a reda un ton de securitate la începutul fiecărui apel.

• Dispozitiv protejat:

  Pentru a schimba starea unui telefon securizat la protejat:

  1. ÎnCisco Unified Communications Manager Administration, selectați Dis pozitiv > Telefon.
  2. Găsiți telefonul pe care îl veți configura.
  3. În fereastra Configurare telefon, bifați caseta de sel ectare Dispozitiv protejat.
  4. Faceți clic pe Sal vare.

• Redați tonul de indicație securizată:

  Pentru a permite telefonului protejat să redea un ton de indicație securizat sau nesecurizat:

  1. ÎnCisco Unified Communications Manager Administration, selectați Sistem > Parametri de serviciu.
  2. Selectați serverul și apoi Cisco CallManager serviciul.
  3. În zona Parametri la nivel de grup (caracteristică - ton securizat), setați setarea Ton de redare pentru Indicați starea apelului securizat/nesecurizat la True.
  4. Faceți clic pe Sal vare.

Deoarece toate dispozitivele WLAN care se află în raza de acțiune pot primi tot celălalt trafic WLAN, securizarea comunicațiilor vocale este esențială în rețelele WLAN. Pentru a se asigura că intrușii nu manipulează și nu interceptează traficul vocal, arhitectura Cisco SAFE Security acceptă telefonul. Pentru mai multe informații despre securitatea în rețele, consultați http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Soluția Cisco Wireless IP telefonie oferă securitate a rețelei wireless care previne conectarea neautorizată și comunicațiile compromise utilizând următoarele metode de autentificare pe care telefonul le acceptă.

• Autentificare deschisă: Orice dispozitiv wireless poate solicita autentificarea într-un sistem deschis. AP care primește solicitarea poate acorda autentificare oricărui solicitant sau numai solicitanților care se găsesc pe o listă de utilizatori. Comunicarea dintre dispozitivul wireless și punctul de acces (AP) ar putea fi necriptată.

• Protocol de autentificare extensibil-Autentificare flexibilă prin autentificare Secure Tuneling (EAP-FAST): Această arhitectură de securitate client-server criptează tranzacțiile EAP într-un tunel de securitate la nivel de transport (TLS) între AP și serverul RADIUS, cum ar fi Identity Services Engine (ISE).

  Tunelul TLS utilizează acreditări de acces protejate (PAC) pentru autentificarea între client (telefon) și serverul RADIUS. Serverul trimite un ID de autoritate (AID) clientului (telefon), care la rândul său selectează PAC corespunzător. Clientul (telefonul) returnează un PAC opac serverului RADIUS. Serverul decriptează PAC cu cheia primară. Ambele puncte finale conțin acum cheia PAC și este creat un tunel TLS. EAP-FAST acceptă provizionarea automată PAC, dar trebuie să o activați pe serverul RADIUS.

  În ISE, în mod implicit, PAC expiră într-o săptămână. Dacă telefonul are un PAC expirat, autentificarea cu serverul RADIUS durează mai mult în timp ce telefonul primește un nou PAC. Pentru a evita întârzierile de furnizare PAC, setați perioada de expirare PAC la 90 de zile sau mai mult pe serverul ISE sau RADIUS.

• Protocol de autentificare extensibil-Transport Layer Security (EAP-TLS) Autentificare: EAP-TLS necesită un certificat client pentru autentificare și acces la rețea. Pentru EAP-TLS fără fir, certificatul client poate fi MIC, LSC sau certificat instalat de utilizator.

• Protocol de autentificare extensibilă protejat (PEAP): schemă de autentificare reciprocă bazată pe parolă proprietară Cisco între client (telefon) și un server RADIUS. Telefonul poate utiliza PEAP pentru autentificarea cu rețeaua wireless. Sunt acceptate atât metodele de autentificare PEAP-MSCHAPV2, cât și PEAP-GTC.

• Cheie pre-partajată (PSK): Telef onul acceptă formate ASCII și hexazecimale (HEX). Trebuie să utilizați aceste formate atunci când configurați o cheie pre-partajată WPA2/SAE.

  ASCII: Un șir de caractere ASCII cu 8 până la 63 de caractere în lungime (0-9, litere mici a-z, majus cule A-Z și caractere speciale). De exemplu, GREG123567@9ZX&W.

  HEX: Un șir de caractere hexagonale cu 64 de cifre hexagonale în lungime (0-9, a-f sau A-F).

Următoarele scheme de autentificare utilizează serverul RADIUS pentru a gestiona cheile de autentificare:

• WPA2/WPA3: Utilizează informațiile serverului RADIUS pentru a genera chei unice pentru autentificare. Deoarece aceste chei sunt generate la serverul RADIUS centralizat, WPA2/WPA3 oferă mai multă securitate decât cheile prepartajate WPA care sunt stocate pe AP și telefon.

