Ďakujeme za vašu spätnú väzbu.

Bezpečnostné funkcie chránia pred hrozbami vrátane hrozieb pre identitu telefónu a údaje. Tieto funkcie vytvárajú a udržiavajú overené komunikačné streamy medzi telefónom a serverom Cisco Unified Communications Manager a zabezpečujú, aby telefón používal iba digitálne podpísané súbory.

Cisco Unified Communications Manager verzie 8.5(1) a novších štandardne obsahuje zabezpečenie, ktoré poskytuje nasledujúce bezpečnostné funkcie pre IP telefóny Cisco bez spustenia klienta CTL:

• Podpisovanie konfiguračných súborov telefónu

• Šifrovanie konfiguračného súboru telefónu

• HTTPS s Tomcatom a ďalšími webovými službami

Implementácia zabezpečenia v systéme Cisco Unified Communications Manager zabraňuje krádeži identity telefónu a servera Cisco Unified Communications Manager, zabraňuje manipulácii s údajmi a zabraňuje manipulácii so signalizáciou hovorov a mediálnym streamom.

Na zmiernenie týchto hrozieb sieť IP telefónie Cisco vytvára a udržiava zabezpečené (šifrované) komunikačné streamy medzi telefónom a serverom, digitálne podpisuje súbory pred ich prenosom do telefónu a šifruje mediálne streamy a signalizáciu hovorov medzi telefónmi Cisco IP Phones.

Lokálne významný certifikát (LSC) sa nainštaluje do telefónov po vykonaní potrebných úloh, ktoré sú spojené s funkciou proxy certifikačnej autority (CAPF). Na konfiguráciu LSC môžete použiť nástroj Cisco Unified Communications Manager Administration, ako je popísané v bezpečnostnej príručke Cisco Unified Communications Manager. Prípadne môžete spustiť inštaláciu LSC z ponuky Zabezpečenie v telefóne. Toto menu vám tiež umožňuje aktualizovať alebo odstrániť LSC.

Telefóny používajú bezpečnostný profil telefónu, ktorý definuje, či je zariadenie nezabezpečené alebo zabezpečené. Informácie o použití bezpečnostného profilu na telefón nájdete v dokumentácii k vašej konkrétnej verzii aplikácie Cisco Unified Communications Manager.

Ak v aplikácii Cisco Unified Communications Manager Administration nakonfigurujete nastavenia týkajúce sa zabezpečenia, konfiguračný súbor telefónu bude obsahovať citlivé informácie. Pre zaistenie súkromia konfiguračného súboru je potrebné ho nakonfigurovať na šifrovanie. Podrobné informácie nájdete v dokumentácii k vašej konkrétnej verzii aplikácie Cisco Unified Communications Manager.

Nasledujúca tabuľka poskytuje prehľad bezpečnostných funkcií, ktoré telefóny podporujú. Ďalšie informácie nájdete v dokumentácii k vašej konkrétnej verzii Cisco Unified Communications Manager.

Nasledujúca tabuľka obsahuje hlásenia alarmov aktualizácie zoznamu dôveryhodných služieb a ich význam. Ďalšie informácie nájdete v dokumentácii k aplikácii Cisco Unified Communications Manager.

Keď je v telefóne implementované zabezpečenie, zabezpečené telefonické hovory môžete identifikovať podľa ikon na obrazovke telefónu. Taktiež môžete zistiť, či je pripojený telefón zabezpečený a chránený, ak sa na začiatku hovoru prehrá bezpečnostný tón.

V zabezpečenom hovore sú všetky signalizačné údaje hovoru a mediálne streamy šifrované. Bezpečný hovor ponúka vysokú úroveň zabezpečenia, zaisťuje integritu a súkromie hovoru. Keď je prebiehajúci hovor šifrovaný, na linke sa zobrazí ikona zabezpečenia .

V aplikácii Cisco Unified Communications Manager je možné telefónom nakonfigurovaným ako zabezpečené (šifrované a dôveryhodné) priradiť chránený stav. Po zabezpečení je možné tieto zariadenia nakonfigurovať tak, aby na začiatku každého hovoru prehrali bezpečnostný tón.

• Chránené zariadenie:

  Ak chcete zmeniť stav zabezpečeného telefónu na chránený:

  1. V časti Administrácia systému Cisco Unified Communications Manager vyberte položku Zariadenie > Telefón.
  2. Nájdite telefón, ktorý budete nastavovať.
  3. V okne Konfigurácia telefónu začiarknite políčko Chránené zariadenie.
  4. Kliknite na tlačidlo Uložiť.

• Prehrať zabezpečený indikačný tón:

  Ak chcete na chránenom telefóne povoliť prehrávanie zabezpečeného alebo nezabezpečeného signalizačného tónu:

  1. V časti Administrácia systému Cisco Unified Communications Manager vyberte možnosť Systém > Parametre služby.
  2. Vyberte server a potom službu Cisco CallManager.
  3. V oblasti Parametre pre celý klaster (Funkcia - Zabezpečený tón) nastavte Tón prehrávania na možnosť Indikovať Secure/Non-Secure Nastavenie stavu volania na True.
  4. Kliknite na tlačidlo Uložiť.

