Děkujeme za vaši zpětnou vazbu.

Bezpečnostní funkce chrání před hrozbami, včetně ohrožení identity telefonu a dat. Tyto funkce vytvářejí a udržují ověřené komunikační streamy mezi telefonem a serverem Cisco Unified Communications Manager a zajišťují, aby telefon používal pouze digitálně podepsané soubory.

Cisco Unified Communications Manager verze 8.5(1) a novější standardně obsahuje zabezpečení, které poskytuje následující bezpečnostní funkce pro IP telefony Cisco bez nutnosti spouštění klienta CTL:

• Podepisování konfiguračních souborů telefonu

• Šifrování konfiguračního souboru telefonu

• HTTPS s Tomcatem a dalšími webovými službami

Implementace zabezpečení v systému Cisco Unified Communications Manager zabraňuje krádeži identity telefonu a serveru Cisco Unified Communications Manager, zabraňuje manipulaci s daty a zabraňuje manipulaci se signalizací hovorů a mediálním streamem.

Aby se tyto hrozby zmírnily, síť IP telefonie Cisco vytváří a udržuje zabezpečené (šifrované) komunikační streamy mezi telefonem a serverem, digitálně podepisuje soubory před jejich přenosem do telefonu a šifruje mediální streamy a signalizaci hovorů mezi telefony Cisco IP.

Lokálně významný certifikát (LSC) se nainstaluje do telefonů po provedení nezbytných úkolů spojených s funkcí proxy certifikační autority (CAPF). Pomocí nástroje Cisco Unified Communications Manager Administration můžete nakonfigurovat LSC, jak je popsáno v Průvodci zabezpečením Cisco Unified Communications Manager. Alternativně můžete zahájit instalaci LSC z nabídky nastavení zabezpečení v telefonu. Tato nabídka také umožňuje aktualizovat nebo odebrat LSC.

Telefony používají bezpečnostní profil telefonu, který definuje, zda je zařízení nezabezpečené nebo zabezpečené. Informace o použití bezpečnostního profilu na telefon naleznete v dokumentaci k vaší konkrétní verzi aplikace Cisco Unified Communications Manager.

Pokud v aplikaci Cisco Unified Communications Manager Administration konfigurujete nastavení související se zabezpečením, konfigurační soubor telefonu obsahuje citlivé informace. Abyste zajistili soukromí konfiguračního souboru, musíte jej nakonfigurovat pro šifrování. Podrobné informace naleznete v dokumentaci k vaší konkrétní verzi Cisco Unified Communications Manager.

Telefon splňuje standard Federal Information Processing Standard (FIPS). Pro správné fungování vyžaduje režim FIPS velikost klíče 2048 bitů nebo větší. Pokud je certifikát menší než 2048 bitů, telefon se nezaregistruje v aplikaci Cisco Unified Communications Manager a na telefonu se zobrazí Phone failed to register. Cert key size is not FIPS compliant.

Pokud má telefon klíč LSC, je třeba před povolením protokolu FIPS aktualizovat velikost klíče LSC na 2048 bitů nebo větší.

Následující tabulka poskytuje přehled bezpečnostních funkcí, které telefony podporují. Další informace naleznete v dokumentaci k vaší konkrétní verzi Cisco Unified Communications Manager.

Chcete-li zobrazit režim zabezpečení, stiskněte Nastavení a přejděte na Síť a služby > Nastavení zabezpečení.

Následující tabulka obsahuje zprávy alarmů aktualizace seznamu důvěryhodných služeb a jejich význam. Další informace naleznete v dokumentaci k aplikaci Cisco Unified Communications Manager.

Nabídka Nastavení zabezpečení poskytuje informace o různých nastaveních zabezpečení. Nabídka také poskytuje přístup k nabídce Seznam důvěryhodných a ukazuje, zda je v telefonu nainstalován soubor CTL nebo ITL.

Následující tabulka popisuje možnosti v nabídce Nastavení zabezpečení.

