Fyzická bezpečnost

Je důležité zajistit fyzické zabezpečení umístění Equinix Meet-Me Room a zařízení Cisco Dedicated Instance Data Center. Když je ohroženo fyzické zabezpečení, mohou být zahájeny jednoduché útoky, jako je přerušení služby vypnutím napájení přepínačů zákazníka. S fyzickým přístupem mohli útočníci získat přístup k serverovým zařízením, resetovat hesla a získat přístup k přepínačům. Fyzický přístup také usnadňuje sofistikovanější útoky, jako jsou útoky typu man-in-the-middle, což je důvod, proč je druhá bezpečnostní vrstva, zabezpečení sítě, kritická.

Jednotky se samošifrováním se používají v datových centrech dedikovaných instancí, která hostují aplikace UC.

Další informace o obecných bezpečnostních postupech naleznete v dokumentaci na následujícím místě: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Zabezpečení sítě

Partneři musí zajistit, aby všechny síťové prvky byly zabezpečeny v infrastruktuře vyhrazených instancí (která se připojuje přes Equinix). Odpovědností partnera je zajistit osvědčené postupy v oblasti bezpečnosti, jako jsou:

• Samostatná VLAN pro hlas a data

• Povolit zabezpečení portů, které omezuje počet povolených MAC adres na port, proti zaplavení tabulky CAM

• Ochrana zdroje IP proti falešným IP adresám

• Dynamická inspekce ARP (DAI) zkoumá protokol pro rozlišení adres (ARP) a bezdůvodný ARP (GARP) z hlediska porušení (proti spoofingu ARP)

• 802.1x omezuje přístup k síti pro ověřování zařízení na přiřazených VLAN (telefony podporují 802.1x)

• Konfigurace kvality služeb (QoS) pro vhodné značení hlasových paketů

• Konfigurace portů firewallu pro blokování jakéhokoli jiného provozu

Zabezpečení koncových bodů

Koncové body Cisco podporují výchozí funkce zabezpečení, jako je podepsaný firmware, zabezpečené spuštění (vybrané modely), certifikát nainstalovaný výrobcem (MIC) a podepsané konfigurační soubory, které poskytují určitou úroveň zabezpečení koncových bodů.

Kromě toho může partner nebo zákazník povolit další zabezpečení, například:

• Šifrování IP telefonních služeb (přes HTTPS) pro služby, jako je Extension Mobility

• Vydávat lokálně významné certifikáty (LSC) z funkce proxy certifikační autority (CAPF) nebo veřejné certifikační autority (CA)

• Šifrování konfiguračních souborů

• Šifrování médií a signalizace

• Zakažte tato nastavení, pokud nejsou použita: PC port, PC Voice VLAN Access, Bezplatný ARP, Web Access, Tlačítko Nastavení, SSH, konzola

Implementace bezpečnostních mechanismů ve vyhrazené instanci zabraňuje krádeži identity telefonů a Unified CM serveru, manipulaci s daty a signalizaci hovorů/manipulaci s médii.

Dedikovaná instance přes síť:

• Vytváří a udržuje ověřené komunikační toky

• Před přenosem souboru do telefonu digitálně podepisuje soubory

• Šifruje toky médií a signalizaci hovorů mezi telefony Cisco Unified IP

Zabezpečení ve výchozím nastavení poskytuje následující funkce automatického zabezpečení pro telefony Cisco Unified IP:

• Podepisování konfiguračních souborů telefonu

• Podpora šifrování konfiguračních souborů telefonu

• HTTPS s Tomcat a dalšími webovými službami (MIDlets)

Pro Unified CM novější verzi 8.0 jsou tyto funkce zabezpečení poskytovány ve výchozím nastavení bez spuštění klienta Seznam důvěryhodnosti certifikátů (CTL).

Vzhledem k tomu, že v síti je velký počet telefonů a IP telefony mají omezenou paměť, Cisco Unified CM funguje jako vzdálené úložiště důvěryhodnosti prostřednictvím služby ověřování důvěryhodnosti (TVS), takže úložiště důvěryhodnosti certifikátů nemusí být umístěno do každého telefonu. IP telefony Cisco kontaktují server TVS k ověření, protože nemohou ověřit podpis nebo certifikát prostřednictvím souborů CTL nebo ITL. Centrální úložiště důvěryhodnosti je snazší spravovat než mít úložiště důvěryhodnosti na každém telefonu Cisco Unified IP.

TVS umožňuje telefonům Cisco Unified IP ověřovat aplikační servery, jako jsou služby EM, adresáře a MIDlet, během vytváření HTTPS.

Soubor ITL (Initial Trust List) se používá pro počáteční zabezpečení, aby koncové body mohly důvěřovat. Cisco Unified CM ITL nepotřebuje explicitně povolit žádné bezpečnostní funkce. Soubor ITL se automaticky vytvoří po instalaci clusteru. Soukromý klíč serveru Unified CM Trivial File Transfer Protocol (TFTP) se používá k podepsání souboru ITL .

Pokud je Cisco Unified CM cluster nebo server v nezabezpečeném režimu, soubor ITL se stáhne do všech podporovaných telefonů Cisco IP. Partner může zobrazit obsah souboru ITL pomocí příkazového řádku, ad min:show itl.

