Děkujeme za vaši zpětnou vazbu.

Bezpečnostní funkce chrání před hrozbami, včetně ohrožení identity telefonu a dat. Tyto funkce vytvářejí a udržují ověřené komunikační toky mezi telefonem a Cisco Unified Communications Manager serverem a zajišťují, že telefon používá pouze digitálně podepsané soubory.

Cisco Unified Communications ManagerVerze 8.5 (1) a novější obsahuje ve výchozím nastavení zabezpečení, které poskytuje následující funkce zabezpečení pro telefony Cisco IP bez spuštění klienta CTL:

• Podepisování konfiguračních souborů telefonu

• Šifrování konfiguračního souboru telefonu

• HTTPS s Tomcat a dalšími webovými službami

Implementace zabezpečení v Cisco Unified Communications Manager systému zabraňuje krádeži identity telefonu a Cisco Unified Communications Manager serveru, zabraňuje manipulaci s daty a zabraňuje signalizaci hovorů a manipulaci s médii.

Aby se tyto hrozby zmírnily, síť Cisco IP telefonie vytváří a udržuje zabezpečené (šifrované) komunikační toky mezi telefonem a serverem, digitálně podepisuje soubory před jejich přenosem do telefonu a šifruje toky médií a signalizaci hovorů mezi IP telefony Cisco.

Lokálně významný certifikát (LSC) se nainstaluje do telefonů poté, co provedete nezbytné úkoly spojené s funkcí Certificate Authority proxy (CAPF). Můžete použít Cisco Unified Communications Manager Administration ke konfiguraci LSC, jak je popsáno v Příručce Cisco Unified Communications Manager zabezpečení. Alternativně můžete zahájit instalaci LSC z nabídky Nastavení zabezpečení v telefonu. Tato nabídka také umožňuje aktualizovat nebo ode brat LSC.

Telefony používají profil zabezpečení telefonu, který definuje, zda je zařízení nezabezpečené nebo zabezpečené. Informace o použití profilu zabezpečení na telefon naleznete v dokumentaci ke konkrétní Cisco Unified Communications Manager verzi.

Pokud nakonfigurujete nastavení související se zabezpečením v aplikaciCisco Unified Communications Manager Administration, konfigurační soubor telefonu obsahuje citlivé informace. Chcete-li zajistit soukromí konfiguračního souboru, musíte jej nakonfigurovat pro šifrování. Podrobné informace naleznete v dokumentaci ke konkrétní Cisco Unified Communications Manager verzi.

Telefon vyhovuje federálnímu standardu zpracování informací (FIPS). Aby režim FIPS správně fungoval, vyžaduje velikost klíče 2048 bitů nebo větší. Pokud je certifikát menší než 2048 bitů, telefon se nezaregistruje Cisco Unified Communications Manager a telefon se nezaregistroval. Velikost klíče certifikátu není kompatibilní s FIPS disple ji v telefonu.

Pokud má telefon LSC, musíte před povolením FIPS aktualizovat velikost klíče LSC na 2048 bitů nebo více.

Následující tabulka obsahuje přehled funkcí zabezpečení, které telefony podporují. Další informace naleznete v dokumentaci ke konkrétní Cisco Unified Communications Manager verzi.

Chcete-li zobrazit režim zabezpečení, stiskněte Nastavení a přejděte na Síť a služba > Nastavení zabezpečení.

Následující tabulka obsahuje zprávy alarmů aktualizace seznamu důvěryhodnosti a význam. Další informace naleznete v Cisco Unified Communications Manager dokumentaci.

Nabíd ka Nastavení zabezpečení obsahuje informace o různých nastaveních zabezpečení. Nabíd ka také poskytuje přístup do nabídky Seznam důvěryhodnosti a označuje, zda je v telefonu nainstalován soubor CTL nebo ITL.

Následující tabulka popisuje možnosti v nabídce Nastavení zabezpečení.

