Fysisk sikkerhed

Det er vigtigt at give fysisk sikkerhed til Equinix Meet-Me Room-placeringer og Cisco Dedicated Instance Data Center-faciliteter. Når den fysiske sikkerhed kompromitteres, kan der iværksættes enkle angreb såsom serviceafbrydelse ved at lukke strømmen til en kundes switche. Med fysisk adgang kunne angribere få adgang til serverenheder, nulstille adgangskoder og få adgang til switche. Fysisk adgang letter også mere sofistikerede angreb såsom man-in-the-middle angreb, hvorfor det andet sikkerhedslag, netværkssikkerheden, er kritisk.

Selvkrypterende drev bruges i datacentre med dedikerede instanser, der er vært for UC-programmer.

Du kan finde flere oplysninger om generel sikkerhedspraksis i dokumentationen på følgende sted: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Netværkssikkerhed

Partnere skal sikre, at alle netværkselementer er sikret i Dedicated Instance-infrastruktur (som opretter forbindelse via Equinix). Det er partnerens ansvar at sikre bedste sikkerhedspraksis såsom:

• Separat VLAN til tale og data

• Aktivér portsikkerhed, som begrænser antallet af tilladte MAC-adresser pr. port mod oversvømmelse af CAM-tabeller

• IP-kildebeskyttelse mod falske IP-adresser

• Dynamisk ARP Inspection (DAI) undersøger adresseopløsningsprotokol (ARP) og gratis ARP (GARP) for overtrædelser (mod ARP-spoofing)

• 802.1x begrænser netværksadgang til at godkende enheder på tildelte VLAN'er (telefoner understøtter 802.1x)

• Konfiguration af servicekvalitet (QoS) til passende mærkning af talepakker

• Firewall-portkonfigurationer til blokering af anden trafik

Endpoints sikkerhed

Cisco-slutpunkter understøtter standardsikkerhedsfunktioner såsom signeret firmware, sikker opstart (udvalgte modeller), producentinstalleret certifikat (MIC) og underskrevne konfigurationsfiler, som giver et vist sikkerhedsniveau for slutpunkter.

Derudover kan en partner eller kunde aktivere yderligere sikkerhed, såsom:

• Krypter IP-telefontjenester (via HTTPS) for tjenester som Extension Mobility

• Udsted lokalt signifikante certifikater (LSC'er) fra certifikatmyndighedens proxyfunktion (CAPF) eller en offentlig certifikatmyndighed (CA)

• Krypter konfigurationsfiler

• Krypter medier og signalering

• Deaktiver disse indstillinger, hvis de ikke bruges: PC-port, PC Voice VLAN-adgang, Gratis ARP, Web Access, Indstillinger-knap, SSH, konsol

Implementering af sikkerhedsmekanismer i den dedikerede instans forhindrer identitetstyveri af telefonerne og Unified CM serveren, manipulation af data og manipulation af opkaldssignaler/mediestrøm.

Dedikeret forekomst over netværket:

• Opretter og vedligeholder godkendte kommunikationsstrømme

• Signerer filer digitalt, før du overfører filen til telefonen

• Krypterer mediestrømme og opkaldssignalering mellem Cisco Unified IP-telefoner

Sikkerhed indeholder som standard følgende automatiske sikkerhedsfunktioner til Cisco Unified IP-telefoner:

• Underskrift af telefonens konfigurationsfiler

• Understøttelse af telefonkonfigurationsfilkryptering

• HTTPS med Tomcat og andre webtjenester (MIDlets)

For Unified CM version 8.0 senere leveres disse sikkerhedsfunktioner som standard uden at køre CTL-klienten (Certificate Trust List).

Da der er et stort antal telefoner i et netværk, og IP-telefoner har begrænset hukommelse, Cisco Unified CM fungerer det som et eksternt tillidslager via TVS (Trust Verification Service), så der ikke behøver at placeres et certifikattillidslager på hver telefon. Cisco IP-telefonerne kontakter TVS-serveren for bekræftelse, fordi de ikke kan bekræfte en signatur eller et certifikat via CTL- eller ITL-filer. At have en central tillidslager er lettere at administrere end at have tillidslageret på hver Cisco Unified IP-telefon.

TVS gør det muligt for Cisco Unified IP-telefoner at godkende applikationsservere, såsom EM-tjenester, bibliotek og MIDlet, under HTTPS-etablering.

ITL-filen (Initial Trust List) bruges til den oprindelige sikkerhed, så slutpunkterne kan stole på. Cisco Unified CM ITL behøver ikke nogen sikkerhedsfunktioner, der skal aktiveres eksplicit. ITL-filen oprettes automatisk, når klyngen er installeret. Unified CMTrivial File Transfer Protocol (TFTP) serverens private nøgle bruges til at underskrive ITL- filen.

Når kl Cisco Unified CM yngen eller serveren er i ikke-sikker tilstand, downloades ITL-filen på alle understøttede Cisco IP-telefoner. En partner kan se indholdet af en ITL-fil ved hjælp af CLI-kommandoen, ad min:show itl.

Cisco IP-telefoner har brug for ITL-filen for at udføre følgende opgaver:

• Kommuniker sikkert til CAPF, en forudsætning for at understøtte konfigurationsfilkryptering

• Godkend konfigurationsfilens signatur

• Godkend applikationsservere, såsom EM-tjenester, bibliotek og MIDlet under HTTPS-etablering ved hjælp af TVS

Godkendelse af enhed, fil og signalering afhænger af oprettelsen af CTL-filen (Certificate Trust List), som oprettes, når partneren eller kunden installerer og konfigurerer Cisco Certificate Trust List Client.

