Mulțumim pentru feedback.

Funcțiile de securitate protejează împotriva amenințărilor, inclusiv amenințările la adresa identității telefonului și a datelor. Aceste funcții stabilesc și mențin fluxuri de comunicare autentificate între telefon și serverul Cisco Unified Communications Manager și asigură că telefonul utilizează doar fișiere semnate digital.

Cisco Unified Communications Manager versiunea 8.5(1) și versiunile ulterioare includ implicit Securitatea, care oferă următoarele funcții de securitate pentru telefoanele IP Cisco fără a rula clientul CTL:

• Semnarea fișierelor de configurare a telefonului

• Criptarea fișierului de configurare a telefonului

• HTTPS cu Tomcat și alte servicii web

Implementarea securității în sistemul Cisco Unified Communications Manager previne furtul de identitate al telefonului și al serverului Cisco Unified Communications Manager, previne manipularea datelor și previne manipularea semnalizării apelurilor și a fluxurilor media.

Pentru a atenua aceste amenințări, rețeaua de telefonie IP Cisco stabilește și menține fluxuri de comunicații securizate (criptate) între un telefon și server, semnează digital fișierele înainte de a fi transferate pe un telefon și criptează fluxurile media și semnalizarea apelurilor între telefoanele IP Cisco.

Un certificat local semnificativ (LSC) se instalează pe telefoane după ce efectuați sarcinile necesare asociate cu funcția proxy a autorității de certificare (CAPF). Puteți utiliza Cisco Unified Communications Manager Administration pentru a configura un LSC, așa cum este descris în Ghidul de securitate Cisco Unified Communications Manager. Alternativ, puteți iniția instalarea unui LSC din meniul Securitate de pe telefon. Acest meniu vă permite, de asemenea, să actualizați sau să eliminați un LSC.

Telefoanele utilizează profilul de securitate al telefonului, care definește dacă dispozitivul este securizat sau nesigur. Pentru informații despre aplicarea profilului de securitate la telefon, consultați documentația pentru versiunea dvs. de Cisco Unified Communications Manager.

Dacă configurați setări legate de securitate în Cisco Unified Communications Manager Administration, fișierul de configurare al telefonului conține informații sensibile. Pentru a asigura confidențialitatea unui fișier de configurare, trebuie să îl configurați pentru criptare. Pentru informații detaliate, consultați documentația pentru versiunea dvs. de Cisco Unified Communications Manager.

Următorul tabel oferă o prezentare generală a funcțiilor de securitate acceptate de telefoane. Pentru mai multe informații, consultați documentația pentru versiunea dvs. de Cisco Unified Communications Manager.

Următorul tabel conține mesajele de alarmă de actualizare a Listei de încredere și semnificația acestora. Pentru mai multe informații, consultați documentația Cisco Unified Communications Manager.

Când este implementată securitatea pentru un telefon, puteți identifica apelurile telefonice securizate prin pictogramele de pe ecranul telefonului. De asemenea, puteți determina dacă telefonul conectat este securizat și protejat dacă se aude un ton de securitate la începutul apelului.

Într-un apel securizat, toate semnalizările apelurilor și fluxurile media sunt criptate. Un apel securizat oferă un nivel ridicat de securitate, asigurând integritate și confidențialitate apelului. Când un apel în desfășurare este criptat, puteți vedea pictograma de securitate pe linie.

În Cisco Unified Communications Manager, telefoanelor configurate ca securizate (criptate și de încredere) li se poate atribui starea de protejat. Odată protejate, aceste dispozitive pot fi configurate să redea un ton de securitate la începutul fiecărui apel.

• Dispozitiv protejat:

  Pentru a schimba starea unui telefon securizat în protejat:

  1. În Administrarea Cisco Unified Communications Manager, selectați Dispozitiv > Telefon.
  2. Localizați telefonul pe care îl veți configura.
  3. În fereastra Configurare telefon, bifați caseta de selectare Dispozitiv protejat.
  4. Faceți clic pe Salvați.

• Redați tonul de indicare a securității:

  Pentru a activa telefonul protejat pentru a reda un ton de indicare securizat sau nesecurizat:

  1. În Administrarea Cisco Unified Communications Manager, selectați Sistem > Parametri serviciu.
  2. Selectați serverul și apoi serviciul Cisco CallManager.
  3. În zona Parametri la nivel de cluster (Funcție - Ton securizat), setați Ton de redare pentru a indica Secure/Non-Secure Setarea Starii Apelului la Adevărat.
  4. Faceți clic pe Salvați.

