- الرئيسية
- /
- المقال
شكرًا على ملاحظاتك.
في هذه المقالة
هل لديك ملاحظات؟تعمل Cisco على إزالة الثقة في بعض المراجع المرجعية الجذرية المستخدمة للتحقق من صحة اتصالات SIP الآمنة، وذلك في أعقاب الحادث الأمني لهيئة شهادات eMudhra (CA) في أكتوبر 2026. من المقرر أن يبدأ تنفيذ عمليات تكامل Webex Meetings SIP المتأثرة في 2 نوفمبر 2026. قد يتم الطرح على مراحل. خطط لإكمال التغييرات قبل 2 نوفمبر. يجب على العملاء الذين تعتمد سلاسل شهاداتهم على السلطات غير الموثوق بها استبدال الشهادة أو السلسلة المتأثرة. بخلاف ذلك، سيفشل اتصال SIP الآمن المتأثر في مصادقة TLS، عندما يتم فرض سياسة الثقة المحدثة لهذا الاتصال.
ما الذي قد يتأثر
عمليات الدمج
-
Webex MeetingsEdge Audio: سيتوقف العمل عند تلبية الطلب الهاتفي والاتصال الهاتفي من خلال اتصالات SIP الخاصة بالمؤسسات المتأثرة عندما يصل الإنفاذ إلى تلك الاتصالات.
-
غرف اجتماعات التعاون (CMR): سيفشل جهاز الفيديو المستند إلى SIP الذي ينضم من خلال اتصالات SIP الآمنة المتأثرة عندما يصل الإنفاذ إلى تلك الاتصالات.
-
قد تتضمن البنية الأساسية التي يديرها العميل Cisco CUBE وExpressway-E ووحدات تحكم حدود الجلسة الأخرى (SBCs). راجع كل من الأنظمة الأساسية والزائدة عن الحاجة.
تستهدف هذه التغييرات عمليات تكامل SIP باستخدام سلاسل الشهادات المتأثرة؛ لا تعتمد طرق الوصول إلى الاجتماعات الأخرى على نفس مسار شهادة SIP المُدار من قبل العميل.
سلطات إصدار الشهادات
تحقق من سلاسل الشهادات التي تعتمد على أي من السلطات التالية:
-
ميساين روت TLS CA - 3G
-
نظام تكييف الجذر ECC من ميساين - 3G
-
ميساين روت سي إس سي - 3G
-
خدمات شهادة AAA (جذر خدمات Comodo AAA)
لم يتم اختراق خدمات شهادة AAA، ولكنها وقعت بشكل متبادل على وسيطة eMudhra المتأثرة وتم تضمينها في استجابة الأمان هذه. قد تستخدم بعض الشهادات الصادرة عن Sectigo مسار شهادة موقعة من AAA على الرغم من عدم تعرض شهادات عملاء Sectigo نفسها للخطر.
لم يتم تضمين EmSign Root CA - G1 في تغيير عدم الثقة هذا. لا تستبدل الشهادات أو تزيلها فقط لأنها تستخدم G1.
تحقق من الشهادات أو السلاسل المتأثرة واستبدلها
| 1 |
حدد CUBE أو Expressway-E أو SBC المستخدم لتكامل الاجتماع المستند إلى Edge Audio أو SIP المتأثر. قم بتسجيل اسم المضيف الفعلي ومنفذ SIP TLS الذي تم تكوينه. ثم افحص شهادة هوية TLS المثبتة على هذا النظام وأي شهادات CA وسيطة مصاحبة. في Expressway-E، يمكن عرض شهادة الخادم المثبتة ضمن شهادة الخادم. بالنسبة لـ CUBE وغيرها من SBCs، استخدم إجراء فحص شهادة المورد المعمول به. كرر ذلك لأنظمة النسخ الاحتياطي والنسخ الاحتياطي. |
| 2 |
من جهاز كمبيوتر مثبت عليه OpenSSL والوصول إلى الشبكة إلى مستمع SIP TLS، قم بتشغيل المثال ذي الصلة:
استبدل مثال اسم المضيف والمنفذ بنقطة نهاية SIP TLS الفعلية؛ قد يختلف المنفذ حسب النشر. إذا كان الوصول إلى TLS الوارد مقيدًا، فقم بتشغيل الفحص من نظام إدارة معتمد. على Expressway-E، قد يتطلب منفذ SIP TLS المستخدم مع Webex شهادة عميل. قد ينتهي الأمر بعد ذلك بخطأ، ولكن سلسلة الشهادات لا تزال معروضة. راجع إدخالات سلسلة الشهادات، بما في ذلك الموضوع (الموضوعات:) والمصدر (i:). ابحث عن أي من أسماء CA الأربعة المتأثرة، بما في ذلك شهادة مرجع شهادات UserTrust RSA الصادرة عن خدمات شهادات AAA. مثال على إدخال سلسلة متأثر بتوقيع متقاطع:
|
| 3 |
قم بتفسير النتائج:
|
| 4 |
اتصل بموفر الشهادة أو البائع للحصول على شهادة بديلة أو سلسلة شهادات بديلة تنتهي بجذر غير مدرج أعلاه. اطلب من الموفر تأكيد أن سلسلة الاستبدال مناسبة لتكامل Webex SIP.
افحص السلسلة المثبتة مرة أخرى للتحقق من أنها لم تعد تعتمد على السلطات غير الموثوق بها.
|
| 5 |
تحقق من صحة اتصال الاجتماع:
في حالة استمرار مشكلات الشهادة أو اتصال SIP، اتصل بشريك Cisco الخاص بك أو Cisco Technical Assistance Center (TAC). قم بتوفير معرف مؤسسة Webex الخاص بك والخدمة المتأثرة والنظام المتأثر واسم مضيف SIP وتفاصيل سلسلة الشهادات وأي رسائل خطأ TLS أو SIP. لا تشارك المفاتيح الخاصة. |
معلومات ذات صلة
لمزيد من المعلومات، راجع ما يلي:
