شكرًا على ملاحظاتك.
هل لديك ملاحظات؟
يختار المستخدمون نوع الاجتماع عندما يقومون بجدولة اجتماع. عند قبول المشاركين من الردهة، وكذلك أثناء الاجتماع، يمكن للمضيف رؤية حالة التحقق من الهوية لكل مشارك. هناك أيضًا رمز اجتماع مشترك بين جميع المشاركين الحاليين في الاجتماع، والذي يمكنهم استخدامه للتحقق من أن اجتماعهم لم يتم اعتراضه بواسطة هجوم غير مرغوب فيه من طرف ثالث من Meddler In The Middle (MITM).
شارك المعلومات التالية مع مضيفي الاجتماع:
-
انضم إلى اجتماع Webex باستخدام التشفير من طرف إلى طرف
تحقق من الهوية
يوفر التشفير من طرف إلى طرف مع التحقق من الهوية أمانًا إضافيًا للاجتماع المشفر من طرف إلى طرف.
عندما ينضم المشاركون أو الأجهزة إلى مجموعة MLS (أمان طبقة المراسلة) المشتركة، فإنهم يقدمون شهاداتهم إلى أعضاء المجموعة الآخرين، الذين يقومون بعد ذلك بالتحقق من صحة الشهادات مقابل جهات إصدار الشهادات (CA). ومن خلال التأكد من صلاحية الشهادات، يتحقق المرجع المصدق من هوية المشاركين، ويعرض الاجتماع المشاركين/الأجهزة كما تم التحقق منها.
يقوم مستخدمو Webex App بمصادقة أنفسهم مقابل متجر هوية Webex، الذي يصدر لهم رمز وصول عند نجاح المصادقة. إذا كانوا بحاجة إلى شهادة للتحقق من هويتهم في اجتماع مشفر من طرف إلى طرف، فإن Webex CA يصدر لهم شهادة بناءً على رمز الوصول الخاص بهم. في الوقت الحالي، لا نوفر طريقة Webex Meetings للمستخدمين للحصول على شهادة صادرة عن جهة مصدقة خارجية أو جهة خارجية.
يمكن للأجهزة مصادقة نفسها باستخدام شهادة صادرة عن المرجع المصدق الداخلي (Webex)، أو شهادة صادرة عن CA خارجي:
-
CA داخلي — يُصدر WebEx شهادة داخلية استنادًا إلى رمز الوصول الخاص بحساب الجهاز الخاص بالجهاز. تم توقيع الشهادة من قبل Webex CA. لا تحتوي الأجهزة على معرفات المستخدم بنفس الطريقة التي يستخدمها المستخدمون، لذلك يستخدم Webex (أحد) نطاقات مؤسستك عند كتابة هوية شهادة الجهاز (الاسم الشائع (CN)).
-
CA خارجي - طلب شهادات الجهاز وشرائها مباشرةً من جهة الإصدار التي اخترتها. يجب عليك تشفير الشهادات وتحميلها مباشرة وتفويضها باستخدام سر معروف لك فقط.
لا تشارك Cisco، مما يجعل هذا هو السبيل لضمان التشفير الحقيقي من البداية إلى النهاية والهوية التي تم التحقق منها، ومنع الاحتمال النظري بأن تقوم Cisco بالتنصت على اجتماعك/فك تشفير الوسائط الخاصة بك.
شهادة جهاز صادرة داخليًا
يقوم Webex بإصدار شهادة للجهاز عند التسجيل بعد بدء التشغيل، ويقوم بتجديدها عند الضرورة. بالنسبة للأجهزة، تتضمن الشهادة معرف الحساب والمجال.
إذا لم يكن لدى مؤسستك مجال، فسيقوم Webex CA بإصدار الشهادة بدون مجال.
إذا كانت مؤسستك تحتوي على نطاقات متعددة، فيمكنك استخدام Control Hub لإخبار Webex بالمجال الذي سيستخدمه الجهاز لهويته. يمكنك أيضًا استخدام النطاق المفضل لهوية التشفير من طرف إلى طرف في مؤتمر API X: «example.com».
إذا كان لديك نطاقات متعددة ولم تقم بتعيين المجال المفضل للجهاز، فسيختار Webex واحدًا لك.
شهادة جهاز صادرة خارجيًا
يمكن للمسؤول تزويد الجهاز بشهادته الخاصة التي تم توقيعها مع إحدى المراجع العامة.
يجب أن تستند الشهادة إلى زوج مفاتيح ECDSA P-256، على الرغم من أنه يمكن توقيعها بواسطة مفتاح RSA.
تخضع القيم الموجودة في الشهادة لتقدير المؤسسة. سيتم عرض الاسم الشائع (CN) والاسم البديل للموضوع (SAN) في واجهة مستخدم اجتماع Webex، كما هو موضح في التشفير من طرف إلى طرف مع التحقق من الهوية لـ Webex Meetings.
نوصي باستخدام شهادة منفصلة لكل جهاز والحصول على CN فريد لكل جهاز. على سبيل المثال، «meeting-room-1.example.com» للمؤسسة التي تمتلك نطاق «example.com».
من أجل حماية الشهادة الخارجية بشكل كامل من العبث، يتم استخدام ميزة سر العميل لتشفير الأوامر المختلفة وتوقيعها.
عند استخدام سر العميل، من الممكن إدارة شهادة هوية Webex الخارجية بأمان عبر xAPI. يقتصر هذا حاليًا على الأجهزة عبر الإنترنت.
يوفر Webex حاليًا أوامر API لإدارة هذا.
الأجهزة
يمكن لأجهزة Cisco Board وDesk وRoom Series المسجلة في السحابة الانضمام إلى اجتماعات E2EE.