IP telefony Cisco podporují ověřování 802.1X.

IP telefony Cisco a přepínače Cisco Catalyst tradičně používají protokol Cisco Discovery Protocol (CDP) k vzájemné identifikaci a určení parametrů, jako je alokace VLAN a požadavky na napájení. CDP neidentifikuje lokálně připojené pracovní stanice. IP telefony Cisco poskytují mechanismus průchodu EAPOL. Tento mechanismus umožňuje pracovní stanici připojené k telefonu Cisco IP Phone předávat zprávy EAPOL ověřovateli 802.1X na přepínači LAN. Mechanismus průchodu zajišťuje, že IP telefon nefunguje jako LAN přepínač pro ověření koncového bodu dat před přístupem k síti.

IP telefony Cisco také poskytují mechanismus proxy EAPOL Logoff. Pokud se lokálně připojený počítač odpojí od IP telefonu, LAN přepínač nezaznamená selhání fyzického spojení, protože spojení mezi LAN přepínačem a IP telefonem je zachováno. Aby se předešlo narušení integrity sítě, odešle IP telefon jménem následného počítače do přepínače zprávu EAPOL-Logoff, která spustí vymazání ověřovací položky pro následný počítač na LAN přepínači.

Podpora ověřování 802.1X vyžaduje několik komponent:

• IP telefon Cisco: Telefon inicializuje požadavek na přístup k síti. IP telefony Cisco obsahují suplicant standardu 802.1X. Tento žadatel umožňuje správcům sítě řídit připojení IP telefonů k portům LAN přepínače. Aktuální verze telefonního žadatele o standard 802.1X používá pro ověřování v síti možnosti EAP-FAST a EAP-TLS.

• Ověřovací server: Ověřovací server i přepínač musí být nakonfigurovány se sdíleným tajným klíčem, který ověřuje telefon.

• Přepínač: Přepínač musí podporovat standard 802.1X, aby mohl fungovat jako ověřovač a předávat zprávy mezi telefonem a ověřovacím serverem. Po dokončení výměny přepínač povolí nebo zamítne telefonu přístup k síti.

Pro konfiguraci standardu 802.1X je nutné provést následující kroky.

• Před povolením ověřování 802.1X v telefonu nakonfigurujte ostatní komponenty.

• Konfigurace portu počítače: Standard 802.1X nezohledňuje VLAN, a proto doporučuje, aby bylo na konkrétním portu přepínače ověřováno pouze jedno zařízení. Některé přepínače však podporují ověřování ve více doménách. Konfigurace přepínače určuje, zda lze k portu PC na telefonu připojit počítač.

  • Povoleno: Pokud používáte přepínač, který podporuje ověřování ve více doménách, můžete povolit port pro počítač a připojit k němu počítač. V tomto případě podporují telefony Cisco IP Phones proxy EAPOL-Logoff pro monitorování ověřovacích výměn mezi přepínačem a připojeným počítačem.

    Další informace o podpoře standardu IEEE 802.1X na přepínačích Cisco Catalyst naleznete v konfiguračních příručkách přepínačů Cisco Catalyst na adrese:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Zakázáno: Pokud přepínač nepodporuje více zařízení kompatibilních s 802.1X na stejném portu, měli byste při povoleném ověřování 802.1X deaktivovat port PC. Pokud tento port nezakážete a poté se k němu pokusíte připojit počítač, přepínač zamítne přístup k síti telefonu i počítači.

• Konfigurace hlasové VLAN: Protože standard 802.1X nezohledňuje sítě VLAN, měli byste toto nastavení nakonfigurovat na základě podpory přepínače.
  • Povoleno: Pokud používáte přepínač, který podporuje ověřování ve více doménách, můžete jej i nadále používat pro hlasovou VLAN.
  • Zakázáno: Pokud přepínač nepodporuje ověřování ve více doménách, deaktivujte hlasovou VLAN a zvažte přiřazení portu k nativní VLAN.
• (Pouze pro stolní telefony Cisco řady 9800)

  Stolní telefon Cisco řady 9800 má v PID jiný prefix než ostatní telefony Cisco. Chcete-li, aby váš telefon procházel ověřováním 802.1X, nastavte parametr Radius·User-Name tak, aby zahrnoval váš Cisco Desk Phone řady 9800.

