感謝您的意見回饋。

安全功能可抵禦各種威脅，包括對手機身分和資料的威脅。這些功能可在電話和 Cisco Unified Communications Manager 伺服器之間建立和維護經過驗證的通訊串流，並確保電話僅使用經過數位簽署的檔案。

Cisco Unified Communications Manager 版本 8.5(1) 及更高版本預設包含安全功能，無需執行 CTL 用戶端即可為 Cisco IP 電話提供以下安全功能：

• 簽署電話組配置檔案

• 電話設定檔加密

• 使用 Tomcat 和其他 Web 服務的 HTTPS

在 Cisco Unified Communications Manager 系統中實施安全措施，可防止電話和 Cisco Unified Communications Manager 伺服器的身份被盜用，防止資料被竄改，以及防止呼叫信令和媒體流被竄改。

為了緩解這些威脅，思科 IP 電話網路在電話和伺服器之間建立並維護安全（加密）的通訊流，在文件傳輸到電話之前對其進行數位簽名，並對思科 IP 電話之間的媒體流和呼叫信令進行加密。

執行與憑證授權單位代理功能 (CAPF) 相關的必要任務後，本地重要憑證 (LSC) 將安裝到手機上。您可以使用 Cisco Unified Communications Manager 管理來設定 LSC，如 Cisco Unified Communications Manager 安全指南中所述。或者，您可以從手機上的 安全性 選單啟動 LSC 的安裝。此選單還允許您更新或刪除 LSC。

這些手機使用手機安全設定文件，該檔案定義了設備是安全的還是不安全的。有關將安全設定檔套用到電話的信息，請參閱您所用 Cisco Unified Communications Manager 版本的文件。

如果在 Cisco Unified Communications Manager 管理中設定安全相關設置，則電話設定檔包含敏感資訊。為確保設定檔的隱私性，必須對其進行加密配置。有關詳細信息，請參閱您所用 Cisco Unified Communications Manager 版本的文件。

下表概述了手機支援的安全功能。更多資訊請參閱您所用 Cisco Unified Communications Manager 版本的文件。

下表包含信任清單更新警告訊息及其意義。更多信息，請參閱 Cisco Unified Communications Manager 文件。

當手機啟用安全功能後，您可以透過手機螢幕上的圖示識別安全通話。如果在通話開始時播放安全提示音，您也可以判斷連接的手機是否安全可靠。

在安全通話中，所有通話訊號和媒體串流均經過加密。安全通話提供高度安全性，保障通話的完整性及隱私性。當通話進行中加密時，您可以在線路上看到安全圖示 。

在 Cisco Unified Communications Manager 中，設定為安全（加密且受信任）的電話可以被賦予受保護狀態。保護措施到位後，這些設備可以配置為在每次通話開始時播放安全提示音。

• 受保護設備：

  若要將安全手機的狀態變更為受保護狀態：

  1. 在 Cisco Unified Communications Manager 管理中，選擇 設備 > 電話。
  2. 找到你要設定的手機。
  3. 在「手機配置」視窗中，選取 「受保護裝置 」複選框。
  4. 按一下儲存。

• 播放安全指示音：

  要使受保護的手機能夠播放安全或非安全指示音：

  1. 在 Cisco Unified Communications Manager 管理中，選擇 系統 > 服務參數。
  2. 選擇伺服器，然後選擇 Cisco CallManager 服務。
  3. 在 叢集範圍參數（功能 - 安全音） 區域中，將 播放音設定為指示 Secure/Non-Secure 呼叫狀態 設定為 True。
  4. 按一下儲存。

由於所有在有效範圍內的 WLAN 設備都可以接收所有其他 WLAN 流量，因此在 WLAN 中保護語音通訊至關重要。為確保入侵者不會篡改或攔截語音流量，思科 SAFE 安全架構為電話提供支援。有關網路安全的更多信息，請參閱 http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html。

Cisco 無線 IP 電話解決方案提供無線網路安全，透過使用電話支援的以下驗證方法，防止未經授權的登入和受損的通訊。

• 開放認證: 在開放系統中，任何無線設備都可以請求身份驗證。收到請求的 AP 可以授予任何請求者身分驗證，也可以只授予使用者清單中的請求者身分驗證。無線設備與存取點 (AP) 之間的通訊可能未加密。

• 可擴展身份驗證協定-透過安全隧道實現靈活身份驗證 (EAP-FAST) 身份驗證: 這種用戶端-伺服器安全架構在 AP 和 RADIUS 伺服器（例如身分服務引擎 (ISE)）之間的傳輸層安全性 (TLS) 隧道內對 EAP 事務進行加密。

  TLS 隧道使用受保護的存取憑證 (PAC) 在用戶端（手機）和 RADIUS 伺服器之間進行驗證。伺服器向客戶端（手機）發送授權 ID (AID)，客戶端（手機）進而選擇相應的 PAC。客戶端（手機）向 RADIUS 伺服器傳回 PAC-Opaque。伺服器使用主密鑰解密 PAC 檔案。現在兩個端點都包含 PAC 金鑰，並建立了 TLS 隧道。EAP-FAST 支援自動 PAC 配置，但必須在 RADIUS 伺服器上啟用它。

  在 ISE 中，PAC 預設在一週後過期。如果手機的 PAC 已過期，則在手機取得新的 PAC 之前，與 RADIUS 伺服器進行驗證需要更長時間。為避免 PAC 設定延遲，請在 ISE 或 RADIUS 伺服器上將 PAC 過期時間設定為 90 天或更長。

