Děkujeme za vaši zpětnou vazbu.

Funkce zabezpečení chrání před hrozbami, včetně ohrožení identity telefonu a dat. Tyto funkce vytvářejí a udržují ověřené komunikační toky mezi telefonem a serverem systému Cisco Unified Communications Manager. Zajišťují, že telefon používá pouze digitálně podepsané soubory.

Systém Cisco Unified Communications Manager verze 8.5(1) a novější obsahuje funkci Zabezpečení ve výchozím nastavení, která poskytuje následující funkce zabezpečení pro Cisco IP telefony bez spuštění klienta CTL:

• Podepisování konfiguračních souborů telefonu

• Šifrování konfiguračního souboru telefonu

• HTTPS s Tomcatem a dalšími webovými službami

Implementace zabezpečení v systému Cisco Unified Communications Manager zabraňuje krádeži identity telefonu a serveru systému Cisco Unified Communications Manager, zabraňuje manipulaci s daty i se signalizací hovorů a datovým tokem média.

Pro zmírnění těchto hrozeb síť IP telefonie Cisco vytváří a udržuje zabezpečené (šifrované) komunikační toky mezi telefonem a serverem, digitálně podepisuje soubory před jejich přenosem do telefonu a šifruje datové toky médii i signalizaci hovorů mezi Cisco IP telefony.

Certifikát s místní platností (LSC) se do telefonů nainstaluje po provedení nezbytných úloh, které souvisejí se službou Certificate Authority Proxy Function (CAPF). Pomocí Cisco Unified Communications Manager Administration můžete nakonfigurovat LSC, jak je popsáno v příručce Cisco Unified Communications Manager Security Guide. Případně můžete zahájit instalaci LSC z nabídky Zabezpečení v telefonu. Tato nabídka také umožňuje aktualizovat nebo odebrat certifikát LSC.

Telefony používají profil zabezpečení telefonu, který určuje, zda je zařízení nezabezpečené nebo zabezpečené. Informace o použití profilu zabezpečení v telefonu naleznete v dokumentaci k příslušné vydané verzi systému Cisco Unified Communications Manager.

Pokud konfigurujete nastavení související se zabezpečením ve správě systému Cisco Unified Communications Manager, obsahuje konfigurační soubor telefonu citlivé informace. Pokud chcete zajistit ochranu soukromí konfiguračního souboru, musíte jej nakonfigurovat pro šifrování. Podrobné informace naleznete v dokumentaci ke konkrétní verzi systému Cisco Unified Communications Manager.

Následující tabulka obsahuje přehled vlastností zabezpečení, které telefony podporují. Další informace naleznete v dokumentaci ke konkrétní verzi aplikace Cisco Unified Communications Manager.

Následující tabulka obsahuje zprávy varování o aktualizaci seznamu důvěryhodných certifikátů a jejich význam. Další informace viz dokumentace k Cisco Unified Communications Manager.

Pokud je pro telefon implementováno zabezpečení, můžete zabezpečené telefonní hovory identifikovat podle ikon na obrazovce telefonu. Pokud se na začátku hovoru ozve bezpečnostní tón, znamená to, že je připojený telefon zabezpečený a chráněný.

Během zabezpečeného hovoru jsou všechny signály hovoru a datové toky médií šifrovány. Zabezpečený hovor nabízí vysokou úroveň zabezpečení a zajišťuje integritu i soukromí hovoru. Když je probíhající hovor šifrovaný, zobrazí se ikona zabezpečení Na lince.

V Cisco Unified Communications Manager lze telefonům nakonfigurovaným jako zabezpečené (šifrované a důvěryhodné) přiřadit chráněný stav. Jakmile jsou tato zařízení chráněna, lze je nakonfigurovat tak, aby na začátku každého hovoru přehrála tón zabezpečení.

• Chráněné zařízení:

  Chcete-li změnit stav zabezpečeného telefonu na chráněný, postupujte takto:

  1. V Cisco Unified Communications Manager Administration vyberte Zařízení > Telefon.
  2. Vyhledejte telefon, který nastavíte.
  3. V okně Konfigurace telefonu zaškrtněte políčko Chráněné zařízení .
  4. Klikněte na položku Uložit.

• Přehrát zabezpečený indikační tón:

  Chcete-li, aby chráněný telefon přehrával zabezpečený nebo nezabezpečený indikační tón, postupujte takto:

  1. V Cisco Unified Communications Manager Administration vyberte Parametry systému >služby.
  2. Vyberte server a pak službu Cisco CallManager .
  3. V oblasti Parametry (funkce - Zabezpečený tón) na úrovni klastru nastavte tón přehrávání na indikaci stavu zabezpečeného/nezabezpečeného hovoru na hodnotu True.
  4. Klikněte na položku Uložit.