  Například PID telefonu 9841 je DP-9841; můžete nastavit Radius·User-Name na Start with DP nebo Contains DP. Můžete to nastavit v obou následujících sekcích:

  • Zásady > Podmínky > Podmínky knihovny

  • Zásady > Sady zásad > Autorizační zásady > Autorizační pravidlo 1

Pokud je v telefonu implementováno zabezpečení, můžete zabezpečené telefonní hovory identifikovat podle ikon na obrazovce telefonu. Také můžete zjistit, zda je připojený telefon zabezpečený a chráněný, pokud se na začátku hovoru přehraje bezpečnostní tón.

V zabezpečeném hovoru jsou veškeré signalizační hovory a mediální streamy šifrovány. Zabezpečený hovor nabízí vysokou úroveň zabezpečení a zajišťuje integritu a soukromí hovoru. Pokud je probíhající hovor šifrovaný, na lince se zobrazí ikona zabezpečení . Pro zabezpečený telefon si můžete také prohlédnout ikonu ověřeného nebo ikonu šifrovaného vedle připojeného serveru v nabídce telefonu (Nastavení > O tomto zařízení).

V zabezpečeném hovoru se na začátku hovoru přehraje bezpečnostní tón, který signalizuje, že i druhý připojený telefon přijímá a vysílá zabezpečený zvuk. Pokud je váš hovor spojen s nezabezpečeným telefonem, bezpečnostní tón se nepřehraje.

Pokud je telefon v aplikaci Cisco Unified Communications Manager nakonfigurován jako zabezpečený (šifrovaný a důvěryhodný), může mu být přidělen stav chráněný. Poté lze v případě potřeby nakonfigurovat chráněný telefon tak, aby na začátku hovoru přehrál indikační tón:

• Chráněné zařízení: Chcete-li změnit stav zabezpečeného telefonu na chráněný, zaškrtněte políčko Chráněné zařízení v okně Konfigurace telefonu v aplikaci Cisco Unified Communications Manager Administration (Zařízení > Telefon).

• Přehrát zabezpečený indikační tón: Chcete-li, aby chráněný telefon přehrával zabezpečený nebo nezabezpečený indikační tón, nastavte možnost Přehrát zabezpečený indikační tón na hodnotu True. Ve výchozím nastavení je možnost Přehrát tón zabezpečené indikace nastavena na hodnotu Nepravda. Tuto možnost nastavíte v aplikaci Cisco Unified Communications Manager Administration (System > Parametry služby). Vyberte server a poté službu Unified Communications Manager. V okně Konfigurace parametrů služby vyberte možnost v oblasti Funkce – Zabezpečený tón. Výchozí hodnota je Nepravda.

Protože všechna zařízení WLAN v dosahu mohou přijímat veškerý ostatní provoz WLAN, je zabezpečení hlasové komunikace v sítích WLAN zásadní. Aby bylo zajištěno, že vetřelci nemanipulují ani nezachycují hlasový provoz, architektura Cisco SAFE Security podporuje telefon. Více informací o zabezpečení v sítích naleznete na http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Řešení IP telefonie Cisco Wireless poskytuje zabezpečení bezdrátové sítě, které zabraňuje neoprávněnému přihlášení a ohrožení komunikace pomocí následujících metod ověřování, které telefon podporuje:

• Otevřené ověřování: Jakékoli bezdrátové zařízení může v otevřeném systému požádat o ověření. Přístupový bod, který přijme požadavek, může udělit ověření libovolnému žadateli nebo pouze žadatelům, kteří se nacházejí v seznamu uživatelů. Komunikace mezi bezdrátovým zařízením a přístupovým bodem (AP) může být nešifrovaná.