لا يمكن للأجهزة التالية الانضمام إلى اجتماعات E2EE:
-
أجهزة SIP التابعة لجهات خارجية
عملاء البرامج
-
يمكن لتطبيق Webex لعملاء سطح المكتب والجوال الانضمام إلى اجتماعات E2EE.
-
لا يمكن لعميل Webex على الويب الانضمام إلى اجتماعات E2EE.
-
لا يمكن لعملاء SIP الناعمة التابعين لجهات خارجية الانضمام إلى اجتماعات E2EE.
الهوية
-
حسب التصميم، لا نوفر لك خيارات Control Hub لإدارة هوية الجهاز التي تم التحقق منها خارجيًا. للحصول على تشفير حقيقي من طرف إلى طرف، يجب عليك فقط معرفة/الوصول إلى الأسرار والمفاتيح. إذا قدمنا خدمة سحابية لإدارة هذه المفاتيح، فهناك احتمال أن يتم اعتراضها.
-
نقدم لك حاليًا «وصفة» لتصميم أدواتك الخاصة، استنادًا إلى تقنيات التشفير المتوافقة مع معايير الصناعة، للمساعدة في طلب أو تشفير شهادات هوية جهازك ومفاتيحها الخاصة. لا نريد أن يكون لدينا أي وصول حقيقي أو متصور إلى أسرارك أو مفاتيحك.
اجتماعات
-
تدعم اجتماعات E2EE حاليًا 1000 مشارك كحد أقصى.
- يمكنك مشاركة ألواح الكتابة الجديدة في اجتماعات E2EE. هناك بعض الاختلافات عن السبورات البيضاء في الاجتماعات العادية:
- في اجتماعات E2EE، لا يمكن للمستخدمين الوصول إلى السبورات البيضاء التي تم إنشاؤها خارج الاجتماع، بما في ذلك ألواح الكتابة الخاصة واللوحات البيضاء المشتركة من قبل الآخرين واللوحات البيضاء من مساحات Webex.
- لا تتوفر ألواح الكتابة التي تم إنشاؤها في اجتماعات E2EE إلا أثناء الاجتماع. لا يتم حفظها ولا يمكن الوصول إليها بعد انتهاء الاجتماع.
- إذا شارك شخص ما المحتوى في اجتماع E2EE، فيمكنك إضافة تعليقات توضيحية له. لمزيد من المعلومات حول التعليق التوضيحي، راجع تطبيق Webex | ترميز المحتوى المشترك باستخدام التعليقات التوضيحية.
واجهة الإدارة
نوصي بشدة باستخدام Control Hub لإدارة موقع الاجتماعات الخاص بك، حيث تتمتع مؤسسات Control Hub بهوية مركزية للمؤسسة بأكملها.
معلومات ذات صلة
-
أمان انعدام الثقة لـ Webex (ورقة تقنية أمنية)
-
تشفير الويب JSON (JWE) (مسودة معيار IETF)
-
Webex Meetings41.7.
-
أجهزة Cisco ذات اللوحة والمكتب وسلسلة الغرف المسجلة في السحابة، والتي تعمل بالإصدار
10.6.1-roomos_August_2021أو إصدار لاحق. -
وصول إداري إلى موقع الاجتماع في Control Hub.
-
نطاق واحد أو أكثر تم التحقق منه في مؤسسة Control Hub الخاصة بك (إذا كنت تستخدم Webex CA لإصدار شهادات الجهاز للهوية التي تم التحقق منها).
-
يجب تشغيل غرف اجتماعات التعاون حتى يتمكن الأشخاص من الانضمام من نظام الفيديو الخاص بهم. لمزيد من المعلومات، راجع السماح لأنظمة الفيديو بالانضمام إلى الاجتماعات والأحداث على موقع Webex الخاص بك.
يمكنك تخطي هذه الخطوة إذا لم تكن بحاجة إلى هويات تم التحقق منها خارجيًا.
للحصول على أعلى مستوى من الأمان وللتحقق من الهوية، يجب أن يكون لكل جهاز شهادة فريدة صادرة عن جمهور موثوق Certificate Authority (CA).
تحتاج إلى التفاعل مع المرجع المصدق لطلب الشهادات الرقمية وشرائها واستلامها وإنشاء المفاتيح الخاصة المرتبطة بها. عند طلب الشهادة، استخدم هذه المعلمات:
-
يجب إصدار الشهادة وتوقيعها من قبل CA عام معروف.
-
فريد: نوصي بشدة باستخدام شهادة فريدة لكل جهاز. إذا كنت تستخدم شهادة واحدة لجميع الأجهزة، فأنت بذلك تعرض أمانك للخطر.
-
الاسم الشائع (CN) والاسم البديل/الأسماء البديلة للموضوع (SAN/s): هذه ليست مهمة لـ Webex، ولكن يجب أن تكون قيمًا يمكن للبشر قراءتها وربطها بالجهاز. سيعرض CN للمشاركين الآخرين في الاجتماع باعتباره الهوية الأساسية التي تم التحقق منها للجهاز، وإذا قام المستخدمون بفحص الشهادة من خلال واجهة مستخدم الاجتماع، فسوف يرون SAN/s. قد ترغب في استخدام أسماء مثل
name.model@example.com. -
تنسيق الملف: يجب أن تكون الشهادات والمفاتيح
بتنسيق.pem. -
الغرض: يجب أن يكون الغرض من الشهادة هو Webex Identity.
-
إنشاء المفاتيح: يجب أن تستند الشهادات إلى أزواج مفاتيح ECDSA P-256 (خوارزمية التوقيع الرقمي للمنحنى البيضاوي باستخدام منحنى P-256).
لا يمتد هذا المطلب إلى مفتاح التوقيع. يمكن لـ CA استخدام مفتاح RSA لتوقيع الشهادة.
يمكنك تخطي هذه الخطوة إذا كنت لا تريد استخدام هوية تم التحقق منها خارجيًا مع أجهزتك.