Protože všechna zařízení WLAN, která jsou v dosahu, mohou přijímat veškerý ostatní provoz WLAN, je zabezpečení hlasové komunikace v sítích WLAN velmi důležité. Aby bylo zajištěno, že vetřelci nebudou manipulovat ani zachycovat hlasový provoz, architektura Cisco SAFE Security podporuje telefon. Další informace o zabezpečení v sítích naleznete v tématu http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Telefonní řešení Cisco Wireless IP poskytuje zabezpečení bezdrátové sítě, které zabraňuje neoprávněným přihlášením a narušené komunikaci pomocí následujících metod ověřování, které telefon podporuje.

• Otevřené ověření: V otevřeném systému může o ověření požádat jakékoli bezdrátové zařízení. Přístupový bod, který obdrží požadavek, může povolit ověření libovolnému žadateli nebo pouze žadatelům, kteří se nacházejí v seznamu uživatelů. Komunikace mezi bezdrátovým zařízením a přístupovým bodem (AP) může být nešifrovaná.

• Flexibilní ověřování pomocí zabezpečeného tunelového propojení (EAP-FAST): Tato architektura zabezpečení klient-server šifruje EAP transakce v tunelovém propojení TLS (Transport Level Security) mezi přístupovým bodem a serverem RADIUS, jako je například Identity Services Engine (ISE).

  Tunel TLS používá k ověřování mezi klientem (telefonem)   serverem RADIUS chráněná pověření (PAC). Server odešle ID autority (AID) klientovi (telefonu), který následně vybere příslušné pověření PAC. Klient (telefon) vrátí serveru RADIUS zprávu PAC-Opaque. Server dešifruje pověření PAC pomocí primárního klíče. Oba koncové body nyní obsahují klíč PAC a dojde k vytvoření tunelu TLS. Ověření EAP-FAST podporuje automatické poskytování pověření PAC, ale je nutné jej povolit na serveru RADIUS.

  V ISE ve výchozím nastavení vyprší platnost PAC za jeden týden. Pokud má telefon neplatné pověření PAC, ověření pomocí serveru RADIUS potrvá déle, než telefon získá nové pověření PAC. Pokud chcete předejít zpoždění při poskytování pověření PAC, nastavte na serveru ISE nebo RADIUS dobu platnosti pověření PAC na 90 dní nebo delší.

• Ověření EAP-TLS (Extensible Authentication Protocol-Transport Layer Security): Zabezpečení EAP-TLS vyžaduje pro ověření a přístup k síti klientský certifikát. Pro bezdrátový EAP-TLS může být klientský certifikát MIC, LSC, nebo certifikát nainstalovaný uživatelem.

• PEAP (Protected Extensible Authentication Protocol): Proprietární schéma vzájemného ověřování založené na hesle mezi klientem (telefonem) a serverem RADIUS. Telefon může použít PEAP pro ověření v bezdrátové síti. Podporovány jsou metody ověření PEAP-MSCHAPV2 i PEAP-GTC.

• Předsdílený klíč (PSK): Telefon podporuje formáty ASCII a šestnáctkové formáty (HEX). Tyto formáty je nutné použít při nastavování předsdíleného klíče WPA2/SAE.

  ASCII: Řetězec znaků ASCII s délkou 8 až 63 znaků (0-9, malá písmena a-z, velká písmena A-Z a speciální znaky). Například GREG123567@9ZX&W.

  HEX: Hexadecimální znakový řetězec s délkou 64 hexadecimálních číslic (0-9, a-f nebo A-F).

Následující schémata ověření používají ke správě ověřovacích klíčů server RADIUS:

• WPA2/WPA3: Používá informace serveru RADIUS ke generování jedinečných klíčů pro ověření. Protože jsou tyto klíče generovány na centralizovaném serveru RADIUS, poskytuje WPA2/WPA3 vyšší zabezpečení než předsdílený klíč WPA, který je uložen na přístupovém bodu a v telefonu.

• Rychlý zabezpečený roaming: Ke správě a ověřování klíčů používá server RADIUS a informace serveru bezdrátové domény (WDS). Služba WDS vytvoří mezipaměť s pověřeními zabezpečení pro klientská zařízení s povoleným protokolem FT pro rychlé a bezpečné opětovné ověření.

U WPA2/WPA3 se šifrovací klíče nezadávají do telefonu, ale jsou automaticky odvozeny mezi přístupovým bodem a telefonem. Uživatelské jméno a heslo EAP, které se používají pro ověření, však musí být zadány v každém telefonu.