• Extensible Authentication Protocol – flexibilní ověřování pomocí zabezpečeného tunelování (EAP-FAST): Tato architektura zabezpečení klient-server šifruje transakce EAP v tunelu TLS (Transport Level Security) mezi přístupovým bodem a serverem RADIUS, jako je například Identity Services Engine (ISE).

  Tunel TLS používá pro ověřování mezi klientem (telefonem) a serverem RADIUS zabezpečené přístupové údaje (PAC). Server odešle klientovi (telefonu) autorizační ID (AID), který následně vybere příslušný PAC. Klient (telefon) vrací na server RADIUS zprávu PAC-Opaque. Server dešifruje PAC pomocí primárního klíče. Oba koncové body nyní obsahují klíč PAC a je vytvořen tunel TLS. Protokol EAP-FAST podporuje automatické zřizování PAC, ale je nutné ho povolit na serveru RADIUS.

  V ISE standardně platnost PAC vyprší za jeden týden. Pokud má telefon vypršelý PAC, ověřování na serveru RADIUS trvá déle, než telefon získá nový PAC. Chcete-li se vyhnout zpožděním při zřizování PAC, nastavte na serveru ISE nebo RADIUS dobu platnosti PAC na 90 dní nebo déle.

• Ověřování protokolem Extensible Authentication Protocol-Transport Layer Security (EAP-TLS): EAP-TLS vyžaduje klientský certifikát pro ověřování a přístup k síti. Pro bezdrátový protokol EAP-TLS může být klientský certifikát MIC, LSC nebo certifikát instalovaný uživatelem.

• Chráněný rozšiřitelný ověřovací protokol (PEAP): Schéma vzájemného ověřování mezi klientem (telefonem) a serverem RADIUS založené na hesle od společnosti Cisco. Telefon může pro ověřování v bezdrátové síti používat protokol PEAP. Jsou podporovány metody ověřování PEAP-MSCHAPV2 i PEAP-GTC.

• Předsdílený klíč (PSK): Telefon podporuje formát ASCII. Tento formát musíte použít při nastavování WPA/WPA2/SAE Předsdílený klíč:

  ASCII: řetězec znaků ASCII o délce 8 až 63 znaků (0–9, malá a velká písmena od A do Z a speciální znaky)

  Příklad: GREG123567@9ZX & Z

Následující schémata ověřování používají server RADIUS ke správě ověřovacích klíčů:

• WPA/WPA2/WPA3: Používá informace ze serveru RADIUS k vygenerování jedinečných klíčů pro ověřování. Protože tyto klíče jsou generovány na centralizovaném serveru RADIUS, WPA2/WPA3 poskytuje větší zabezpečení než předsdílené klíče WPA, které jsou uloženy v přístupovém bodě a telefonu.

• Rychlý a bezpečný roaming: Používá informace ze serveru RADIUS a serveru bezdrátové domény (WDS) ke správě a ověřování klíčů. WDS vytváří mezipaměť bezpečnostních přihlašovacích údajů pro klientská zařízení s povoleným FT pro rychlé a bezpečné opětovné ověření. Stolní telefony Cisco 9861 a 9871 a videotelefon Cisco 8875 podporují standard 802.11r (FT). Podporováno je bezdrátové připojení i připojení přes DS, což umožňuje rychlý a bezpečný roaming. Důrazně však doporučujeme používat bezdrátovou metodu 802.11r (FT).

S WPA/WPA2/WPA3, Šifrovací klíče se nezadávají v telefonu, ale automaticky se odvozují mezi přístupovým bodem a telefonem. Uživatelské jméno a heslo EAP, které se používají k ověřování, však musí být zadáno v každém telefonu.