IP telefony Cisco podporují ověřování 802.1X.

IP telefony Cisco a přepínače Cisco Catalyst tradičně používají Cisco Discovery Protocol (CDP) k vzájemné identifikaci a určování parametrů, jako je alokace VLAN a požadavky na inline napájení. CDP neidentifikuje lokálně připojené pracovní stanice. IP telefony Cisco poskytují mechanismus průchodu EAPOL. Tento mechanismus umožňuje pracovní stanici připojené k telefonu Cisco IP předávat zprávy EAPOL ověřovateli 802.1X na přepínači LAN. Mechanismus průchodu zajišťuje, že IP telefon nefunguje jako přepínač LAN pro ověření datového koncového bodu před přístupem k síti.

IP telefony Cisco také poskytují proxy mechanismus odhlášení EAPOL. Pokud se místně připojený počítač odpojí od telefonu IP, přepínač LAN nevidí selhání fyzického spojení, protože spojení mezi přepínačem LAN a telefonem IP je zachováno. Aby nedošlo k ohrožení integrity sítě, IP telefon odešle přepínači zprávu o odhlášení EAPOL jménem následného počítače, která spustí přepínač LAN k vymazání položky autentizace pro následný počítač.

Podpora ověřování 802.1X vyžaduje několik komponent:

• Cisco IP Phone: Telefon iniciuje požadavek na přístup k síti. IP telefony Cisco obsahují požadavek 802.1X. Tento požadavek umožňuje správcům sítě řídit připojení IP telefonů k portům přepínače LAN. Aktuální verze telefonního požadavku 802.1X používá pro ověřování v síti možnosti EAP-FAST a EAP-TLS.

• Ověřovací server: Ověřovací server i přepínač musí být nakonfigurovány se sdíleným tajemstvím, které ověřuje telefon.

• Přepínač: Přepínač musí podporovat 802.1X, aby mohl fungovat jako ověřovatel a předávat zprávy mezi telefonem a ověřovacím serverem. Po dokončení výměny přepínač udělí nebo odepře přístup telefonu do sítě.

Chcete-li nakonfigurovat 802.1X, musíte provést následující akce.

• Před povolením ověřování 802.1X v telefonu nakonfigurujte ostatní komponenty.

• Konfigurace portu PC: Standard 802.1X nebere v úvahu sítě VLAN, a proto doporučuje ověřit pouze jedno zařízení ke konkrétnímu portu přepínače. Některé přepínače však podporují ověřování více domén. Konfigurace přepínače určuje, zda můžete připojit počítač k portu PC telefonu.

  • Povoleno: Pokud používáte přepínač, který podporuje ověřování více domén, můžete povolit port PC a připojit k němu počítač. V tomto případě podporují IP telefony Cisco proxy EAPOL-Logoff pro sledování výměny autentizace mezi přepínačem a připojeným počítačem.

    Další informace o podpoře IEEE 802.1X na přepínačích Cisco Catalyst naleznete v příručkách konfigurace přepínačů Cisco Catalyst na adrese:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Zakázáno: Pokud přepínač nepodporuje více zařízení kompatibilních se standardem 802.1X na stejném portu, měli byste port PC deaktivovat, pokud je povoleno ověřování 802.1X. Pokud tento port nezakážete a poté se k němu pokusíte připojit počítač, přepínač odepře přístup k síti k telefonu i počítači.

• Konfigurace hlasové sítě VLAN: Protože standard 802.1X nezahrnuje sítě VLAN, měli byste toto nastavení nakonfigurovat na základě podpory přepínače.
  • Povoleno: Pokud používáte přepínač, který podporuje ověřování více domén, můžete v něm pokračovat a používat hlasovou síť VLAN.
  • Zakázáno: Pokud přepínač nepodporuje ověřování více domén, zakažte hlasovou VLAN a zvažte přiřazení portu nativní síti VLAN.
• (Pouze pro stolní telefon Cisco řady 9800)

  Cisco Desk Phone řady 9800 má jinou předponu v PID než u ostatních telefonů Cisco. Chcete-li povolit, aby telefon procházel ověřováním 802.1X, nastavte parametr Radius·User-Name tak, aby zahrnov al stolní telefon Cisco řady 9800.

