Děkujeme za vaši zpětnou vazbu.

Bezpečnostní funkce chrání před hrozbami, včetně ohrožení identity telefonu a dat. Tyto funkce vytvářejí a udržují ověřené komunikační toky mezi telefonem a Cisco Unified Communications Manager serverem a zajišťují, že telefon používá pouze digitálně podepsané soubory.

Cisco Unified Communications ManagerVerze 8.5 (1) a novější obsahuje ve výchozím nastavení zabezpečení, které poskytuje následující funkce zabezpečení pro telefony Cisco IP bez spuštění klienta CTL:

• Podepisování konfiguračních souborů telefonu

• Šifrování konfiguračního souboru telefonu

• HTTPS s Tomcat a dalšími webovými službami

Implementace zabezpečení v Cisco Unified Communications Manager systému zabraňuje krádeži identity telefonu a Cisco Unified Communications Manager serveru, zabraňuje manipulaci s daty a zabraňuje signalizaci hovorů a manipulaci s médii.

Aby se tyto hrozby zmírnily, síť Cisco IP telefonie vytváří a udržuje zabezpečené (šifrované) komunikační toky mezi telefonem a serverem, digitálně podepisuje soubory před jejich přenosem do telefonu a šifruje toky médií a signalizaci hovorů mezi IP telefony Cisco.

Lokálně významný certifikát (LSC) se nainstaluje do telefonů poté, co provedete nezbytné úkoly spojené s funkcí Certificate Authority proxy (CAPF). Můžete použít Cisco Unified Communications Manager Administration ke konfiguraci LSC, jak je popsáno v Příru čce Cisco Unified Communications Manager zabezpečení. Alternativně můžete zahájit instalaci LSC z nabídky Zab ez pečení v telefonu. Tato nabídka také umožňuje aktualizovat nebo ode brat LSC.

Telefony používají profil zabezpečení telefonu, který definuje, zda je zařízení nezabezpečené nebo zabezpečené. Informace o použití profilu zabezpečení na telefon naleznete v dokumentaci ke konkrétní Cisco Unified Communications Manager verzi.

Pokud nakonfigurujete nastavení související se zabezpečením v aplikaciCisco Unified Communications Manager Administration, konfigurační soubor telefonu obsahuje citlivé informace. Chcete-li zajistit soukromí konfiguračního souboru, musíte jej nakonfigurovat pro šifrování. Podrobné informace naleznete v dokumentaci ke konkrétní Cisco Unified Communications Manager verzi.

Následující tabulka obsahuje přehled funkcí zabezpečení, které telefony podporují. Další informace naleznete v dokumentaci ke konkrétní Cisco Unified Communications Manager verzi.

Následující tabulka obsahuje zprávy alarmů aktualizace seznamu důvěryhodnosti a význam. Další informace naleznete v Cisco Unified Communications Manager dokumentaci.

Když je pro telefon implementováno zabezpečení, můžete identifikovat zabezpečené telefonní hovory pomocí ikon na obrazovce telefonu. Můžete také určit, zda je připojený telefon zabezpečený a chráněný, pokud se na začátku hovoru přehraje bezpečnostní tón.

V zabezpečeném hovoru jsou všechny signály hovorů a mediální toky šifrovány. Zabez pečené volání nabízí vysokou úroveň zabezpečení, poskytuje integritu a soukromí hovoru. Když je probíhající hovor šifrován, můžete na lince vidět zabezpečenou ikonu.

V aplikaci Cisco Unified Communications Manager lze telefonům nakonfigurovaným jako zabezpečené (šifrované a důvěryhodné) přiřadit chráněný stav. Po ochraně lze tato zařízení nakonfigurovat tak, aby na začátku každého hovoru přehrávala bezpečnostní tón.

• Chráněné zařízení:

  Postup změny stavu zabezpečeného telefonu na chráněný:

  1. V Cisco Unified Communications Manager Administration části vyberte Zařízení > Telefon.
  2. Vyhledejte telefon, který nastavíte.
  3. V okně Konfigurace telefonu zaškrtněte polí čko Chráněné zařízení.
  4. Klikněte na tlačítko Uložit.

• Přehrát bezpečný indikační tón:

  Chcete-li povolit chráněnému telefonu přehrávat zabezpečený nebo nezabezpečený indikační tón:

  1. V Cisco Unified Communications Manager Administration okně vyberte Systém > Parametry služby.
  2. Vyberte server a poté Cisco CallManager službu.
  3. V oblasti Parametry celého clusteru (funkce - zabezpečený tón) nastavte nastavení Tón přehrávání na Indikace stavu zabezpečeného/nezabezpečeného hovoru na hodnotu True.
  4. Klikněte na tlačítko Uložit.