Pro zajištění bezpečnosti hlasového provozu telefon podporuje šifrování TKIP a AES. Pokud se tyto mechanismy používají k šifrování, šifrují se jak signální pakety SIP, tak hlasové pakety protokolu RTP (Real-Time Transport Protocol) mezi přístupovým bodem a telefonem.

TKIP

WPA používá šifrování TKIP, které má oproti WEP několik vylepšení. TKIP poskytuje šifrování klíčů pro jednotlivé pakety a delší inicializační vektory (IV), které posilují šifrování. Kontrola integrity zpráv (MIC) navíc zajišťuje, že šifrované pakety nejsou pozměněny. TKIP odstraňuje předvídatelnost WEP, která pomáhá vetřelcům dešifrovat klíč WEP.

AES

Šifrovací metoda používaná pro WPA2/WPA3 ověřování. Tento národní standard pro šifrování používá symetrický algoritmus, který má stejný klíč pro šifrování i dešifrování. AES používá šifrování Cipher Blocking Chain (CBC) o velikosti 128 bitů, které podporuje minimálně velikosti klíčů 128 bitů, 192 bitů a 256 bitů. Telefon podporuje klíč o délce 256 bitů.

V rámci bezdrátové lokální sítě LAN jsou nastavena schémata ověřování a šifrování. VLAN jsou konfigurovány v síti a na přístupových bodech a specifikují různé kombinace ověřování a šifrování. SSID se přidružuje k VLAN a konkrétnímu schématu ověřování a šifrování. Aby se bezdrátová klientská zařízení úspěšně ověřovala, musíte nakonfigurovat stejná SSID s jejich ověřovacími a šifrovacími schématy na přístupových bodech a v telefonu.

Některá ověřovací schémata vyžadují specifické typy šifrování.

Schémata ověřování a šifrování v následující tabulce ukazují možnosti konfigurace sítě pro telefon, které odpovídají konfiguraci přístupového bodu.

Assured Services SIP (AS-SIP) je soubor funkcí a protokolů, které nabízejí vysoce zabezpečený tok hovorů pro IP telefony Cisco a telefony třetích stran. Následující funkce jsou souhrnně označovány jako AS-SIP:

• Víceúrovňová priorita a preempce (MLPP)
• Kódový bod diferencovaných služeb (DSCP)
• Zabezpečení transportní vrstvy (TLS) a protokol zabezpečeného přenosu v reálném čase (SRTP)
• Internetový protokol verze 6 (IPv6)

AS-SIP se často používá s víceúrovňovou prioritou a preempcí (MLPP) k upřednostnění hovorů v případě nouze. S MLPP přiřazujete odchozím hovorům úroveň priority, od úrovně 1 (nízká) do úrovně 5 (vysoká). Když přijmete hovor, na telefonu se zobrazí ikona úrovně priority, která ukazuje prioritu hovoru.

Chcete-li nakonfigurovat AS-SIP, proveďte v aplikaci Cisco Unified Communications Manager následující úkoly:

• Konfigurace uživatele s ověřováním pomocí funkce Digest – Nakonfigurujte koncového uživatele tak, aby pro požadavky SIP používal ověřování pomocí funkce Digest.
• Konfigurace zabezpečeného portu SIP telefonu – Cisco Unified Communications Manager používá tento port k naslouchání SIP telefonům a registracím SIP linek přes TLS.
• Restartujte služby – Po konfiguraci zabezpečeného portu restartujte služby Cisco Unified Communications Manager a Cisco CTL Provider. Konfigurace profilu SIP pro AS-SIP – Nakonfigurujte profil SIP s nastavením SIP pro koncové body AS-SIP a pro vaše SIP trunkové linky. Parametry specifické pro telefon se nestahují do telefonu AS-SIP třetí strany. Používá je pouze Cisco Unified Manager. Telefony třetích stran musí lokálně nakonfigurovat stejná nastavení.
• Konfigurace profilu zabezpečení telefonu pro AS-SIP – Profil zabezpečení telefonu můžete použít k přiřazení nastavení zabezpečení, jako je TLS, SRTP a ověřování pomocí Digest.
• Konfigurace koncového bodu AS-SIP – Nakonfigurujte telefon Cisco IP nebo koncový bod třetí strany s podporou AS-SIP.
• Přiřadit zařízení koncovému uživateli – Přiřadí koncový bod k uživateli.
• Konfigurace bezpečnostního profilu SIP Trunk pro AS-SIP – Bezpečnostní profil SIP Trunk můžete použít k přiřazení bezpečnostních funkcí, jako je TLS nebo ověřování Digest, k SIP Trunk.
• Konfigurace SIP trunku pro AS-SIP – Konfigurace SIP trunku s podporou AS-SIP.
• Konfigurace funkcí AS-SIP – Nakonfigurujte další funkce AS-SIP, jako jsou MLPP, TLS, V.150 a IPv6.

