Tack för din feedback.

Säkerhetsfunktioner skyddar mot hot, inklusive hot mot telefonens identitet och data. Dessa funktioner upprättar och upprätthåller autentiserade kommunikationsströmmar mellan telefonen och Cisco Unified Communications Manager-servern och säkerställer att telefonen endast använder digitalt signerade filer.

Cisco Unified Communications Manager version 8.5(1) och senare inkluderar Säkerhet som standard, vilket ger följande säkerhetsfunktioner för Cisco IP-telefoner utan att köra CTL-klienten:

• Signera telefonkonfigurationsfilerna

• Kryptering av telefonkonfigurationsfil

• HTTPS med Tomcat och andra webbtjänster

Implementering av säkerhet i Cisco Unified Communications Manager-systemet förhindrar identitetsstöld av telefonen och Cisco Unified Communications Manager-servern, förhindrar datamanipulering och förhindrar manipulering av samtalssignalering och medieströmmar.

För att minska dessa hot upprättar och underhåller Cisco IP-telefoninätverk säkra (krypterade) kommunikationsströmmar mellan en telefon och servern, signerar filer digitalt innan de överförs till en telefon och krypterar medieströmmar och samtalssignalering mellan Cisco IP-telefoner.

Ett lokalt betydelsefullt certifikat (LSC) installeras på telefoner efter att du har utfört de nödvändiga uppgifter som är kopplade till certifikatutfärdarens proxyfunktion (CAPF). Du kan använda Cisco Unified Communications Manager Administration för att konfigurera en LSC, enligt beskrivningen i Cisco Unified Communications Manager säkerhetsguide. Alternativt kan du starta installationen av en LSC från menyn Säkerhet på telefonen. Den här menyn låter dig också uppdatera eller ta bort en LSC.

Telefonerna använder telefonens säkerhetsprofil, som definierar om enheten är osäker eller säker. Information om hur du tillämpar säkerhetsprofilen på telefonen finns i dokumentationen för din specifika version av Cisco Unified Communications Manager.

Om du konfigurerar säkerhetsrelaterade inställningar i Cisco Unified Communications Manager Administration innehåller telefonens konfigurationsfil känslig information. För att säkerställa sekretessen för en konfigurationsfil måste du konfigurera den för kryptering. För mer information, se dokumentationen för din specifika version av Cisco Unified Communications Manager.

Följande tabell ger en översikt över de säkerhetsfunktioner som telefonerna stöder. Mer information finns i dokumentationen för din specifika version av Cisco Unified Communications Manager.

Följande tabell innehåller larmmeddelanden och betydelse för uppdatering av tillitslistan. Mer information finns i dokumentationen för Cisco Unified Communications Manager.

När säkerhet är implementerad för en telefon kan du identifiera säkra telefonsamtal med hjälp av ikoner på telefonskärmen. Du kan också avgöra om den anslutna telefonen är säker och skyddad om en säkerhetston spelas upp i början av samtalet.

I ett säkert samtal krypteras all samtalssignalering och medieströmmar. Ett säkert samtal erbjuder en hög säkerhetsnivå och ger integritet och sekretess till samtalet. När ett pågående samtal är krypterat kan du se säkerhetsikonen på linjen.

I Cisco Unified Communications Manager kan telefoner som konfigurerats som säkra (krypterade och betrodda) tilldelas en skyddad status. När de väl är skyddade kan dessa enheter konfigureras att spela upp en säkerhetston i början av varje samtal.

• Skyddad enhet:

  Så här ändrar du statusen för en säker telefon till skyddad:

  1. I Cisco Unified Communications Manager Administration väljer du Enhet > Telefon.
  2. Leta reda på telefonen som du ska konfigurera.
  3. I fönstret Telefonkonfiguration markerar du kryssrutan Skyddad enhet.
  4. Klicka på Spara.

• Spela upp säker indikationston:

  Så här aktiverar du att den skyddade telefonen spelar upp en säker eller osäker indikationston:

  1. I Cisco Unified Communications Manager Administration väljer du System > Tjänstparametrar.
  2. Välj servern och sedan tjänsten Cisco CallManager.
  3. I området Klusteromfattande parametrar (Funktion - Säker ton) ställer du in Spela upp ton för att indikera Secure/Non-Secure Inställning för samtalsstatus till Sant.
  4. Klicka på Spara.