IP telefony Cisco potřebují soubor ITL k provádění následujících úkolů:

• Bezpečná komunikace s CAPF, což je předpoklad pro podporu šifrování konfiguračních souborů

• Ověření podpisu konfiguračního souboru

• Ověřování aplikačních serverů, jako jsou služby EM, adresáře a MIDlet, během vytváření protokolu HTTPS pomocí TVS

Ověřování zařízení, souborů a signalizace závisí na vytvoření souboru seznamu důvěryhodnosti certifikátů (CTL), který je vytvořen, když partner nebo zákazník nainstaluje a nakonfiguruje klienta seznamu důvěryhodnosti certifikátů Cisco.

Soubor CTL obsahuje položky pro následující servery nebo tokeny zabezpečení:

• Token zabezpečení správce systému (SAST)

• Cisco CallManagera služby Cisco TFTP, které běží na stejném serveru

• Certificate AuthorityFunkce proxy (CAPF)

• TFTP server (y)

• Brána firewall ASA

Soubor CTL obsahuje certifikát serveru, veřejný klíč, sériové číslo, podpis, název vydavatele, název předmětu, funkci serveru, název DNS a adresu IP pro každý server.

Zabezpečení telefonu s CTL poskytuje následující funkce:

• Ověření stažených souborů TFTP (konfigurace, národního prostředí, vyzvánění atd.) pomocí podepisovacího klíče

• Šifrování konfiguračních souborů TFTP pomocí podepisovacího klíče

• Šifrovaná signalizace hovorů pro IP telefony

• Šifrovaný zvuk hovoru (média) pro IP telefony

Dedikovaná instance poskytuje registraci koncového bodu a zpracování hovorů. Signalizace mezi kon Cisco Unified CM covými body je založena na protokolu SCCP (Secure Skinny Client Control Protocol) nebo Session Initiation Protocol (SIP) a lze ji šifrovat pomocí Transport Layer Security (TLS). Média z/do koncových bodů jsou založena na protokolu RTP (Real-Time Transport Protocol) a lze je také šifrovat pomocí Secure RTP (SRTP).

Zapnutí smíšeného režimu Unified CM umožňuje šifrování signálního a mediálního provozu z a do koncových bodů Cisco.

Zabezpečené aplikace UC

Ve vyhrazené instanci je ve výchozím nastavení povolen smíšený režim.

Povolení smíšeného režimu ve vyhrazené instanci umožňuje provádět šifrování signalizace a přenosu médií z a do koncových bodů Cisco.

Od Cisco Unified CM verze 12.5 (1) byla pro klienty Jabber a Webex přidána nová možnost umožňující šifrování signalizace a médií založených na SIP OAuth namísto smíšeného módu/CTL. Proto ve Unified CM verzi 12.5 (1) lze SIP OAuth a SRTP použít k povolení šifrování signalizace a médií pro klienty Jabber nebo Webex. Povolení smíšeného režimu je v současné době vyžadováno pro IP telefony Cisco a další koncové body Cisco. Existuje plán přidat podporu pro SIP OAuth v koncových bodech 7800/8800 v budoucí verzi.

Zabezpečení komunikace mezi Cisco Unified CM a CUBE

Pro bezpečnou komunikaci mezi společností CUBE Cisco Unified CM musí partnery/zákazníci používat buď certifikát podepsaný vlastním podpisem, nebo certifikáty podepsané CA.

Pro certifikáty podepsané vlastními silami:

1. CUBE a Cisco Unified CM generujte certifikáty podepsané vlastními silami

2. CUBE exportuje certifikát do Cisco Unified CM

3. Cisco Unified CMvývozní certifikát do CUBE

Pro certifikáty podepsané CA:

1. Klient vygeneruje dvojici klíčů a odešle žádost o podpis certifikátu (CSR) (CA) Certificate Authority

2. CA jej podepíše svým soukromým klíčem a vytvoří certifikát identity

3. Klient nainstaluje seznam důvěryhodných kořenových a zprostředkovatelských certifikátů CA a certifikát identity

Souhrn protokolu

V následující tabulce jsou uvedeny protokoly a přidružené služby používané v Unified CM řešení.

Další informace o konfiguraci MRA naleznete v části Scéná ře nasazení MRA v příručce Mobile and Th Remote Access rough Cisco Expressway Deployment Guide.

Zabezpečení Jabber a Webex pomocí SIP OAuth

Klienti Jabber a Webex jsou ověřováni pomocí tokenu OAuth namísto lokálně významného certifikátu (LSC), který nevyžaduje povolení funkce proxy certifikační autority (CAPF) (také pro MRA). SIP OAuth pracující se smíšeným režim em nebo bez něj byl představen v Cisco Unified CM 12.5 (1) a novějších, Jabber 12.5 a novějších a Expressway X12.5.

Ve Cisco Unified CM verzi 12.5 a novějších máme v profilu zabezpečení telefonu novou možnost, která umožňuje šifrování bez LSC/CAPF pomocí jediného tokenu Transport Layer Security (TLS) + OAuth v SIP REGISTER. Uzly Expressway-C používají API pro správu XML Web Service (AXL) k informování o SN/SAN ve Cisco Unified CM svém certifikátu. Cisco Unified CMpoužívá tyto informace k ověření certifikátu Exp-C při navázání vzájem ného připojení TLS.

SIP OAuth umožňuje šifrování médií a signalizace bez certifikátu koncového bodu (LSC).

Cisco Jabberpoužívá Ephemeral porty a zabezpečené porty 6971 a 6972 přes připojení HTTPS k serveru TFTP ke stažení konfiguračních souborů. Port 6970 je nezabezpečený port pro stahování přes HTTP.

Další podrobnosti o konfiguraci SIP OAuth: Režim SIP O Auth.