إذا كنت تستخدم أجهزة جديدة، فلا تسجلها في Webex حتى الآن. لضمان الأمان، لا تقم بتوصيلها بالشبكة في هذه المرحلة.
إذا كانت لديك أجهزة حالية تريد ترقيتها لاستخدام هوية تم التحقق منها خارجيًا، فيجب عليك إعادة ضبط الأجهزة إلى إعدادات المصنع.
-
احفظ التكوين الحالي إذا كنت تريد الاحتفاظ به.
-
قم بجدولة نافذة عندما لا تكون الأجهزة قيد الاستخدام، أو استخدم نهجًا مرحليًا. قم بإخطار المستخدمين بالتغييرات التي يمكنهم توقعها.
-
تأكد من الوصول المادي إلى الأجهزة. إذا كان يجب عليك الوصول إلى الأجهزة عبر الشبكة، فاحذر من أن الأسرار تنتقل في نص عادي وأنك تعرض أمنك للخطر.
بمجرد الانتهاء من هذه الخطوات، اسمح لأنظمة الفيديو بالانضمام إلى الاجتماعات والأحداث على موقع Webex الخاص بك.
لضمان عدم إمكانية تشفير وسائط جهازك من قبل أي شخص باستثناء الجهاز، يجب تشفير المفتاح الخاص على الجهاز. لقد قمنا بتصميم واجهات برمجة التطبيقات للجهاز لتمكين إدارة المفتاح المشفر والشهادة، باستخدام JSON Web Encryption (JWE).
لضمان التشفير الحقيقي من البداية إلى النهاية من خلال السحابة الخاصة بنا، لا يمكننا المشاركة في تشفير وتحميل الشهادة والمفتاح. إذا كنت بحاجة إلى هذا المستوى من الأمان، فيجب عليك:
-
اطلب شهاداتك.
-
قم بإنشاء أزواج مفاتيح شهاداتك.
-
قم بإنشاء (وحماية) سر أولي لكل جهاز، لزرع قدرة تشفير الجهاز.
-
قم بتطوير وصيانة الأداة الخاصة بك لتشفير الملفات باستخدام معيار JWE.
يتم شرح العملية والمعلمات (غير السرية) التي ستحتاج إليها أدناه، بالإضافة إلى الوصفة التي يجب اتباعها في أدوات التطوير التي تختارها. نقدم أيضًا بعض بيانات الاختبار ونقاط JWE الناتجة كما نتوقعها، لمساعدتك في التحقق من عمليتك.
يتوفر تطبيق مرجعي غير مدعوم باستخدام Python3 ومكتبة JWCrypto من Cisco عند الطلب.
-
قم بتسلسل وتشفير الشهادة والمفتاح باستخدام الأداة والسر الأولي للجهاز.
-
قم بتحميل مدونة JWE الناتجة إلى الجهاز.
-
حدد الغرض من الشهادة المشفرة لاستخدامها في هوية Webex، وقم بتنشيط الشهادة.
-
(يوصى بذلك) توفير واجهة لأداتك (أو توزيعها) لتمكين مستخدمي الجهاز من تغيير السر الأولي وحماية وسائطهم منك.
كيف نستخدم صيغة JWE
يصف هذا القسم كيف نتوقع إنشاء JWE كمدخل للأجهزة، بحيث يمكنك إنشاء الأداة الخاصة بك لإنشاء النقاط من شهاداتك ومفاتيحك.
راجع تشفير الويب JSON (JWE) https://datatracker.ietf.org/doc/html/rfc7516 وتوقيع ويب JSON (JWS) https://datatracker.ietf.org/doc/html/rfc7515.
نحن نستخدم التسلسل المضغوط لمستند JSON لإنشاء نقاط JWE. المعلمات التي تحتاج إلى تضمينها عند إنشاء نقاط JWE هي:
-
رأس جوزيه (محمي). في عنوان توقيع كائن JSON والتشفير، يجب تضمين أزواج قيم المفاتيح التالية:
-
«alg»: «dir»الخوارزمية المباشرة هي الوحيدة التي ندعمها لتشفير الحمولة، ويجب عليك استخدام سر العميل الأولي للجهاز.
-
«ENC»: «A128GCM» أو «ENC»: «A256GCM»نحن ندعم خوارزميات التشفير هاتين.
-
«cisco-action»: «إضافة» أو «إجراءcisco-action»: «تعبئة» أو «cisco-action»:«تنشيط» أو «إجراء cisco-action»:إلغاء التنشيط»«هذا مفتاح خاص وأربع قيم يمكن أن يتخذها. لقد قدمنا هذا المفتاح للإشارة إلى الغرض من البيانات المشفرة إلى الجهاز المستهدف. تتم تسمية القيم بعد أوامر xAPI على الجهاز الذي تستخدم فيه البيانات المشفرة.
أطلقنا عليها اسم
cisco-actionللتخفيف من الاشتباكات المحتملة مع ملحقات JWE المستقبلية. -
«cisco-kdf»: {«الإصدار»: «1"، «الملح»: «base64urlencodrandom4+بايت»}مفتاح ملكية آخر. نحن نستخدم القيم التي تقدمها كمدخلات لاشتقاق المفاتيح على الجهاز. يجب أن يكون
الإصدار1(إصدار وظيفة اشتقاق المفاتيح الخاصة بنا). يجب أن تكون قيمةالملحعبارة عن تسلسل base64 مشفر بعنوان URL لا يقل عن 4 بايت، ويجب عليك اختياره عشوائيًا.
-
-
مفتاح JWE المشفر. هذا الحقل فارغ. يستمدها الجهاز من برنامج
ClientSecretالأولي. -
متجه تهيئة JWE. يجب توفير متجه التهيئة المشفر base64url لفك تشفير الحمولة. يجب أن تكون قيمة IV عشوائية تبلغ 12 بايت (نحن نستخدم عائلة تشفير AES-GCM، والتي تتطلب أن يكون طول IV 12 بايت).