Z důvodu ochrany hlasového provozu prostřednictvím bezdrátového spojení podporuje telefon šifrování založené na AES pro ověřování WPA2/WPA3. AES je symetrická bloková šifra standardizovaná NIST. AES používá pevnou velikost bloku 128 bitů a podporuje velikosti klíčů 128 bitů, 192 bitů a 256 bitů. V sítích Wi-Fi je AES používán šifrovacími sadami, jako je CCMP nebo GCMP, zatímco ověřování je poskytováno odděleně PSK, SAE nebo 802.1X/EAP, v závislosti na nakonfigurovaném režimu zabezpečení WLAN. Podporovaná šifrovací sada a velikost klíče závisí na modelu telefonu a konfiguraci WLAN.

Pokud telefon používá šifrování AES, jsou mezi přístupovým bodem a telefonem šifrovány jak signalizační pakety SIP, tak hlasové pakety protokolu RTP (Real-Time Transport Protocol).

V rámci bezdrátové sítě LAN jsou nastavena schémata ověření a šifrování. Sítě VLAN jsou konfigurovány v síti a na přístupových bodech a určují různé kombinace ověřování a šifrování. Identifikátor SSID je spojen se sítí VLAN a konkrétním schématem ověření a šifrování. Aby bylo možné úspěšně ověřit klientská zařízení bezdrátové sítě, je nutné nakonfigurovat stejné identifikátory SSID s jejich schématy ověřování a šifrování v přístupových bodech a v telefonu.

Některá schémata ověření vyžadují specifické typy šifrování.

Schémata ověřování a šifrování v následující tabulce zobrazují možnosti konfigurace sítě pro Cisco Wireless Phone 9821, který odpovídá konfiguraci přístupového bodu.

Cisco Wireless Phone 9821 podporuje ověřování 802.1X pro kabelové sítě. Obvykle se používá při automatickém zřizování, když je telefon připojen k nabíječce stolního počítače prostřednictvím podporovaného adaptéru USB-Ethernet.

Podpora ověřování 802.1X v kabelových sítích vyžaduje několik následujících součástí:

• Cisco IP telefon: Telefon iniciuje požadavek na přístup k síti. Cisco IP telefony obsahují žádající port 802.1X. Tento žádající port umožňuje správcům sítě řídit připojení IP telefonů k portům přepínače LAN. Aktuální verze žádajícího portu telefonu 802.1X používá pro ověřování sítě možnosti EAP-FAST a EAP-TLS.

• Ověřovací server: Ověřovací server i přepínač musí být nakonfigurované se sdíleným tajným klíčem RADIUS.

• Přepínač: Přepínač musí podporovat standard 802.1X, aby mohl fungovat jako ověřovatel a přenášet zprávy EAP mezi telefonem a ověřovacím serverem. Po dokončení výměny přepínač povolí nebo zamítne přístup telefonu k síti.

Cisco IP telefony a přepínače Cisco Catalyst obvykle používají protokol CDP (Cisco Discovery Protocol) ke vzájemné identifikaci a určení parametrů, jako je přidělení VLAN a požadavky na napájení v síti.

Pro konfiguraci protokolu 802.1X je třeba provést následující akce.

• Nakonfigurujte CDP/LLDP hlasový VLAN bypass.

• Před povolením ověřování 802.1X pro kabelové sítě v telefonu nakonfigurujte ověřovací server a přepínač.

• Konfigurace hlasové sítě VLAN: Protože standard 802.1X nepočítá se sítí VLAN, měli byste toto nastavení nakonfigurovat na základě podpory přepínače.

  • Povoleno: Pokud používáte přepínač, který podporuje ověřování více domén, můžete ho nakonfigurovat tak, aby používal hlasovou VLAN.
  • Zakázáno: Pokud přepínač nepodporuje vícedoménové ověřování, zakažte hlasovou síť VLAN a zvažte přiřazení portu k nativní síti VLAN.

• Cisco Wireless Phone 9821 má v PID jinou předponu než u ostatních Cisco telefonů. Chcete-li, aby telefon prošel ověřováním 802.1X, nastavte Radius· User-Name parametr pro zahrnutí Cisco Wireless Phone 9821.

  Například PID Cisco Wireless Phone 9821 je WP-9821. Můžete nastavit Radius· User-Name to Start with WP nebo Obsahuje WP v obou následujících částech:

  • Zásady > Podmínky > Podmínky knihovny

  • Zásady > Sady zásad> Zásady autorizace> Autorizační pravidlo 1