• 可擴展身份驗證協定-傳輸層安全性 (EAP-TLS) 身份驗證: EAP-TLS 需要用戶端憑證進行驗證和網路存取。對於無線 EAP-TLS，用戶端憑證可以是 MIC、LSC 或使用者安裝的憑證。

• 受保護的可擴展身份驗證協定 (PEAP): Cisco 專有的密碼為基礎的用戶端（電話）與 RADIUS 伺服器之間的相互認證方案。該手機可使用 PEAP 協定與無線網路進行身份驗證。同時支援 PEAP-MSCHAPV2 和 PEAP-GTC 認證方式。

• 預共用金鑰 (PSK): 手機支援 ASCII 和十六進位 (HEX) 格式。設定時必須使用這些格式 WPA2/SAE 預共享密鑰。

  ASCII: 長度為 8 到 63 個字元的 ASCII 字串（0-9、小寫字母 az、大寫字母 AZ 和特殊字元）。例如， GREG123567@9ZX&W。

  十六進位: 長度為 64 個十六進位數字的十六進位字元字串（0-9、af 或 AF）。

以下認證方案使用 RADIUS 伺服器來管理認證金鑰：

• WPA2/WPA3: 使用 RADIUS 伺服器資訊產生用於身份驗證的唯一金鑰。因為這些金鑰是在集中式 RADIUS 伺服器上產生的， WPA2/WPA3 與儲存在 AP 和手機上的 WPA 預共用金鑰相比，它提供了更高的安全性。

• 快速安全漫遊：使用 RADIUS 伺服器和無線網域伺服器 (WDS) 資訊來管理和驗證金鑰。WDS 為支援 FT 的用戶端裝置建立安全憑證緩存，以便快速且安全地重新認證。

和 WPA2/WPA3, 加密金鑰無需在手機上輸入，而是由存取點和手機之間自動產生。但是，用於身份驗證的 EAP 使用者名稱和密碼必須在每部手機上輸入。

為了幫助保護無線鏈路上的語音流量，該手機支援基於 AES 的加密。 WPA2/WPA3 驗證。AES 是由 NIST 標準化的對稱分組密碼。AES 使用固定的 128 位元區塊大小，支援 128 位元、192 位元和 256 位元金鑰大小。在 Wi-Fi 網路中，AES 被 CCMP 或 GCMP 等密碼套件使用，而驗證則由 PSK、SAE 或其他方式單獨提供。 802.1X/EAP, 取決於配置的 WLAN 安全模式。支援的密碼套件和金鑰長度取決於手機型號和 WLAN 配置。

當電話使用 AES 加密時，訊號 SIP 資料包和語音即時傳輸協定 (RTP) 資料包在 AP 和電話之間都會被加密。

無線區域網路內設定了身份驗證和加密方案。VLAN 在網路和 AP 上進行配置，並指定不同的驗證和加密組合。SSID 與 VLAN 以及特定的驗證和加密方案相關聯。若要讓無線用戶端裝置成功進行身份驗證，必須在 AP 和手機上設定相同的 SSID 及其驗證和加密方案。

某些身份驗證方案需要特定類型的加密。

下表中的驗證和加密方案顯示了 Cisco 無線電話 9821 與 AP 配置對應的網路設定選項。

Cisco 無線電話 9821 支援有線網路的 802.1X 認證。這通常在 自動配置期間使用 ，此時手機透過支援的 USB 轉乙太網路適配器連接到桌面充電器。

在有線網路上支援 802.1X 驗證需要以下幾個元件：

• 思科IP電話：手機發起接取網路的請求。Cisco IP 電話包含 802.1X 請求程式。此請求程式可讓網路管理員控制 IP 電話與 LAN 交換器連接埠的連線。目前版本的手機 802.1X 請求程式使用 EAP-FAST 和 EAP-TLS 選項進行網路認證。

• 身份驗證伺服器：認證伺服器和交換器都必須設定 RADIUS 共用金鑰。

• 轉變：交換器必須支援 802.1X，以便它可以充當身份驗證器並在電話和身份驗證伺服器之間轉送 EAP 訊息。交換完成後，交換機會授予或拒絕手機對網路的存取權限。

Cisco IP 電話和 Cisco Catalyst 交換器傳統上使用 Cisco 發現協定 (CDP) 來相互識別，並確定 VLAN 分配和線上電源需求等參數。

若要設定 802.1X，必須執行下列操作。

• 配置 CDP/LLDP 語音VLAN旁路。

• 在電話上為有線網路啟用 802.1X 驗證之前，請先設定驗證伺服器和交換器。

• 配置語音VLAN：由於 802.1X 標準沒有考慮 VLAN，因此您應該根據交換器的支援情況來設定此設定。

  • 啟用：如果您使用的是支援多域認證的交換機，您可以將其設定為使用語音 VLAN。
  • 停用：如果交換器不支援多域認證，請停用語音 VLAN，並考慮將連接埠指派給本機 VLAN。

• Cisco 無線電話 9821 的 PID 前綴與其他 Cisco 電話不同。若要使您的電話能夠通過 802.1X 驗證，請將 Radius·User-Name 參數設定為包含您的 Cisco 無線電話 9821。

  例如，思科無線電話 9821 的 PID 為 WP-9821。您可以在以下兩個部分中將 Radius·User-Name 設定為 Start with WP 或 Contains WP ：

  • 政策 > 狀況 > 圖書館條件

  • 政策 > 策略集 > 授權策略 > 授權規則 1