  Například PID telefonu 9841 je DP-9841; Poloměr · Uživatelské jméno můžete nastavit na Začátek s DP nebo Obsahuje DP. Můžete jej nastavit v obou následujících sekcích:

  • Zásady > Podmínky > Podmínky knihovny

  • Zásady > S ady zásad > Zásady autorizace > Pravidlo autorizace 1

Když je pro telefon implementováno zabezpečení, můžete identifikovat zabezpečené telefonní hovory pomocí ikon na obrazovce telefonu. Můžete také určit, zda je připojený telefon zabezpečený a chráněný, pokud se na začátku hovoru přehraje bezpečnostní tón.

V zabezpečeném hovoru jsou všechny signály hovorů a mediální toky šifrovány. Zabez pečené volání nabízí vysokou úroveň zabezpečení, poskytuje integritu a soukromí hovoru. Když je probíhající hovor šifrován, můžete na lince vidět zabezpečenou ikonu. U zabezpečeného telefonu můžete také zobrazit ověřenou ikonu nebo šifrovanou ikonu vedle připojeného serveru v nabídce telefonu (Nastavení > O tomto zařízení).

Při zabezpečeném hovoru se na začátku hovoru přehraje bezpečnostní tón, který indikuje, že druhý připojený telefon také přijímá a přenáší zabezpečený zvuk. Pokud se váš hovor připojí k nezabezpečenému telefonu, bezpečnostní tón se nepřehraje.

Pokud je telefon nakonfigurován jako zabezpečený (šifrovaný a důvěryhodný)Cisco Unified Communications Manager, může mu být přidělen status chrá něný. Poté, pokud je to žádoucí, může být chráněný telefon nakonfigurován tak, aby přehrával indikační tón na začátku hovoru:

• Chráněné zařízení: Chcete-li změnit stav zabezpečeného telefonu na chráněný, zaškrtněte políčko Chráněné zařízení v okně Konfigurace telefonu v Cisco Unified Communications Manager Administration části (Zařízení > Telefon).

• Přehrát zabezpečený indikační tón: Chcete-li povolit chráněnému telefonu přehrávat zabezpečený nebo nezabezpečený indikační tón, nastavte nastavení Přehrát zabezpečený indikační tón na hodnotu True. Ve výchozím nastavení je funkce Přehrát zabezpečený indikační tón nastavena na hodnotu False. Tuto možnost nastavíte v části Cisco Unified Communications Manager Administration (Systém > Parametry služby). Vyberte server a poté službu Unified Communications Manager. V okně Konfigurace parametrů služby vyberte možnost v oblasti Funkce - Zabezpečený tón. Výchozí hodnota je False.

Protože všechna zařízení WLAN, která jsou v dosahu, mohou přijímat veškerý další provoz WLAN, je zabezpečení hlasové komunikace v síti WLAN zásadní. Aby bylo zajištěno, že vetřelci nebudou manipulovat ani nezachycovat hlasový provoz, podporuje architektura Cisco SAFE Security telefon. Další informace o zabezpečení v sítích naleznete na adrese http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Řešení Cisco Wireless IP telefonie poskytuje zabezpečení bezdrátové sítě, které zabraňuje neoprávněnému přihlášení a ohrožené komunikaci pomocí následujících metod ověřování, které telefon podporuje:

• Otevřené ověřování: Každé bezdrátové zařízení může požádat o ověření v otevřeném systému. Přístupový bod, který obdrží požadavek, může udělit ověření libovolnému žadateli nebo pouze žadatelům, kteří jsou nalezeni v seznamu uživatelů. Komunikace mezi bezdrátovým zařízením a přístupovým bodem (AP) může být nešifrovaná.