Eftersom alla WLAN-enheter som är inom räckhåll kan ta emot all annan WLAN-trafik är det avgörande att säkra röstkommunikationen i WLAN. För att säkerställa att inkräktare inte manipulerar eller avlyssnar rösttrafik stöder Cisco SAFE Security-arkitekturen telefonen. För mer information om säkerhet i nätverk, se http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Ciscos trådlösa IP-telefonilösning tillhandahåller trådlös nätverkssäkerhet som förhindrar obehöriga inloggningar och komprometterad kommunikation genom att använda följande autentiseringsmetoder som telefonen stöder.

• Öppen autentisering: Vilken trådlös enhet som helst kan begära autentisering i ett öppet system. AP:n som tar emot begäran kan bevilja autentisering till vilken begärande part som helst eller endast till begärande parter som finns på en lista över användare. Kommunikationen mellan den trådlösa enheten och åtkomstpunkten (AP) kan vara okrypterad.

• Extensible Authentication Protocol - Flexibel autentisering via säker tunneling (EAP-FAST) autentisering: Denna klient-server-säkerhetsarkitektur krypterar EAP-transaktioner inom en TLS-tunnel (Transport Level Security) mellan AP:n och RADIUS-servern, till exempel Identity Services Engine (ISE).

  TLS-tunneln använder PAC:er (Protected Access Credentials) för autentisering mellan klienten (telefonen) och RADIUS-servern. Servern skickar ett auktoritets-ID (AID) till klienten (telefonen), som i sin tur väljer lämplig PAC. Klienten (telefonen) returnerar en PAC-Opaque till RADIUS-servern. Servern dekrypterar PAC-filen med primärnyckeln. Båda slutpunkterna innehåller nu PAC-nyckeln och en TLS-tunnel skapas. EAP-FAST stöder automatisk PAC-provisionering, men du måste aktivera det på RADIUS-servern.

  I ISE löper PAC som standard ut om en vecka. Om telefonen har en utgången PAC tar autentisering med RADIUS-servern längre tid medan telefonen får en ny PAC. För att undvika förseningar i PAC-provisioneringen, ställ in PAC:s utgångsperiod till 90 dagar eller längre på ISE- eller RADIUS-servern.

• Extensible Authentication Protocol-Transport Layer Security (EAP-TLS)-autentisering: EAP-TLS kräver ett klientcertifikat för autentisering och nätverksåtkomst. För trådlös EAP-TLS kan klientcertifikatet vara ett MIC-, LSC- eller användarinstallerat certifikat.

• Skyddat utökningsbart autentiseringsprotokoll (PEAP): Ciscos egenutvecklade lösenordsbaserade ömsesidiga autentiseringsschema mellan klienten (telefonen) och en RADIUS-server. Telefonen kan använda PEAP för autentisering med det trådlösa nätverket. Både PEAP-MSCHAPV2- och PEAP-GTC-autentiseringsmetoderna stöds.

• Fördelad nyckel (PSK): Telefonen stöder ASCII- och hexadecimala (HEX) format. Du måste använda dessa format när du konfigurerar en WPA2/SAE Fördelad nyckel.

  ASCII: En ASCII-teckensträng med en längd på 8 till 63 tecken (0–9, gemener a–z, versaler a–z och specialtecken). Till exempel, GREG123567@9ZX&W.

  HEX: En hexagonal teckensträng med 64 hexagonala siffror (0–9, af eller AF).

Följande autentiseringsscheman använder RADIUS-servern för att hantera autentiseringsnycklar:

• WPA2/WPA3: Använder RADIUS-serverinformation för att generera unika nycklar för autentisering. Eftersom dessa nycklar genereras på den centraliserade RADIUS-servern, WPA2/WPA3 ger mer säkerhet än fördelade WPA-nycklar som lagras på åtkomstpunkten och telefonen.

• Snabb säker roaming: Använder RADIUS-servern och information från en trådlös domänserver (WDS) för att hantera och autentisera nycklar. WDS skapar en cache med säkerhetsuppgifter för FT-aktiverade klientenheter för snabb och säker omautentisering.

Med WPA2/WPA3, Krypteringsnycklar anges inte på telefonen, utan härleds automatiskt mellan åtkomstpunkten och telefonen. Men EAP-användarnamnet och lösenordet som används för autentisering måste anges på varje telefon.