-
JWE AAD (بيانات مصادقة إضافية). يجب حذف هذا الحقل لأنه غير مدعوم في التسلسل المضغوط.
-
JWE Ciphertext: هذه هي الحمولة المشفرة التي تريد الحفاظ على سريتها.
قد تكون الحمولة فارغة. على سبيل المثال، لإعادة تعيين سر العميل، تحتاج إلى الكتابة فوقه بقيمة فارغة.
هناك أنواع مختلفة من الحمولات، اعتمادًا على ما تحاول القيام به على الجهاز. تتوقع أوامر xAPI المختلفة حمولات مختلفة، ويجب تحديد الغرض من الحمولة باستخدام مفتاح
cisco-action، كما يلي:-
باستخدام«cisco-action»: «populate»، يكون النصالمشفر هو ClientSecret الجديد. -
باستخدام "
«cisco-action»: «add»يكون النص المشفر عبارة عن فقاعة PEM تحمل الشهادة ومفتاحها الخاص (متسلسلة). -
باستخدام
«cisco-action»: «activate» يكون النص المشفر هو بصمة الإصبع (التمثيل السداسي عشري لـ sha-1) للشهادة التي نقوم بتنشيطهاللتحقق من هوية الجهاز. -
باستخدام "
«cisco-action»: «decativate»يكون النص المشفر هو بصمة الإصبع (تمثيل سداسي عشري لـ sha-1) للشهادة التي نقوم بإلغاء تنشيطها من استخدامها للتحقق من هوية الجهاز.
-
-
علامة مصادقة JWE: يحتوي هذا الحقل على علامة المصادقة للتأكد من سلامة فقاعة JWE المتسلسلة بشكل مضغوط
كيف نشتق مفتاح التشفير من ClientSecret
بعد نشر السر لأول مرة، لا نقبل السر أو نخرجه كنص عادي. هذا لمنع هجمات القاموس المحتملة من قبل شخص يمكنه الوصول إلى الجهاز.
يستخدم برنامج الجهاز سر العميل كمدخل لوظيفة اشتقاق المفاتيح (kdf) ثم يستخدم المفتاح المشتق لفك تشفير/تشفير المحتوى على الجهاز.
ما يعنيه هذا بالنسبة لك هو أن أداتك لإنتاج نقاط JWE يجب أن تتبع نفس الإجراء لاشتقاق نفس مفتاح التشفير/فك التشفير من سر العميل.
تستخدم الأجهزة برنامج scrypt لاشتقاق المفاتيح (انظر https://en.wikipedia.org/wiki/Scrypt)، مع المعلمات التالية:
-
عامل التكلفة (N) هو 32768
-
عامل حجم الكتلة (r) هو 8
-
عامل التوازي (p) هو 1
-
الملح عبارة عن تسلسل عشوائي لا يقل عن 4 بايت؛ يجب توفير هذا
الملحنفسه عند تحديد المعلمةcisco-kdf. -
أطوال المفاتيح هي إما 16 بايت (إذا قمت بتحديد خوارزمية AES-GCM 128)، أو 32 بايت (إذا قمت بتحديد خوارزمية AES-GCM 256)
-
الحد الأقصى لسعة الذاكرة هو 64 ميجابايت
هذه المجموعة من المعلمات هي التكوين الوحيد لـ scrypt المتوافق مع وظيفة اشتقاق المفاتيح على الأجهزة. يُطلق على kdf هذا على الأجهزة اسم «version» :"1"، وهو الإصدار الوحيد الذي يتم استخدامه حاليًا بواسطة المعلمة cisco-kdf.
مثال عملي
في ما يلي مثال يمكنك اتباعه للتحقق من أن عملية تشفير JWE تعمل بنفس العملية التي أنشأناها على الأجهزة.
سيناريو المثال هو إضافة نقطة PEM إلى الجهاز (تحاكي إضافة شهادة، بسلسلة قصيرة جدًا بدلاً من مفتاح cert + الكامل). سر العميل في المثال هو ossifrage.
-
اختر شفرة تشفير. يستخدم هذا المثال
A128GCM(AES مع مفاتيح 128 بت في وضع عداد Galois). يمكن لأداتك استخدامA256GCM إذا كنت تفضلذلك. -
اختر ملحًا (يجب أن يكون تسلسلًا عشوائيًا لا يقل عن 4 بايت). يستخدم هذا المثال (وحدات البايت السداسية)
E5 E6 53 08 03 F8 33 F6. يقوم base64URL بتشفير التسلسل للحصول على5eztCap4m_y(قم بإزالة حشوة base64). -
في ما يلي نموذج
استدعاء نصي لإنشاءمفتاح تشفير المحتوى (cek):cek=scrypt(password="ossifrage", salt=4-byte-sequence, N=32768, r=8, p=1, keylength=16)يجب أن يكون المفتاح المشتق 16 بايت (سداسي عشري) على النحو التالي:95 9e ba 6d d1 22 01 05 78 fe 6a 9d 22 78 ff ac الذي يقوم base64url بترميزه إلى lz66bdeiaqv4_mqdinj_ra. -
اختر تسلسلاً عشوائيًا من 12 بايت لاستخدامه كمتجه تهيئة.