Protože všechna zařízení WLAN, která jsou v dosahu, mohou přijímat veškerý další provoz WLAN, je zabezpečení hlasové komunikace v síti WLAN zásadní. Aby bylo zajištěno, že vetřelci nebudou manipulovat ani nezachycovat hlasový provoz, podporuje architektura Cisco SAFE Security telefon. Další informace o zabezpečení v sítích naleznete na adrese http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Řešení Cisco Wireless IP telefonie poskytuje zabezpečení bezdrátové sítě, které zabraňuje neoprávněnému přihlášení a ohrožené komunikaci pomocí následujících metod ověřování, které telefon podporuje.

• Otevřené ověřování: Každé bezdrátové zařízení může požádat o ověření v otevřeném systému. Přístupový bod, který obdrží požadavek, může udělit ověření libovolnému žadateli nebo pouze žadatelům, kteří jsou nalezeni v seznamu uživatelů. Komunikace mezi bezdrátovým zařízením a přístupovým bodem (AP) může být nešifrovaná.

• Rozšiřitelný ověřovací protokol — Flexibilní ověřování pomocí ověřování zabezpečeného tunelování (EAP-FAST): Tato architektura zabezpečení klient-server šifruje transakce EAP v tunelu zabezpečení úrovně přenosu (TLS) mezi přístupovým bodem a serverem RADIUS, například Identity Services Engine (ISE).

  Tunel TLS používá PAC (Protected Access Credentials) pro ověřování mezi klientem (telefonem) a serverem RADIUS. Server odešle klientovi (telefonu) Authority ID (AID), který následně vybere příslušný PAC. Klient (telefon) vrátí PAC-neprůhlednost serveru RADIUS. Server dešifruje PAC primárním klíčem. Oba koncové body nyní obsahují klíč PAC a je vytvořen tunel TLS. Funkce EAP-FAST podporuje automatické přidělování PAC, ale je nutné jej povolit na serveru RADIUS.

  V ISE, ve výchozím nastavení, PAC vyprší za jeden týden. Pokud má telefon platnost PAC vypršela, ověření pomocí serveru RADIUS trvá déle, než telefon získá nový PAC. Chcete-li se vyhnout zpožděním zřizování PAC, nastavte na serveru ISE nebo RADIUS dobu vypršení platnosti PAC na 90 dní nebo déle.

• Ověřování protokolu EAP-TLS (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS vyžaduje certifik át klienta pro ověřování a přístup k síti. Pro bezdrátový EAP-TLS může být klientským certifikátem MIC, LSC nebo certifikát nainstalovaný uživatelem.

• PEAP (Protected Extensible Authentication Protocol): Patent ované schéma vzájemného ověřování založeného na heslech společnosti Cisco mezi klientem (telefonem) a serverem RADIUS. Telefon může používat PEAP pro ověřování s bezdrátovou sítí. Podporovány jsou metody ověřování PEAP-MSCHAPV2 i PEAP-GTC.

• Předsdílený klíč (PSK): Telefon podporuje formáty ASCII a hexadecimální (HEX). Tyto formáty musíte použít při nastavování předsdíleného klíče WPA2/SAE.

  ASCII: Řetězec znaků ASCII s délkou 8 až 63 znaků (0-9, malá písmena a-z, velká písmena A-Z a speciální znaky). Například, GREG123567@9ZX&W.

  HEX: Š estihranný řetězec s délkou 64 hexadecimálních číslic (0-9, a-f nebo A-F).

Následující schémata ověřování používají server RADIUS ke správě ověřovacích klíčů:

• WPA2/WPA3: Používá informace serveru RADIUS ke generování jedinečných klíčů pro ověřování. Protože jsou tyto klíče generovány na centralizovaném serveru RADIUS, poskytuje WPA2/WPA3 větší zabezpečení než předsdílené klíče WPA, které jsou uloženy v přístupovém bodu a telefonu.

• Rychlý zabezpečený roaming: Ke správě a ověřování klíčů používá informace o serveru RADIUS a bezdrátovém doménovém serveru (WDS). WDS vytvoří mezipaměť bezpečnostních pověření pro klientská zařízení s podporou FT pro rychlé a bezpečné opětovné ověřování.

U WPA2/WPA3 nejsou šifrovací klíče zadávány v telefonu, ale jsou automaticky odvozeny mezi přístupovým přístupem a telefonem. Na každém telefonu však musí být zadáno uživatelské jméno a heslo EAP, které se používají pro ověřování.