Deoarece toate dispozitivele WLAN aflate în raza de acțiune pot recepționa tot restul traficului WLAN, securizarea comunicațiilor vocale este esențială în rețelele WLAN. Pentru a se asigura că intrușii nu manipulează și nu interceptează traficul vocal, arhitectura de securitate Cisco SAFE este compatibilă cu telefonul. Pentru mai multe informații despre securitatea în rețele, consultați http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Soluția de telefonie IP wireless Cisco oferă securitate a rețelei wireless care previne conectările neautorizate și comunicațiile compromise, utilizând următoarele metode de autentificare acceptate de telefon.

• Autentificare deschisă: Orice dispozitiv wireless poate solicita autentificare într-un sistem deschis. Punctul de acces (AP) care primește cererea poate acorda autentificarea oricărui solicitant sau doar solicitanților care se găsesc pe o listă de utilizatori. Comunicarea dintre dispozitivul wireless și punctul de acces (AP) ar putea fi necriptată.

• Protocol de autentificare extensibil - autentificare flexibilă prin tunelare securizată (EAP-FAST): Această arhitectură de securitate client-server criptează tranzacțiile EAP într-un tunel TLS (Transport Level Security) între punctul de acces și serverul RADIUS, cum ar fi Identity Services Engine (ISE).

  Tunelul TLS utilizează acreditări de acces protejat (PAC) pentru autentificarea dintre client (telefon) și serverul RADIUS. Serverul trimite un ID de autoritate (AID) clientului (telefonului), care la rândul său selectează PAC-ul corespunzător. Clientul (telefonul) returnează un mesaj PAC-Opaque serverului RADIUS. Serverul decriptează PAC-ul cu cheia primară. Ambele puncte finale conțin acum cheia PAC și este creat un tunel TLS. EAP-FAST acceptă furnizarea automată a PAC, dar trebuie să o activați pe serverul RADIUS.

  În ISE, în mod implicit, PAC-ul expiră peste o săptămână. Dacă telefonul are un PAC expirat, autentificarea cu serverul RADIUS durează mai mult timp cât telefonul primește un nou PAC. Pentru a evita întârzierile legate de furnizarea PAC-ului, setați perioada de expirare a PAC-ului la 90 de zile sau mai mult pe serverul ISE sau RADIUS.

• Autentificare prin Protocolul de autentificare extensibil - Securitatea nivelului de transport (EAP-TLS): EAP-TLS necesită un certificat client pentru autentificare și acces la rețea. Pentru EAP-TLS wireless, certificatul client poate fi MIC, LSC sau un certificat instalat de utilizator.

• Protocol de autentificare extensibilă protejată (PEAP): Schemă de autentificare reciprocă bazată pe parolă, proprietară Cisco, între client (telefon) și un server RADIUS. Telefonul poate utiliza PEAP pentru autentificarea cu rețeaua wireless. Sunt acceptate atât metodele de autentificare PEAP-MSCHAPV2, cât și PEAP-GTC.

• Cheie pre-partajată (PSK): Telefonul acceptă formate ASCII și hexazecimal (HEX). Trebuie să utilizați aceste formate atunci când configurați un WPA2/SAE Cheie pre-partajată.

  ASCII: Un șir de caractere ASCII cu o lungime de 8 până la 63 de caractere (0-9, az minuscule, AZ majuscule și caractere speciale). De exemplu, GREG123567@9ZX&W.

  HEX: Un șir de caractere hexadecimale cu o lungime de 64 de cifre hexadecimale (0-9, af sau AF).

Următoarele scheme de autentificare utilizează serverul RADIUS pentru a gestiona cheile de autentificare:

• WPA2/WPA3: Folosește informațiile serverului RADIUS pentru a genera chei unice pentru autentificare. Deoarece aceste chei sunt generate la serverul RADIUS centralizat, WPA2/WPA3 oferă mai multă securitate decât cheile WPA prepartajate care sunt stocate pe punctul de acces și pe telefon.

• Roaming rapid și sigur: Folosește informațiile unui server RADIUS și ale unui server de domeniu wireless (WDS) pentru a gestiona și autentifica cheile. WDS creează o memorie cache cu acreditări de securitate pentru dispozitivele client compatibile cu FT, pentru o reautentificare rapidă și sigură.

Cu WPA2/WPA3, Cheile de criptare nu sunt introduse în telefon, ci sunt derivate automat între punct de acces și telefon. Însă numele de utilizator și parola EAP utilizate pentru autentificare trebuie introduse pe fiecare telefon.