Keďže všetky zariadenia WLAN v dosahu môžu prijímať všetku ostatnú prevádzku WLAN, zabezpečenie hlasovej komunikácie je v sieťach WLAN kľúčové. Architektúra Cisco SAFE Security podporuje telefón, aby sa zabezpečilo, že votrelci nebudú manipulovať s hlasovou prevádzkou ani ju zachytávať. Viac informácií o bezpečnosti v sieťach nájdete v http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Riešenie IP telefónie od spoločnosti Cisco Wireless poskytuje zabezpečenie bezdrôtovej siete, ktoré zabraňuje neoprávnenému prihláseniu a ohrozeniu komunikácie pomocou nasledujúcich metód overovania, ktoré telefón podporuje.

• Otvorené overenie: Akékoľvek bezdrôtové zariadenie môže v otvorenom systéme požiadať o autentifikáciu. Prístupový bod, ktorý prijme požiadavku, môže udeliť autentifikáciu ľubovoľnému žiadateľovi alebo iba žiadateľom, ktorí sa nachádzajú v zozname používateľov. Komunikácia medzi bezdrôtovým zariadením a prístupovým bodom (AP) môže byť nešifrovaná.

• Extensible Authentication Protocol – flexibilné overovanie prostredníctvom zabezpečeného tunelovania (EAP-FAST): Táto architektúra zabezpečenia klient-server šifruje transakcie EAP v tuneli Transport Level Security (TLS) medzi prístupovým bodom a serverom RADIUS, ako napríklad Identity Services Engine (ISE).

  Tunel TLS používa na autentifikáciu medzi klientom (telefónom) a serverom RADIUS chránené prístupové poverenia (PAC). Server odošle klientovi (telefónu) autorizačné ID (AID), ktorý následne vyberie príslušný PAC. Klient (telefón) vráti na server RADIUS správu PAC-Opaque. Server dešifruje PAC pomocou primárneho kľúča. Oba koncové body teraz obsahujú kľúč PAC a vytvorí sa tunel TLS. EAP-FAST podporuje automatické poskytovanie PAC, ale musíte ho povoliť na serveri RADIUS.

  V ISE štandardne platnosť PAC vyprší o jeden týždeň. Ak má telefón vypršaný PAC, overenie na serveri RADIUS trvá dlhšie, kým telefón získa nový PAC. Aby ste predišli oneskoreniam pri poskytovaní PAC, nastavte na serveri ISE alebo RADIUS obdobie expirácie PAC na 90 dní alebo dlhšie.

• Autentifikácia protokolom Extensible Authentication Protocol-Transport Layer Security (EAP-TLS): EAP-TLS vyžaduje klientsky certifikát na overenie a prístup k sieti. Pre bezdrôtový protokol EAP-TLS môže byť klientsky certifikát MIC, LSC alebo certifikát nainštalovaný používateľom.

• Chránený rozšíriteľný overovací protokol (PEAP): Schéma vzájomného overovania medzi klientom (telefónom) a serverom RADIUS založená na vlastnom hesle od spoločnosti Cisco. Telefón môže na autentifikáciu v bezdrôtovej sieti použiť protokol PEAP. Podporované sú metódy overovania PEAP-MSCHAPV2 aj PEAP-GTC.

• Predzdieľaný kľúč (PSK): Telefón podporuje formáty ASCII a hexadecimálne (HEX). Pri nastavovaní musíte použiť tieto formáty WPA2/SAE Vopred zdieľaný kľúč.

  ASCII: Reťazec znakov ASCII s dĺžkou 8 až 63 znakov (0 – 9, malé písmená az, veľké písmená AZ a špeciálne znaky). Napríklad, GREG123567@9ZX&W.

  HEX: Reťazec hexadecimálnych znakov s dĺžkou 64 hexadecimálnych číslic (0-9, af alebo AF).

Nasledujúce schémy autentifikácie používajú server RADIUS na správu autentifikačných kľúčov:

• WPA2/WPA3: Používa informácie zo servera RADIUS na generovanie jedinečných kľúčov na autentifikáciu. Pretože tieto kľúče sú generované na centralizovanom serveri RADIUS, WPA2/WPA3 poskytuje väčšiu bezpečnosť ako predzdieľané kľúče WPA, ktoré sú uložené v prístupovom bode a telefóne.

• Rýchly a bezpečný roaming: Používa informácie zo servera RADIUS a servera bezdrôtovej domény (WDS) na správu a overovanie kľúčov. WDS vytvára vyrovnávaciu pamäť bezpečnostných poverení pre klientske zariadenia s povoleným FT pre rýchle a bezpečné opätovné overenie.