För att skydda rösttrafik över den trådlösa länken stöder telefonen AES-baserad kryptering för WPA2/WPA3 autentisering. AES är en symmetrisk blockchiffer standardiserad av NIST. AES använder en fast blockstorlek på 128 bitar och stöder nyckelstorlekar på 128 bitar, 192 bitar och 256 bitar. I Wi-Fi-nätverk används AES av krypteringssviter som CCMP eller GCMP, medan autentisering tillhandahålls separat av PSK, SAE eller 802.1X/EAP, beroende på det konfigurerade WLAN-säkerhetsläget. Vilken krypteringssvit och nyckelstorlek som stöds beror på telefonmodell och WLAN-konfiguration.

När telefonen använder AES-kryptering krypteras både SIP-signalpaketen och röstpaketen för Real-Time Transport Protocol (RTP) mellan åtkomstpunkten och telefonen.

Autentiserings- och krypteringsscheman är konfigurerade inom det trådlösa nätverket. VLAN konfigureras i nätverket och på AP:erna och anger olika kombinationer av autentisering och kryptering. Ett SSID associeras med ett VLAN och det specifika autentiserings- och krypteringsschemat. För att trådlösa klientenheter ska autentiseras korrekt måste du konfigurera samma SSID:er med deras autentiserings- och krypteringsscheman på åtkomstpunkterna och på telefonen.

Vissa autentiseringsscheman kräver specifika typer av kryptering.

Autentiserings- och krypteringsscheman i följande tabell visar nätverkskonfigurationsalternativen för Cisco Wireless Phone 9821 som motsvarar AP-konfigurationen.

Cisco trådlös telefon 9821 stöder 802.1X-autentisering för trådbundna nätverk. Detta används vanligtvis under automatisk provisionering när telefonen är ansluten till bordsladdaren via en USB-till-Ethernet-adapter som stöds.

Stöd för 802.1X-autentisering i trådbundna nätverk kräver flera komponenter enligt följande:

• Cisco IP-telefon: Telefonen initierar begäran om åtkomst till nätverket. Cisco IP-telefoner innehåller en 802.1X-supplikant. Denna supplikant låter nätverksadministratörer kontrollera anslutningen av IP-telefoner till LAN-switchportarna. Den nuvarande versionen av telefonens 802.1X-ansökan använder alternativen EAP-FAST och EAP-TLS för nätverksautentisering.

• Autentiseringsserver: Både autentiseringsservern och switchen måste konfigureras med en delad RADIUS-hemlighet.

• Växla: Switchen måste ha stöd för 802.1X så att den kan fungera som autentiserare och vidarebefordra EAP-meddelandena mellan telefonen och autentiseringsservern. När utbytet är klart beviljar eller nekar växeln telefonen åtkomst till nätverket.

Cisco IP-telefoner och Cisco Catalyst-switchar använder traditionellt Cisco Discovery Protocol (CDP) för att identifiera varandra och bestämma parametrar som VLAN-allokering och inline-strömförsörjningskrav.

Du måste utföra följande åtgärder för att konfigurera 802.1X.

• Konfigurera CDP/LLDP röst-VLAN-förbikoppling.

• Konfigurera autentiseringsservern och switchen innan du aktiverar 802.1X-autentisering för trådbundna nätverk på telefonen.

• Konfigurera röst-VLAN: Eftersom 802.1X-standarden inte tar hänsyn till VLAN bör du konfigurera den här inställningen baserat på switchstödet.

  • Aktiverad: Om du använder en switch som stöder multidomänautentisering kan du konfigurera den för att använda röst-VLAN.
  • Inaktiverad: Om switchen inte stöder multidomänautentisering, inaktivera Voice VLAN och överväg att tilldela porten till det inbyggda VLAN:et.

• Cisco trådlös telefon 9821 har ett annat prefix i PID än det för andra Cisco-telefoner. För att din telefon ska kunna godkänna 802.1X-autentisering, ställ in parametern Radius·Användarnamn så att den inkluderar din Cisco trådlösa telefon 9821.

  Till exempel är PID för Cisco Wireless Phone 9821 WP-9821. Du kan ställa in Radius·Användarnamn till Start with WP eller Contains WP i båda följande avsnitt:

  • Policy > Villkor > Biblioteksvillkor

  • Policy > Policyuppsättningar > Auktoriseringspolicy > Auktoriseringsregel 1