• Rozšiřitelný ověřovací protokol — Flexibilní ověřování pomocí ověřování zabezpečeného tunelování (EAP-FAST): Tato architektura zabezpečení klient-server šifruje transakce EAP v tunelu zabezpečení úrovně přenosu (TLS) mezi přístupovým bodem a serverem RADIUS, například Identity Services Engine (ISE).

  Tunel TLS používá PAC (Protected Access Credentials) pro ověřování mezi klientem (telefonem) a serverem RADIUS. Server odešle klientovi (telefonu) Authority ID (AID), který následně vybere příslušný PAC. Klient (telefon) vrátí PAC-neprůhlednost serveru RADIUS. Server dešifruje PAC primárním klíčem. Oba koncové body nyní obsahují klíč PAC a je vytvořen tunel TLS. Funkce EAP-FAST podporuje automatické přidělování PAC, ale je nutné jej povolit na serveru RADIUS.

  V ISE, ve výchozím nastavení, PAC vyprší za jeden týden. Pokud má telefon platnost PAC vypršela, ověření pomocí serveru RADIUS trvá déle, než telefon získá nový PAC. Chcete-li se vyhnout zpožděním zřizování PAC, nastavte na serveru ISE nebo RADIUS dobu vypršení platnosti PAC na 90 dní nebo déle.

• Ověřování protokolu EAP-TLS (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS vyžaduje certifik át klienta pro ověřování a přístup k síti. Pro bezdrátový EAP-TLS může být klientským certifikátem MIC, LSC nebo certifikát nainstalovaný uživatelem.

• PEAP (Protected Extensible Authentication Protocol): Patent ované schéma vzájemného ověřování založeného na heslech společnosti Cisco mezi klientem (telefonem) a serverem RADIUS. Telefon může používat PEAP pro ověřování s bezdrátovou sítí. Podporovány jsou metody ověřování PEAP-MSCHAPV2 i PEAP-GTC.

• Předsdílený klíč (PSK): Telefon podporuje formát ASCII. Tento formát musíte použít při nastavování předsdíleného klíče WPA/WPA2/SAE:

  ASCII: řetězec znaků ASCII s délkou 8 až 63 znaků (0-9, malá a velká písmena A-Z a speciální znaky)

  Příklad: GREG123567 @9ZX &W

Následující schémata ověřování používají server RADIUS ke správě ověřovacích klíčů:

• WPA/WPA2/WPA3: Používá informace serveru RADIUS ke generování jedinečných klíčů pro ověřování. Protože jsou tyto klíče generovány na centralizovaném serveru RADIUS, poskytuje WPA2/WPA3 větší zabezpečení než předsdílené klíče WPA, které jsou uloženy v přístupovém bodu a telefonu.

• Rychlý zabezpečený roaming: Ke správě a ověřování klíčů používá informace o serveru RADIUS a bezdrátovém doménovém serveru (WDS). WDS vytvoří mezipaměť bezpečnostních pověření pro klientská zařízení s podporou FT pro rychlé a bezpečné opětovné ověřování. Stolní telefon Cisco 9861 a 9871 a Cisco Video Phone 8875 podporují 802.11r (FT). Pro rychlý bezpečný roaming jsou podporovány jak bezdrátově, tak přes DS. Důrazně však doporučujeme použít metodu 802.11r (FT) over air.

U WPA/WPA2/WPA3 nejsou šifrovací klíče zadávány v telefonu, ale jsou automaticky odvozeny mezi přístupovým bodem a telefonem. Na každém telefonu však musí být zadáno uživatelské jméno a heslo EAP, které se používají pro ověřování.