Pentru a ajuta la protejarea traficului vocal prin legătura wireless, telefonul acceptă criptarea bazată pe AES pentru WPA2/WPA3 autentificare. AES este un cifru bloc simetric standardizat de NIST. AES utilizează o dimensiune fixă a blocului de 128 de biți și acceptă dimensiuni ale cheilor de 128 de biți, 192 de biți și 256 de biți. În rețelele Wi-Fi, AES este utilizat de suite de cifrare precum CCMP sau GCMP, în timp ce autentificarea este asigurată separat de PSK, SAE sau 802.1X/EAP, în funcție de modul de securitate WLAN configurat. Suita de cifruri acceptată și dimensiunea cheii depind de modelul telefonului și de configurația WLAN.

Când telefonul utilizează criptarea AES, atât pachetele SIP de semnalizare, cât și pachetele vocale Real-Time Transport Protocol (RTP) sunt criptate între punct de acces și telefon.

Schemele de autentificare și criptare sunt configurate în cadrul rețelei locale fără fir. Rețelele VLAN sunt configurate în rețea și pe punctele de acces și specifică diferite combinații de autentificare și criptare. Un SSID se asociază cu un VLAN și cu schema specifică de autentificare și criptare. Pentru ca dispozitivele client wireless să se autentifice cu succes, trebuie să configurați aceleași SSID-uri cu schemele lor de autentificare și criptare pe punctele de acces și pe telefon.

Unele scheme de autentificare necesită anumite tipuri de criptare.

Schemele de autentificare și criptare din tabelul următor prezintă opțiunile de configurare a rețelei pentru telefonul wireless Cisco 9821 care corespund configurației punctului de acces.

Telefonul wireless Cisco 9821 acceptă autentificarea 802.1X pentru rețelele cu fir. Această funcție este utilizată de obicei în timpul aprovizionării automate când telefonul este conectat la încărcătorul de birou printr-un adaptor USB-Ethernet compatibil.

Suportul pentru autentificarea 802.1X în rețelele cu fir necesită mai multe componente, după cum urmează:

• Telefon IP Cisco: Telefonul inițiază cererea de accesare a rețelei. Telefoanele IP Cisco conțin un supplicant 802.1X. Acest supplicant permite administratorilor de rețea să controleze conectivitatea telefoanelor IP la porturile switch-ului LAN. Versiunea curentă a solicitantului telefonic 802.1X utilizează opțiunile EAP-FAST și EAP-TLS pentru autentificarea în rețea.

• Server de autentificare: Serverul de autentificare și switch-ul trebuie să fie configurate ambele cu un secret partajat RADIUS.

• Comutator: Comutatorul trebuie să fie compatibil cu 802.1X, astfel încât să poată acționa ca autentificator și să transmită mesajele EAP între telefon și serverul de autentificare. După finalizarea schimbului, switch-ul acordă sau refuză telefonului accesul la rețea.

Telefoanele IP Cisco și switch-urile Cisco Catalyst utilizează în mod tradițional Cisco Discovery Protocol (CDP) pentru a se identifica reciproc și a determina parametri precum alocarea VLAN și cerințele de alimentare în linie.

Trebuie să efectuați următoarele acțiuni pentru a configura 802.1X.

• Configurați CDP/LLDP ocolirea VLAN-ului vocal.

• Configurați serverul de autentificare și switch-ul înainte de a activa autentificarea 802.1X pentru rețelele cu fir pe telefon.

• Configurați VLAN-ul vocal: Deoarece standardul 802.1X nu ia în considerare VLAN-urile, ar trebui să configurați această setare în funcție de compatibilitatea switch-ului.

  • Activat: Dacă utilizați un switch care acceptă autentificarea multidomeniu, îl puteți configura să utilizeze VLAN-ul vocal.
  • Dezactivat: Dacă switch-ul nu acceptă autentificarea multidomeniu, dezactivați VLAN-ul vocal și luați în considerare atribuirea portului VLAN-ului nativ.

• Telefonul wireless Cisco 9821 are un prefix diferit în PID față de cel al celorlalte telefoane Cisco. Pentru a permite telefonului să treacă de autentificarea 802.1X, setați parametrul Radius·Nume-utilizator pentru a include telefonul wireless Cisco 9821.

  De exemplu, PID-ul telefonului wireless Cisco 9821 este WP-9821. Puteți seta Radius·Nume-utilizator la Start with WP sau Contains WP în ambele secțiuni următoare:

  • Politică > Condiții > Condiții bibliotecii

  • Politică > Seturi de politici > Politica de autorizare > Regula de autorizare 1