Podrobné informace o konfiguraci AS-SIP naleznete v kapitole „Konfigurace koncových bodů AS-SIP“ v Průvodci konfigurací funkcí pro Cisco Unified Communications Manager.

Pokud jsou v telefonu nakonfigurovány kódy vynucené autorizace (FAC) nebo kódy pro klientské záležitosti (CMC), případně obojí, musí uživatelé pro vytočení čísla zadat požadovaná hesla.

Další informace o nastavení FAC a CMC v aplikaci Cisco Unified Communications Manager naleznete v kapitole „Kódy pro klienty a vynucené autorizační kódy“ v Průvodci konfigurací funkcí pro Cisco Unified Communications Manager, verze 12.5(1) nebo novější.

Funkce Cisco VPN vám pomáhá chránit zabezpečení sítě a zároveň uživatelům poskytuje bezpečný a spolehlivý způsob připojení k vaší firemní síti. Tuto funkci použijte, když:

• Telefon se nachází mimo důvěryhodnou síť
• Síťový provoz mezi telefonem a aplikací Cisco Unified Communications Manager prochází nedůvěryhodnou sítí.

U VPN existují tři běžné přístupy k ověřování klientů:

• Digitální certifikáty
• Hesla
• Uživatelské jméno a heslo

Každá metoda má své výhody. Pokud to ale vaše firemní bezpečnostní zásady umožňují, doporučujeme přístup založený na certifikátech, protože certifikáty umožňují bezproblémové přihlášení bez jakéhokoli zásahu uživatele. Podporovány jsou certifikáty LSC i MIC.

Chcete-li nakonfigurovat kteroukoli z funkcí VPN, nejprve zřiďte zařízení lokálně a poté jej můžete nasadit mimo síť.

Další informace o ověřování certifikátů a práci s VPN sítí naleznete v článku Konfigurace telefonu AnyConnect VPN s ověřováním certifikátů na ASA.

V případě hesla nebo uživatelského jména a hesla je uživatel vyzván k zadání přihlašovacích údajů. Nastavte přihlašovací údaje uživatele v souladu s bezpečnostními zásadami vaší společnosti. Můžete také nakonfigurovat nastavení Povolit trvalost hesla tak, aby se uživatelské heslo ukládalo do telefonu. Uživatelské heslo je uloženo, dokud nedojde k neúspěšnému pokusu o přihlášení, dokud uživatel heslo ručně nevymaže, nebo dokud se telefon neresetuje či nevypne.

Dalším užitečným nástrojem je nastavení Povolit automatickou detekci sítě. Pokud toto políčko zaškrtnete, VPN klient se spustí pouze tehdy, když zjistí, že se nachází mimo podnikovou síť. Toto nastavení je ve výchozím nastavení zakázáno.

Váš telefon Cisco podporuje jako typ klienta Cisco SVC IPPhone Client v1.0.

Další informace o konfiguraci VPN na Unified CM naleznete v Průvodci konfigurací funkcí pro Cisco Unified Communications Manager.

Funkce Cisco VPN používá protokol SSL (Secure Sockets Layer) k zachování zabezpečení sítě.