Aby bylo zajištěno zabezpečení hlasového provozu, telefon podporuje šifrování TKIP a AES. Pokud jsou tyto mechanismy použity pro šifrování, jsou signální pakety SIP i hlasové pakety RTP (Real-Time Transport Protocol) šifrovány mezi přístupovým přístupem a telefonem.

TKIP

WPA používá šifrování TKIP, které má oproti WEP několik vylepšení. TKIP poskytuje šifrování klíčů na paket a delší inicializační vektory (IV), které posilují šifrování. Kontrola integrity zpráv (MIC) navíc zajišťuje, že šifrované pakety nejsou změněny. TKIP odstraňuje předvídatelnost WEP, která pomáhá vetřelcům dešifrovat klíč WEP.

AES

Metoda šifrování používaná pro ověřování WPA2/WPA3. Tento národní standard pro šifrování používá symetrický algoritmus, který má stejný klíč pro šifrování a dešifrování. AES používá šifrování Cipher Blocking Chain (CBC) o velikosti 128 bitů, které podporuje velikosti klíčů minimálně 128 bitů, 192 bitů a 256 bitů. Telefon podporuje velikost klíče 256 bitů.

Schémata ověřování a šifrování jsou nastavena v bezdrátové síti LAN. VLAN jsou nakonfigurovány v síti a na přístupových místech a určují různé kombinace autentizace a šifrování. SSID se spojuje s VLAN a konkrétním schématem ověřování a šifrování. Aby se bezdrátová klientská zařízení úspěšně ověřovala, musíte nakonfigurovat stejné SSID s jejich schématy ověřování a šifrování na přístupových místech a v telefonu.

Některá schémata ověřování vyžadují specifické typy šifrování.

Schémata ověřování a šifrování v následující tabulce ukazují možnosti konfigurace sítě pro telefon, které odpovídají konfiguraci přístupového bodu.

Assured Services SIP (AS-SIP) je sbírka funkcí a protokolů, které nabízejí vysoce bezpečný tok hovorů pro IP telefony Cisco a telefony třetích stran. Následující funkce jsou souhrnně označovány jako AS-SIP:

• Víceúrovňová priorita a preempce (MLPP)
• Kódový bod diferencovaných služeb (DSCP)
• Zabezpečení transportní vrstvy (TLS) a Secure Real-Time Transport Protocol (SRTP)
• Internetový protokol verze 6 (IPv6)

AS-SIP se často používá s víceúrovňovou prioritou a preempcí (MLPP) k upřednostňování hovorů během nouzové situace. Pomocí služby MLPP přiřazujete odchozím hovorům úroveň priority, od úrovně 1 (nízká) po úroveň 5 (vysoká). Když přijmete hovor, zobrazí se na telefonu ikona úrovně priority, která zobrazuje prioritu hovoru.

Chcete-li konfigurovat AS-SIP, proveďte následující úlohy: Cisco Unified Communications Manager

• Konfigurace uživatele přehledu — Nakonfigurujte koncového uživatele tak, aby používal ověřování přehledu pro požadavky SIP.
• Konfigurace SIP Phone Secure Port— Cisco Unified Communications Manager používá tento port k poslechu telefonů SIP pro registraci linky SIP přes TLS.
• Restartujte služby — Po konfiguraci zabezpečeného portu restartujte služby Cisco CTL Provider. Cisco Unified Communications Manager Konfigurace profilu SIP pro AS-SIP - Konfigurace profilu SIP s nastavením SIP pro koncové body AS-SIP a pro vaše SIP trunky. Parametry specifické pro telefon nejsou staženy do telefonu AS-SIP jiného výrobce. Používají je pouze Cisco Unified Manager. Telefony třetích stran musí lokálně nakonfigurovat stejná nastavení.
• Konfigurace profilu zabezpečení telefonu pro AS-SIP — Profil zabezpečení telefonu můžete použít k přiřazení nastavení zabezpečení, jako je TLS, SRTP a ověřování přehledu.
• Konfigurace koncového bodu AS-SIP — Nakonfigurujte IP telefon Cisco nebo koncový bod třetí strany s podporou AS-SIP.
• Přiřadit zařízení ke koncovému uživateli — Přiřaďte koncový bod k uživateli.
• Konfigurace profilu zabezpečení SIP Trunk Security Profile pro AS-SIP — Profil zabezpečení kmene SIP můžete použít k přiřazení bezpečnostních funkcí, jako je TLS nebo ověřování digestu, kmene SIP.
• Konfigurace SIP Trunk pro AS-SIP — Nakonfigurujte SIP trunk s podporou AS-SIP.
• Konfigurace funkcí AS-SIP — Nakonfigurujte další funkce AS-SIP, jako jsou MLPP, TLS, V.150 a IPv6.