CTL-filen indeholder poster for følgende servere eller sikkerhedstokener:

• Systemadministratorsikkerhedstoken (SAST)

• Cisco CallManagerog Cisco TFTP-tjenester, der kører på den samme server

• Certificate AuthorityProxy-funktion (CAPF)

• TFTP-server (er)

• ASA-firewall

CTL-filen indeholder et servercertifikat, offentlig nøgle, serienummer, signatur, udstedernavn, emnenavn, serverfunktion, DNS-navn og IP-adresse for hver server.

Telefonsikkerhed med CTL giver følgende funktioner:

• Godkendelse af TFTP-downloadede filer (konfiguration, lokalitet, ringeliste osv.) ved hjælp af en signeringsnøgle

• Kryptering af TFTP-konfigurationsfiler ved hjælp af en signeringsnøgle

• Krypteret opkaldssignalering til IP-telefoner

• Krypteret opkaldslyd (medier) til IP-telefoner

Dedikeret forekomst giver slutpunktregistrering og opkaldsbehandling. Signaleringen mellem Cisco Unified CM og slutpunkter er baseret på Secure Skinny Client Control Protocol (SCCP) eller Session Initiation Protocol (SIP) og kan krypteres ved hjælp af Transport Layer Security (TLS). Medierne fra/til slutpunkterne er baseret på RTP (Real-time Transport Protocol) og kan også krypteres ved hjælp af Secure RTP (SRTP).

Aktivering af blandet tilstand Unified CM muliggør kryptering af signalering og medietrafik fra og til Cisco-slutpunkterne.

Sikre UC-applikationer

Blandet tilstand er aktiveret som standard i Dedicated Instance.

Aktivering af blandet tilstand i Dedicated Instance gør det muligt at udføre kryptering af signalering og medietrafik fra og til Cisco-slutpunkterne.

Fra Cisco Unified CM udgivelse 12.5 (1) blev der tilføjet en ny mulighed for at aktivere kryptering af signalering og medier baseret på SIP OAuth i stedet for blandet tilstand/CTL til Jabber- og Webex-klienter. Derfor kan SIP OAuth og SRTP i Unified CM version 12.5 (1) bruges til at aktivere kryptering til signalering og medier til Jabber- eller Webex-klienter. Aktivering af blandet tilstand er fortsat påkrævet for Cisco IP-telefoner og andre Cisco-slutpunkter på dette tidspunkt. Der er en plan om at tilføje understøttelse af SIP OAuth i 7800/8800 slut punkter i en fremtidig udgivelse.

Sikring af kommunikation mellem Cisco Unified CM og CUBE

For sikker kommunikation mellem Cisco Unified CM og CUBE skal partnere/kunder enten bruge selvsignerede certifikater eller CA-signerede certifikater.

For selvunderskrevne certifikater:

1. CUBE og Cisco Unified CM generer selvsignerede certifikater

2. CUBE eksporterer certifikat til Cisco Unified CM

3. Cisco Unified CMeksportcertifikat til CUBE

For CA-underskrevne certifikater:

1. Klienten genererer et nøglepar og sender en anmodning om certifikatsignering (CSR) til (CA) Certificate Authority

2. CA'en underskriver det med sin private nøgle og opretter et identitetscertifikat

3. Klienten installerer listen over anerkendte CA-rodcertifikater og mellemhandlercertifikater og identitetscertifikatet

Protokoloversigt

Følgende tabel viser de protokoller og tilknyttede tjenester, der bruges i Unified CM løsningen.

Du kan finde flere oplysninger om MRA-konfiguration i afsnittet MRA-implementeringsscenarier i Mobile and Th Remote Access rough Cisco Expressway Deployment Guide.

Sikring af Jabber og Webex med SIP OAuth

Jabber- og Webex-klienter godkendes via et OAuth-token i stedet for et lokalt signifikant certifikat (LSC), som ikke kræver aktivering af CAPF (Certificate Authority Proxy Function) (også for MRA). SIP OAuth, der arbejder med eller uden blandet tilstand, blev introduceret i Cisco Unified CM 12.5 (1) og nyere, Jabber 12.5 og nyere og Expressway X12.5.

I Cisco Unified CM 12.5 og nyere har vi en ny mulighed i Phone Security Profile, der muliggør kryptering uden LSC/CAPF ved hjælp af single Transport Layer Security (TLS) + OAuth-token i SIP REGISTER. Expressway-C-noder bruger AXL (Administrative XML Web Service) API til at informere om Cisco Unified CM SN/SAN i deres certifikat. Cisco Unified CMbruger disse oplysninger til at validere Exp-C-certifikatet, når der oprettes en gensidig TLS-forbindelse.

SIP OAuth muliggør medie- og signalkryptering uden et slutpunktscertifikat (LSC).

Cisco Jabberbruger Ephemeral-porte og sikre porte 6971 og 6972 porte via HTTPS-forbindelse til TFTP-serveren til at downloade konfigurationsfilerne. Port 6970 er en ikke-sikker port til download via HTTP.

Flere detaljer om SIP OAuth-konfiguration: SIP O Auth-tilstand.