Pro ochranu hlasového provozu přes bezdrátové spojení telefon podporuje šifrování založené na AES pro ověřování WPA2/WPA3. AES je symetrická bloková šifra standardizovaná NIST. AES používá pevnou 128bitovou velikost bloku a podporuje velikosti klíčů 128 bitů, 192 bitů a 256 bitů. V sítích Wi-Fi používá AES šifrovací sady, jako je CCMP nebo GCMP, zatímco ověřování je poskytováno samostatně pomocí PSK, SAE nebo 802.1X/EAP, v závislosti na nakonfigurovaném režimu zabezpečení WLAN. Podporovaná sada šifrů a velikost klíče závisí na modelu telefonu a konfiguraci WLAN.

Když telefon používá šifrování AES, jsou signální pakety SIP i hlasové pakety RTP (Re al-Time Transport Protocol) šifrovány mezi přístupovým přístupem a telefonem.

Schémata ověřování a šifrování jsou nastavena v bezdrátové síti LAN. VLAN jsou nakonfigurovány v síti a na přístupových místech a určují různé kombinace autentizace a šifrování. SSID se spojuje s VLAN a konkrétním schématem ověřování a šifrování. Aby se bezdrátová klientská zařízení úspěšně ověřovala, musíte nakonfigurovat stejné SSID s jejich schématy ověřování a šifrování na přístupových místech a v telefonu.

Některá schémata ověřování vyžadují specifické typy šifrování.

Schémata ověřování a šifrování v následující tabulce ukazují možnosti konfigurace sítě pro Cisco Wireless Phone 9821, které odpovídají konfiguraci přístupového bodu.

Cisco Wireless Phone 9821 podporuje ověřování 802.1X pro kabelové sítě. To se obvykle používá při automatickém zajišťování, když je telefon připojen k stolní nabíječce prostřednictvím podporovaného adaptéru USB-to-Ethernet.

Podpora ověřování 802.1X v kabelových sítích vyžaduje několik následujících komponent :

• Cisco IP Phone: Telefon iniciuje požadavek na přístup k síti. IP telefony Cisco obsahují požadavek 802.1X. Tento požadavek umožňuje správcům sítě řídit připojení IP telefonů k portům přepínače LAN. Aktuální verze telefonního požadavku 802.1X používá pro ověřování v síti možnosti EAP-FAST a EAP-TLS.

• Ověřovací server: Ověřovací server i přepínač musí být nakonfigurovány se sdílen ým tajným tajemstvím RADIUS.

• Přepínač: Přepínač musí podporovat 802.1X, aby mohl fungovat jako ověřovatel a přenášet zprávy EAP mezi telefonem a ověřovacím serverem. Po dokončení výměny přepínač udělí nebo odepře přístup telefonu do sítě.

IP telefony Cisco a přepínače Cisco Catalyst tradičně používají Cisco Discovery Protocol (CDP) k vzájemné identifikaci a určování parametrů, jako je alokace VLAN a požadavky na inline napájení.

Chcete-li nakonfigurovat 802.1X, musíte provést následující akce.

• Nakonfigurujte hlasový bypass VLAN CDP/LLDP.

• Před povolením ověřování 802.1X pro kabelové sítě v telefonu nakonfigur ujte ověřovací server a přepínač.

• Konfigurace hlasové sítě VLAN: Protože standard 802.1X nezahrnuje sítě VLAN, měli byste toto nastavení nakonfigurovat na základě podpory přepínače.

  • Povoleno: Pokud používáte přepínač, který podporuje ověřování více domén, můžete jej nakonfigurovat tak, aby používal hlasovou síť VLAN.
  • Zakázáno: Pokud přepínač nepodporuje ověřování více domén, zakažte hlasovou VLAN a zvažte přiřazení portu nativní síti VLAN.

• Cisco Wireless Phone 9821 má jinou předponu v PID než u ostatních telefonů Cisco. Chcete-li povolit, aby telefon procházel ověřováním 802.1X, nastavte parametr Radius·User-Name tak, aby zahrnoval váš bezdrátový telefon Cisco 9821.

  Například PID bezdrátového telefonu Cisco 9821 je WP-9821. Poloměr · Uživatelské jméno můžete nastavit na Start with WPnebo Contains WPv obou následujících částech:

  • Zásady > Podmínky > Podmínky knihovny

  • Zásady > S ady zásad > Zásady autorizace > Pravidlo autorizace 1