يستخدم هذا المثال (hex)34 b3 5d dd 5f 53 7b في 2d 92 95 83 الذي يقوم base64url بترميزهإلى nlnd3v9te68tkpwd. -
قم بإنشاء رأس JOSE باستخدام التسلسل المضغوط (اتبع نفس ترتيب المعلمات الذي نستخدمه هنا) ثم قم بترميزه base64url:
{«alg»: «dir»، «cisco-action»: «add»، «cisco-kdf»: {«الملح»: «5eztcap4m_y»، «الإصدار»: «1"}، «enc»: «A128GCM"}عنوان JOSE الأساسي المشفر بعنوان 64 عنوان URL هو EYJHBGCIOIJKAXIILCJAXNJB بواسطة 1hy3rpb24iiJqiCjaxnjby1rzgyii2JQI5JIC 2JI IJVLWRDQVA0tv9ZIIWVV2LVBI6IIIFSWIZW5JIQTIOIDTSJ9سيكون هذا هو العنصر الأول في فقاعة JWE.
-
العنصر الثاني من JWE blob فارغ، لأننا لا نوفر مفتاح تشفير JWE.
-
العنصر الثالث من فقاعة JWE هو متجه التهيئة nlnd3v9te68tkpwd. - استخدم أداة تشفير JWE لإنتاج حمولة وعلامة مشفرة. في هذا المثال، ستكون الحمولة غير المشفرة هي فقاعة PEM المزيفة،
وهذاملف PEM.معايير التشفير التي يجب استخدامها هي:
الحمولة هي:
هذا ملف PEMتشفير التشفير هو AES 128 GCM
تم ترميز عنوان JOSE في base64url كبيانات مصادقة إضافية (AAD)
يقوم base64Url بتشفير الحمولة المشفرة، والتي يجب أن تؤدي إلى f5llvuwnfkfmzyco1yjfodhqهذا هو العنصر الرابع (JWE Ciphertext) في مدونة JWE.
-
يقوم base64Url بترميز العلامة التي أنتجتها في الخطوة 8، والتي من المفترض أن ينتج عنها pe-wdfwgxffbeo928cfz1qهذا هو العنصر الخامس في فقاعة JWE.
-
قم بربط العناصر الخمسة في مدونة JWE بالنقاط (joseHeader.. iv.ciphertext.tag) للحصول على:
EyjhbgCIOIJAXIILCJAXNJ BY1HY3RPB24IIJQIJQIJXNJ BY1RGGIC 2FSDCI6IJVWRDQVA0TV9ZIW2LVBII 6IJIFZW5IQETUDTSJ.. 9nlnd3v9TE68Tkpwd.f5lvwnFK fmzyco1yjfodhq.pe-wdfwgxffbeo928cfz1q -
إذا قمت باستخراج نفس قيم base64url المشفرة كما نعرضها هنا، باستخدام أدواتك الخاصة، فأنت على استعداد لاستخدامها لتأمين تشفير E2E والهوية التي تم التحقق منها لأجهزتك.
-
لن يعمل هذا المثال فعليًا، ولكن من حيث المبدأ ستكون خطوتك التالية هي استخدام JWE blob الذي أنشأته أعلاه كمدخل إلى الأمر xcommand على الجهاز الذي يضيف الشهادة:
شهادات أمان الأوامر إضافة ejhbgCIOIJAXIIJJAXNJ بواسطة 1hy3rpB24IIJHZGQIJAXNJبواسطة 1rzgyii2fsdci6Ijvwlrdqa0tv9ziiVvi6Ijifwizw5jiiQETUEDDTSJ.. 9nlnd3v9TE68tkpwd.ff5 لترات من نوع FKFMZYCO 1YJFODHQ.pe-wdfgxffbeo928cfz1q
تتوفر أنواع الجلسات للاجتماعات الخالية من الثقة لجميع مواقع الاجتماعات دون أي تكلفة إضافية. يُطلق على أحد أنواع الجلسات هذه اسم Pro-End to Encryption_VOIPOnly. هذا هو اسم الخدمة العامة، والذي قد نقوم بتغييره في المستقبل. للحصول على الأسماء الحالية لأنواع الجلسات، راجع معرفات نوع الجلسة في قسم المرجع من هذه المقالة.
لا يوجد شيء تحتاج إلى القيام به للحصول على هذه الإمكانية لموقعك؛ تحتاج إلى منح نوع الجلسة الجديد (المعروف أيضًا باسم Meeting Privilege) للمستخدمين. يمكنك القيام بذلك بشكل فردي من خلال صفحة تكوين المستخدم، أو بشكل مجمّع باستخدام تصدير/استيراد CSV.
| 1 |
قم بتسجيل الدخول إلى Control Hub، وانتقل إلى . |
| 2 |
انقر على المواقع، واختر موقع Webex الذي تريد تغيير إعداداته، ثم انقر فوق الإعدادات. |
| 3 |
ضمن الإعدادات العامة، حدد أنواع الجلسات. يجب أن تشاهد نوعًا واحدًا أو أكثر من أنواع جلسات التشفير من طرف إلى طرف. راجع قائمة معرفات نوع الجلسة في قسم المراجع من هذه المقالة. على سبيل المثال، قد ترى التشفير من البداية إلى النهاية (Pro-End to End) فقط.
هناك نوع جلسة قديم يحمل اسمًا مشابهًا جدًا: تشفير Pro-End to End. يتضمن نوع الجلسة هذا وصول PSTN غير المشفر إلى الاجتماعات. تأكد من أن لديك إصدار _VoipOnly لضمان التشفير من البداية إلى النهاية. يمكنك التحقق من خلال تمرير مؤشر الماوس فوق رابط PRO في عمود رمز الجلسة؛ على سبيل المثال، يجب أن يكون الهدف من الرابط هو قد نقوم بتغيير أسماء الخدمة العامة لأنواع الجلسات هذه في المستقبل. |
| 4 |
إذا لم يكن لديك نوع الجلسة الجديد بعد، فاتصل بممثل Webex الخاص بك. |
ما يجب القيام به بعد ذلك
قم بتمكين نوع الجلسة هذا/امتياز الاجتماع لبعض المستخدمين أو جميعهم.