• Roaming securizat rapid: Utilizează serverul RADIUS și informațiile despre un server de domeniu wireless (WDS) pentru a gestiona și autentifica cheile. WDS creează o memorie cache de acreditări de securitate pentru dispozitivele client compatibile FT pentru o reautentificare rapidă și sigură.

Cu WPA2/WPA3, cheile de criptare nu sunt introduse pe telefon, ci sunt derivate automat între AP și telefon. Dar numele de utilizator și parola EAP care sunt utilizate pentru autentificare trebuie introduse pe fiecare telefon.

Pentru a ajuta la protejarea traficului vocal prin legătura wireless, telefonul acceptă criptarea bazată pe AES pentru autentificarea WPA2/WPA3. AES este un cifru bloc simetric standardizat de NIST. AES utilizează o dimensiune fixă a blocului pe 128 de biți și acceptă dimensiuni cheie de 128 biți, 192 biți și 256 biți. În rețelele Wi-Fi, AES este utilizat de suitele de cifrare, cum ar fi CCMP sau GCMP, în timp ce autentificarea este furnizată separat de PSK, SAE sau 802.1X/EAP, în funcție de modul de securitate WLAN configurat. Suita de cifrare acceptată și dimensiunea cheii depind de modelul telefonului și de configurația WLAN.

Când telefonul utilizează criptarea AES, atât pachetele SIP de semnalizare, cât și pachetele vocale în timp real transport protocol (RTP) sunt criptate între AP și telefon.

Schemele de autentificare și criptare sunt configurate în rețeaua LAN wireless. VLAN-urile sunt configurate în rețea și pe AP-uri și specifică diferite combinații de autentificare și criptare. Un SSID se asociază cu un VLAN și schema particulară de autentificare și criptare. Pentru ca dispozitivele client wireless să se autentifice cu succes, trebuie să configurați aceleași SSID-uri cu schemele lor de autentificare și criptare pe AP-uri și pe telefon.

Unele scheme de autentificare necesită tipuri specifice de criptare.

Schemele de autentificare și criptare din tabelul următor prezintă opțiunile de configurare a rețelei pentru Cisco Wireless Phone 9821 care corespunde configurației AP.

Cisco Wireless Phone 9821 acceptă autentificarea 802.1X pentru rețelele cu fir. Acest lucru este utilizat de obicei în timpul furnizării automate atunci când telefonul este conectat la încărcătorul desktop printr-un adaptor USB-to-Ethernet acceptat.

Suportul pentru autentificarea 802.1X în rețelele cu fir necesită mai multe componente după cum urmează:

• Cisco IP Phone: Telefonul inițiază solicitarea de acces la rețea. Telefoanele IP Cisco conțin un supplicant 802.1X. Acest supplicant permite administratorilor de rețea să controleze conectivitatea telefoanelor IP la porturile comutatorului LAN. Versiunea curentă a telefonului 802.1X supplicant utilizează opțiunile EAP-FAST și EAP-TLS pentru autentificarea în rețea.

• Server de autentificare: Serverul de autentificare și comutatorul trebuie să fie configurate cu un secret partajat RADIUS.

• Comutator: Comutatorul trebuie să accepte 802.1X, astfel încât să poată acționa ca autentificator și să transmită mesaj ele EAP între telefon și serverul de autentificare. După finalizarea schimbului, comutatorul acordă sau refuză accesul telefonului la rețea.

Telefoanele IP Cisco și switch-urile Cisco Catalyst folosesc în mod tradițional Cisco Discovery Protocol (CDP) pentru a se identifica reciproc și a determina parametri precum alocarea VLAN și cerințele de alimentare în linie.

Trebuie să efectuați următoarele acțiuni pentru a configura 802.1X.

• Configurați ocolirea VLAN vocală CDP/LLDP.

• Configurați serverul de autentificare și comutatorul înainte de a activa autentificarea 802.1X pentru rețelele cu fir de pe telefon.

• Configurați VLAN vocal: Deoarece standardul 802.1X nu ține cont de VLAN-urile, ar trebui să configurați această setare pe baza suportului comutatorului.

  • Activat: Dacă utilizați un comutator care acceptă autentificarea cu mai multe domenii, îl puteți configura pentru a utiliza VLAN-ul vocal.
  • Dezactivat: Dacă comutatorul nu acceptă autentificarea cu mai multe domenii, dezactivați VLAN-ul vocal și luați în considerare atribuirea portului la VLAN nativ.

• Cisco Wireless Phone 9821 are un prefix diferit în PID de cel pentru celelalte telefoane Cisco. Pentru a permite telefonului să treacă autentificarea 802.1X, setați parametrul Radius·Nume utilizator pentru a include telefonul wireless Cisco 9821.

  De exemplu, PID al telefonului wireless Cisco 9821 este WP-9821. Puteţi seta Radius·Nume utilizator la Start with WPsau Contains WPîn ambele secţiuni următoare:

  • Politică > Condi ţii > Condi ţii de bibliotecă

  • Politică > Seturi de politici > Poli tică de autorizare > Regula de autorizare 1