S WPA2/WPA3, Šifrovacie kľúče sa nezadávajú v telefóne, ale automaticky sa odvodzujú medzi prístupovým bodom a telefónom. Používateľské meno a heslo EAP, ktoré sa používajú na overenie, však musia byť zadané v každom telefóne.

Na ochranu hlasovej prevádzky cez bezdrôtové pripojenie telefón podporuje šifrovanie založené na AES. WPA2/WPA3 overovanie. AES je symetrická bloková šifra štandardizovaná NIST. AES používa pevnú veľkosť bloku 128 bitov a podporuje veľkosti kľúčov 128 bitov, 192 bitov a 256 bitov. V sieťach Wi-Fi sa AES používa v šifrovacích balíkoch ako CCMP alebo GCMP, zatiaľ čo autentifikáciu zabezpečujú samostatne PSK, SAE alebo... 802.1X/EAP, v závislosti od nakonfigurovaného režimu zabezpečenia siete WLAN. Podporovaná šifrovacia sada a veľkosť kľúča závisia od modelu telefónu a konfigurácie siete WLAN.

Keď telefón používa šifrovanie AES, sú medzi prístupovým bodom a telefónom šifrované signálové pakety SIP aj hlasové pakety protokolu RTP (Real-Time Transport Protocol).

V rámci bezdrôtovej lokálnej siete LAN sú nastavené schémy autentifikácie a šifrovania. Siete VLAN sú konfigurované v sieti a na prístupových bodoch a špecifikujú rôzne kombinácie autentifikácie a šifrovania. SSID sa priraďuje k sieti VLAN a konkrétnej schéme autentifikácie a šifrovania. Aby sa bezdrôtové klientske zariadenia úspešne autentifikovali, musíte nakonfigurovať rovnaké SSID s ich schémami autentifikácie a šifrovania na prístupových bodoch a v telefóne.

Niektoré overovacie schémy vyžadujú špecifické typy šifrovania.

Schémy overovania a šifrovania v nasledujúcej tabuľke zobrazujú možnosti konfigurácie siete pre bezdrôtový telefón Cisco 9821, ktoré zodpovedajú konfigurácii prístupového bodu.

Bezdrôtový telefón Cisco 9821 podporuje overovanie 802.1X pre káblové siete. Toto sa zvyčajne používa počas automatického nastavovania, keď je telefón pripojený k stolovej nabíjačke prostredníctvom podporovaného adaptéra USB-Ethernet.

Podpora overovania 802.1X v káblových sieťach vyžaduje niekoľko komponentov, ako je uvedené nižšie:

• IP telefón Cisco: Telefón inicializuje požiadavku na prístup k sieti. IP telefóny Cisco obsahujú žiadateľa 802.1X. Tento žiadateľ umožňuje správcom siete riadiť pripojenie IP telefónov k portom LAN prepínača. Aktuálna verzia telefónneho žiadateľa o štandard 802.1X používa na overovanie v sieti možnosti EAP-FAST a EAP-TLS.

• Autentifikačný server: Autentifikačný server aj prepínač musia byť nakonfigurované so zdieľaným tajným kľúčom RADIUS.

• Prepínač: Prepínač musí podporovať štandard 802.1X, aby mohol fungovať ako autentifikátor a prenášať správy EAP medzi telefónom a autentifikačným serverom. Po dokončení výmeny prepínač povolí alebo zamietne telefónu prístup k sieti.

IP telefóny Cisco a prepínače Cisco Catalyst tradične používajú protokol Cisco Discovery Protocol (CDP) na vzájomnú identifikáciu a určenie parametrov, ako je alokácia VLAN a požiadavky na napájanie.

Na konfiguráciu 802.1X musíte vykonať nasledujúce akcie.

• Konfigurovať CDP/LLDP obídenie hlasovej VLAN.

• Pred povolením overovania 802.1X pre káblové siete v telefóne nakonfigurujte overovací server a prepínač.

• Konfigurácia hlasovej VLAN: Keďže štandard 802.1X nezohľadňuje VLAN, mali by ste toto nastavenie nakonfigurovať na základe podpory prepínača.

  • Povolené: Ak používate prepínač, ktorý podporuje overovanie viacerých domén, môžete ho nakonfigurovať na používanie hlasovej VLAN.
  • Zakázané: Ak prepínač nepodporuje overovanie viacerých domén, vypnite hlasovú VLAN a zvážte priradenie portu k natívnej VLAN.

• Bezdrôtový telefón Cisco 9821 má v PID iný prefix ako ostatné telefóny Cisco. Ak chcete, aby váš telefón prechádzal overovaním 802.1X, nastavte parameter Radius·User-Name tak, aby zahŕňal váš bezdrôtový telefón Cisco 9821.

  Napríklad PID bezdrôtového telefónu Cisco 9821 je WP-9821. V oboch nasledujúcich sekciách môžete nastaviť Radius·User-Name na Start with WP alebo Contains WP :

  • Pravidlá > Podmienky > Podmienky knižnice

  • Pravidlá > Sady politík > Autorizačná politika > Autorizačné pravidlo 1