| 1 |
قم بتسجيل الدخول إلى Control Hub، وانتقل إلى . |
| 2 |
حدد حساب مستخدم لتحديثه، ثم حدد الاجتماعات. |
| 3 |
من الإعدادات التي تنطبق على القائمة المنسدلة، حدد موقع الاجتماع للتحديث. |
| 4 |
ضع علامة في المربع بجوار التشفير من البداية إلى النهاية - VOIPOnly. |
| 5 |
أغلق لوحة تكوين المستخدم. |
| 6 |
كرر ذلك للمستخدمين الآخرين إذا لزم الأمر. لتعيين هذا للعديد من المستخدمين، استخدم الخيار التالي، تمكين اجتماعات E2EE لعدة مستخدمين. |
| 1 |
قم بتسجيل الدخول إلى Control Hub، وانتقل إلى . |
| 2 |
انقر فوق المواقع، واختر موقع Webex الذي تريد تغيير إعداداته. |
| 3 |
في قسم التراخيص والمستخدمين، انقر فوق الإدارة المجمعة. |
| 4 |
انقر فوق إنشاء تقرير، وانتظر حتى نقوم بإعداد الملف. |
| 5 |
عندما يكون الملف جاهزًا، انقر فوق تصدير النتائج ثم تنزيل. (يجب إغلاق هذه النافذة المنبثقة يدويًا بعد النقر فوق تنزيل.) |
| 6 |
افتح ملف CSV الذي تم تنزيله للتحرير. يوجد صف لكل مستخدم، ويحتوي عمود |
| 7 |
يحتوي مرجع تنسيق ملف Webex CSV على تفاصيل حول الغرض من ملف CSV ومحتوياته. |
| 8 |
افتح لوحة تكوين موقع الاجتماع في Control Hub. إذا كنت موجودًا بالفعل في صفحة قائمة مواقع الاجتماع، فقد تحتاج إلى تحديثها. |
| 9 |
في قسم التراخيص والمستخدمين، انقر فوق الإدارة المجمعة. |
| 10 |
انقر فوق استيراد وحدد CSV المحرر، ثم انقر فوق الاستيراد. انتظر حتى يتم تحميل الملف. |
| 11 |
عند الانتهاء من الاستيراد، يمكنك النقر فوق نتائج الاستيراد لمراجعة ما إذا كانت هناك أية أخطاء. |
| 12 |
انتقل إلى صفحة المستخدمين وافتح أحد المستخدمين للتحقق من أن لديهم نوع الجلسة الجديد. |
يمكنك إضافة علامة مائية إلى تسجيلات الاجتماعات باستخدام نوع جلسة Webex MeetingsPro-End to End Encryption_VOIPOnly، والذي يسمح لك بتحديد العميل المصدر أو الجهاز للتسجيلات غير المصرح بها للاجتماعات السرية.
عند تمكين هذه الميزة، يتضمن صوت الاجتماع معرفًا فريدًا لكل عميل أو جهاز مشارك. يمكنك تحميل التسجيلات الصوتية إلى Control Hub، الذي يقوم بعد ذلك بتحليل التسجيل والبحث عن المعرفات الفريدة. يمكنك الاطلاع على النتائج لمعرفة العميل المصدر أو الجهاز الذي سجل الاجتماع.
- لكي يتم التحليل، يجب أن يكون التسجيل عبارة عن ملف AAC أو MP3 أو M4A أو WAV أو MP4 أو AVI أو MOV لا يزيد حجمه عن 500 ميجابايت.
- يجب أن يكون التسجيل أطول من 100 ثانية.
- يمكنك فقط تحليل تسجيلات الاجتماعات التي يستضيفها الأشخاص في مؤسستك.
- يتم الاحتفاظ بمعلومات العلامة المائية لنفس مدة معلومات اجتماع المؤسسة.
إضافة علامات مائية صوتية إلى اجتماعات E2EE
- قم بتسجيل الدخول إلى Control Hub، ثم ضمن الإدارة، حدد إعدادات المؤسسة.
- في قسم العلامات المائية للاجتماع، قم بالتبديل إلى إضافة علامة مائية صوتية.
بعد مرور بعض الوقت على تشغيل هذا، يرى المستخدمون الذين يقومون بجدولة الاجتماعات باستخدام نوع جلسة
Webex MeetingsPro-End to End encryption_VOIPOnlyخيار وضع علامة مائية رقمية في قسم الأمان.
قم بتحميل وتحليل اجتماع يحمل علامة مائية
- في Control Hub، ضمن المراقبة، حدد استكشاف الأخطاء وإصلاحها.
- انقر فوق تحليل العلامة المائية.
- ابحث عن الاجتماع أو حدده في القائمة، ثم انقر فوق التحليل.
- في نافذة تحليل العلامة المائية الصوتية، أدخل اسمًا لتحليلك.
- (اختياري) أدخل ملاحظة لتحليلك.
- قم بسحب وإسقاط الملف الصوتي لتحليله، أو انقر فوق اختيار ملف لاستعراض الملف الصوتي.
- انقر فوق إغلاق.
عند اكتمال التحليل، سيتم عرضه في قائمة النتائج على صفحة تحليل العلامة المائية.
- حدد الاجتماع في القائمة لمشاهدة نتائج التحليل. انقر
لتنزيل النتائج.
الميزات والقيود
تشمل العوامل المشاركة في فك تشفير العلامة المائية المسجلة بنجاح المسافة بين جهاز التسجيل والسماعة التي تخرج الصوت، وحجم هذا الصوت، والضوضاء البيئية، وما إلى ذلك. تتمتع تقنية العلامات المائية الخاصة بنا بمرونة إضافية في التشفير عدة مرات، كما قد يحدث عند مشاركة الوسائط.