Podrobné informace o konfiguraci AS-SIP naleznete v kapitole „Konfigurace koncových bodů AS-SIP“ v Průvodci konfigurací funkcí pro. Cisco Unified Communications Manager

Když jsou v telefonu nakonfigurovány kódy vynucené autorizace (FAC) nebo kódy záležitostí klienta (CMC) nebo oba, musí uživatelé zadat požadovaná hesla pro vytočení čísla.

Další informace o tom, jak nastavit FAC a CMC v aplikaciCisco Unified Communications Manager, naleznete v kapitole „Kódy záležitostí klienta a kódy nucené autoriz ace“ v Průvodci konfigurací Cisco Unified Communications Manager funkcí pro verzi 12.5 (1) nebo novější.

Funkce Cisco VPN vám pomůže zachovat zabezpečení sítě a zároveň uživatelům poskytuje bezpečný a spolehlivý způsob připojení k vaší firemní síti. Tuto funkci použijte, když:

• Telefon je umístěn mimo důvěryhodnou síť
• Síťový provoz mezi telefonem a Cisco Unified Communications Manager přes nedůvěryhodnou síť

U VPN existují tři běžné přístupy k ověřování klienta:

• Digitální certifikáty
• Hesla
• Uživatelské jméno a heslo

Každá metoda má své výhody. Pokud to však vaše firemní bezpečnostní politika dovoluje, doporučujeme přístup založený na certifikátech, protože certifikáty umožňují bezproblémové přihlášení bez zásahu uživatele. Podporovány jsou certifikáty LSC i MIC.

Chcete-li nakonfigurovat některou z funkcí sítě VPN, nejprve zorganizujte zařízení místně a poté můžete zařízení nasadit mimo pracoviště.

Další informace o ověřování certifikace a práci se sítí VPN naleznete v tématu Konfigurace AnyConnect VPN telefonu s ověřováním certifikátů v síti ASA.

Při zadání hesla nebo uživatelského jména a hesla je uživatel vyzván k zadání přihlašovacích údajů. Nastavte přihlašovací údaje uživatele v souladu se zásadami zabezpečení vaší společnosti. Můžete také nakonfigurovat nastavení Povolit trvalost hesla tak, aby bylo uživatelské heslo uloženo v telefonu. Heslo uživatele se uloží, dokud nedojde k neúspěšnému pokusu o přihlášení, uživatel ručně nevymaže heslo nebo telefon nevynuluje nebo neztratí napájení.

Dalším užitečným nástrojem je nastavení Povolit automatickou detekci sítě. Pokud toto zaškrtávací políčko povolíte, klient VPN se může spustit pouze tehdy, když zjistí, že je mimo podnikovou síť. Toto nastavení je ve výchozím nastavení zakázáno.

Váš telefon Cisco podporuje Cisco SVC IPPhone Client v1.0 jako typ klienta.

Další informace o tom, jak nakonfigurovat VPNUnified CM, najdete v části Průvodce konfigurací funkcí pro Cisco Unified Communications Manager.

Funkce Cisco VPN používá k zachování zabezpečení sítě Secure Sockets Layer (SSL).