تم تصميم هذه الميزة لتمكين فك التشفير الناجح لمعرف العلامة المائية في مجموعة واسعة ولكن معقولة من الظروف. هدفنا هو أن يقوم جهاز التسجيل، مثل الهاتف المحمول، الموجود على مكتب بالقرب من نقطة نهاية شخصية أو عميل كمبيوتر محمول، دائمًا بإنشاء تسجيل ينتج عنه تحليل ناجح. عندما يتم نقل جهاز التسجيل بعيدًا عن المصدر، أو يتم حجبه عن سماع الطيف الصوتي الكامل، تقل فرص التحليل الناجح.
من أجل تحليل التسجيل بنجاح، يلزم التقاط معقول لصوت الاجتماع. إذا تم تسجيل صوت الاجتماع على نفس الكمبيوتر الذي يستضيف العميل، فلا يجب تطبيق القيود.
إذا كانت أجهزتك مدمجة بالفعل في مؤسسة Control Hub الخاصة بك وتريد استخدام Webex CA لإنشاء شهادات التعريف الخاصة بها تلقائيًا، فلن تحتاج إلى إعادة ضبط إعدادات المصنع للأجهزة.
يحدد هذا الإجراء المجال الذي يستخدمه الجهاز لتعريف نفسه، ويكون مطلوبًا فقط إذا كان لديك نطاقات متعددة في مؤسسة Control Hub الخاصة بك. إذا كان لديك أكثر من نطاق واحد، نوصيك بإجراء ذلك على جميع أجهزتك التي ستحمل هوية «تم التحقق منها من Cisco». إذا لم تخبر Webex بالنطاق الذي يحدد الجهاز، فسيتم اختيار أحد النطاقات تلقائيًا، وقد يبدو خاطئًا للمشاركين الآخرين في الاجتماع.
قبل أن تبدأ
إذا لم تكن أجهزتك مدمجة بعد، فاتبع تسجيل جهاز Cisco Webex لاستخدام API أو واجهة الويب المحلية أو الإعداد السحابي لسلسلة لوحات الإدارة والمكتب والغرفة. يجب عليك أيضًا التحقق من المجال/النطاقات التي تريد استخدامها لتحديد الأجهزة في إدارة المجالات الخاصة بك.
| 1 |
قم بتسجيل الدخول إلى Control Hub، وضمن الإدارة، حدد الأجهزة. |
| 2 |
حدد جهازًا لفتح لوحة التكوين الخاصة به. |
| 3 |
حدد المجال الذي تريد استخدامه لتعريف هذا الجهاز. |
| 4 |
كرر ذلك للأجهزة الأخرى. |
قبل أن تبدأ
-
احصل على شهادة موقعة من CA ومفتاح خاص،
بتنسيق.pem، لكل جهاز. -
ضمن علامة التبويب «التحضير»، اقرأ الموضوع «فهم عملية الهوية الخارجية للأجهزة»،
-
قم بإعداد أداة تشفير JWE فيما يتعلق بالمعلومات الموجودة هناك.
-
تأكد من أن لديك أداة لإنشاء تسلسلات بايت عشوائية بأطوال معينة.
-
تأكد من أن لديك أداة لتشفير base64url للبايتات أو النص.
-
تأكد من أن لديك تطبيق
سكربت. -
تأكد من وجود كلمة أو عبارة سرية لكل جهاز.
| 1 |
قم بتعبئة في المرة الأولى التي تقوم فيها بملء يحتوي الجهاز على سره الأولي. لا تنس هذا؛ لا يمكنك استعادته ويجب إعادة ضبط الجهاز في المصنع للبدء من جديد.
|
| 2 |
قم بتوصيل شهادتك والمفتاح الخاص: |
| 3 |
قم بإنشاء فقاعة JWE لاستخدامها كمدخل إلى أمر إضافة الشهادة: |
| 4 |
افتح TShell على الجهاز وقم بتشغيل أمر الإضافة (متعدد الأسطر): |
| 5 |
تحقق من إضافة الشهادة عن طريق تشغيل انسخ بصمة الشهادة الجديدة. |
| 6 |
قم بتنشيط الشهادة لغرض يحتوي الجهاز على شهادة مشفرة ونشطة صادرة عن CA وجاهزة للاستخدام لتحديد هويته في اجتماعات Webex المشفرة من البداية إلى النهاية.
|
| 7 |
قم بتوصيل الجهاز بمؤسسة Control Hub الخاصة بك. |
| 1 |
قم بجدولة اجتماع من النوع الصحيح (Webex MeetingsPro-End إلى End-Encryption_VOIPOnly). |
| 2 |
انضم إلى الاجتماع كمضيف، من Webex Meetings عميل. |
| 3 |
انضم إلى الاجتماع من جهاز تم التحقق من هويته بواسطة Webex CA. |
| 4 |
بصفتك المضيف، تحقق من ظهور هذا الجهاز في الردهة برمز الهوية الصحيح. |
| 5 |
انضم إلى الاجتماع من جهاز تم التحقق من هويته بواسطة مرجع مصدق خارجي. |
| 6 |
بصفتك المضيف، تحقق من ظهور هذا الجهاز في الردهة برمز الهوية الصحيح. تعرف على المزيد حول رموز الهوية. |
| 7 |
انضم إلى الاجتماع كمشارك غير مصدق في الاجتماعات. |
| 8 |
بصفتك المضيف، تحقق من ظهور هذا المشارك في الردهة برمز الهوية الصحيح. |
| 9 |
بصفتك المضيف، قم بقبول الأشخاص/الأجهزة أو رفضها. |
| 10 |
تحقق من هويات المشاركين/الأجهزة حيثما أمكن عن طريق التحقق من الشهادات. |
| 11 |
تأكد من أن كل شخص في الاجتماع يرى نفس رمز أمان الاجتماع. |
| 12 |
انضم إلى الاجتماع مع مشارك جديد. |
| 13 |
تأكد من أن الجميع يرون نفس رمز أمان الاجتماع الجديد. |
-
هل ستقوم بجعل الاجتماعات المشفرة من البداية إلى النهاية خيار الاجتماع الافتراضي، أو تمكينها لبعض المستخدمين فقط، أو السماح لجميع المضيفين باتخاذ القرار؟ عندما تقرر كيفية استخدام هذه الميزة، قم بإعداد هؤلاء المستخدمين الذين سيستخدمونها، خاصة فيما يتعلق بالقيود وما يمكن توقعه في الاجتماع.
-
هل تحتاج إلى التأكد من عدم قدرة Cisco أو أي شخص آخر على فك تشفير المحتوى الخاص بك أو انتحال شخصية أجهزتك؟ إذا كان الأمر كذلك، فأنت بحاجة إلى شهادات من CA عام.
-
إذا كانت لديك مستويات مختلفة من التحقق من الهوية، فقم بتمكين المستخدمين من التحقق من بعضهم البعض باستخدام هوية مدعومة بشهادة. على الرغم من وجود ظروف يمكن أن يظهر فيها المشاركون على أنهم لم يتم التحقق منهم، ويجب أن يعرف المشاركون كيفية التحقق، فقد لا يكون الأشخاص الذين لم يتم التحقق منهم محتالين.
إذا كنت تستخدم مصدقة خارجية لإصدار شهادات جهازك، فستقع على عاتقك مسؤولية مراقبة الشهادات وتحديثها وإعادة تطبيقها.
إذا قمت بإنشاء السر الأولي، فافهم أن المستخدمين قد يرغبون في تغيير سر أجهزتهم. قد تحتاج إلى إنشاء واجهة/توزيع أداة لتمكينهم من القيام بذلك.
|
معرف نوع الجلسة |
اسم الخدمة العامة |
|---|---|
|
638 |
تشفير E2E+VoIP فقط |
|
652 |
التشفير الاحترافي من البداية إلى النهاية - VOIP فقط |
|
660 |
برو 3: تشفير مجاني من طرف إلى طرف _ VOIP فقط تشفير E2E + الهوية |
|
672 |
Pro 3 - تشفير مجاني من 50 إلى طرف - VoIP فقط |
|
673 |
تشفير E2E لمدرب التعليم - VoIP فقط |
|
676 |
معيار Broadworks بالإضافة إلى التشفير من البداية إلى النهاية |
|
677 |
برودووركس بريميوم بالإضافة إلى التشفير من البداية إلى النهاية |
|
681 |
Schoology Free بالإضافة إلى التشفير من البداية إلى النهاية |
تصف هذه الجداول أوامر API لأجهزة Webex التي أضفناها للاجتماعات المشفرة من البداية إلى النهاية والهوية التي تم التحقق منها. لمزيد من المعلومات حول كيفية استخدام واجهة برمجة التطبيقات، راجع الوصول إلى واجهة برمجة التطبيقات لأجهزة Board وDesk وRoom Series.
أوامر xAPI هذه متاحة فقط على الأجهزة التي تكون إما:
-
مسجل في Webex
-
مسجل محليًا ومرتبط بـ Webex مع Webex Edge for Devices
|
استدعاء API |
وصف |
|---|---|
|
|
يتم إجراء هذا التكوين عندما يقوم المشرف بتعيين المجال المفضل للجهاز من Control Hub. ضروري فقط إذا كان لدى المؤسسة أكثر من مجال واحد. يستخدم الجهاز هذا المجال عندما يطلب شهادة من Webex CA. ثم يقوم المجال بتعريف الجهاز. لا ينطبق هذا التكوين عندما يكون لدى الجهاز شهادة نشطة صادرة من الخارج لتعريف نفسه. |
|
|
يشير إلى ما إذا كان الجهاز يمكنه الانضمام إلى اجتماع مشفر من طرف إلى طرف. تقوم واجهة برمجة التطبيقات السحابية باستدعائها حتى يعرف التطبيق المقترن ما إذا كان يمكنه استخدام الجهاز للانضمام. |
|
|
يشير إلى ما إذا كان الجهاز يستخدم التحقق |
|
|
هوية الجهاز كما تمت قراءتها من الاسم الشائع للشهادة الصادرة خارجيًا. |
|
|
يقرأ معلومات محددة من شهادة صادرة خارجيًا. في الأمر الموضح، استبدل
|
|
|
حالة الهوية الخارجية للجهاز (على سبيل المثال، |
|
|
يشير إلى ما إذا كان الجهاز يحتوي على شهادة صالحة صادرة عن Webex CA. |
|
|
هوية الجهاز كما تمت قراءتها من الاسم الشائع للشهادة الصادرة من WebEx. يحتوي على اسم مجال إذا كان لدى المؤسسة مجال. تكون فارغة إذا لم يكن لدى المؤسسة مجال. إذا كان الجهاز في مؤسسة تحتوي على نطاقات متعددة، فهذه هي القيمة من |
|
|
يقرأ معلومات محددة من الشهادة الصادرة من WebEx. في الأمر الموضح، استبدل
|
|
استدعاء API |
وصف |
|---|---|
|
|
|
استدعاء API |
وصف |
|---|---|
أو
| يقبل قيمة النص العادي المشفرة base64url لزرع سر العميل على الجهاز لأول مرة. لتحديث السر بعد تلك المرة الأولى، يجب عليك توفير فقاعة JWE تحتوي على السر الجديد المشفر بالسر القديم. |
| يضيف شهادة (مع مفتاح خاص). قمنا بتوسيع هذا الأمر لقبول كتلة JWE التي تحتوي على بيانات PEM المشفرة. |
| يقوم بتنشيط شهادة محددة لـ WebExIdentity. لهذا |
| يقوم بإلغاء تنشيط شهادة محددة لـ WebExIdentity. لهذا |
