Sikkerhedsfunktioner beskytter mod trusler, herunder trusler mod telefonens identitet og data. Disse funktioner opretter og vedligeholder godkendte kommunikationsstreams mellem telefonen og Cisco Unified Communications Manager-serveren og sikrer, at telefonen kun bruger filer, der er signeret digitalt.

Cisco Unified Communications Manager version 8.5(1) og senere inkluderer Sikkerhed som standard, som giver følgende sikkerhedsfunktioner for Cisco IP-telefoner uden at køre CTL-klienten:

• Underskrivning af telefonkonfigurationsfilerne

• Kryptering af telefonkonfigurationsfil

• HTTPS med Tomcat og andre webtjenester

Implementering af sikkerhed i Cisco Unified Communications Manager-systemet forhindrer identitetstyveri af telefonen og Cisco Unified Communications Manager-serveren, forhindrer manipulation af data og forhindrer manipulation af opkaldssignaler og mediestrømme.

For at afhjælpe disse trusler etablerer og vedligeholder Cisco IP-telefoninetværket sikre (krypterede) kommunikationsstreams mellem en telefon og serveren, signerer filer digitalt, før de overføres til en telefon, og krypterer mediestreams og opkaldssignaler mellem Cisco IP-telefoner.

Et LSC (Locally Significant Certificate) installeres på telefoner, når du har udført de nødvendige opgaver, der er knyttet til CAPF (Certificate Authority Proxy Function). Du kan bruge Cisco Unified Communications Manager Administration til at konfigurere en LSC, som beskrevet i sikkerhedsvejledningen til Cisco Unified Communications Manager. Du kan også starte installationen af en LSC fra menuen Sikkerhedsindstillinger på telefonen. Denne menu lader dig også opdatere eller fjerne en LSC.

En LSC kan ikke bruges som brugercertifikat til EAP-TLS med WLAN-godkendelse.

Telefonerne bruger telefonens sikkerhedsprofil, som definerer, om enheden ikke er sikker eller sikker. Få oplysninger om anvendelse af sikkerhedsprofilen på telefonen i dokumentationen til din specifikke version af Cisco Unified Communications Manager.

Hvis du konfigurerer sikkerhedsrelaterede indstillinger i Cisco Unified Communications Manager Administration, indeholder telefonkonfigurationsfilen følsomme oplysninger. For at sikre fortroligheden af en konfigurationsfil skal du konfigurere den til kryptering. Få detaljerede oplysninger i dokumentationen til din specifikke version af Cisco Unified Communications Manager.

Telefonen er i overensstemmelse med FIPS (Federal Information Processing Standard). For at fungere korrekt kræver FIPS-tilstanden en nøglestørrelse på 2048 bit eller mere. Hvis certifikatet er mindre end 2048 bit, registreres telefonen ikke i Cisco Unified Communications Manager, og telefonen kunne ikke registreres. Størrelsen på certificeringsnøglen er ikke FIPS-kompatibel vises på telefonen.

Hvis telefonen har en LSC, skal du opdatere størrelsen af LSC-nøglen til 2048 bit eller mere, før du aktiverer FIPS.

Følgende tabel indeholder en oversigt over de sikkerhedsfunktioner, som telefonerne understøtter. Få flere oplysninger i dokumentationen til din specifikke version af Cisco Unified Communications Manager.

For at se sikkerhedstilstanden skal du trykke på Indstillinger og navigere til Netværk og tjeneste > Sikkerhedsindstillinger.

Følgende tabel indeholder alarmmeddelelser om opdatering af tillidsliste og betydning. Få flere oplysninger i dokumentationen til Cisco Unified Communications Manager.

Menuen Sikkerhedsopsætning indeholder oplysninger om forskellige sikkerhedsindstillinger. Menuen giver også adgang til menuen Tillidsliste og angiver, om CTL- eller ITL-filen er installeret på telefonen.

Følgende tabel beskriver valgmulighederne i menuen Sikkerhedsopsætning.

Cisco IP-telefon understøtter 802.1X-godkendelse.

Cisco IP-telefoner og Cisco Catalyst-switches bruger traditionelt CDP (Cisco Discovery Protocol) til at identificere hinanden og bestemme parametre som f.eks. VLAN-tildeling og krav til integreret strøm. CDP identificerer ikke lokalt tilknyttede arbejdsstationer. Cisco IP-telefon har en EAPOL-gennemføringsmekanisme. Denne mekanisme gør det muligt for en arbejdsstation, der er tilsluttet Cisco IP-telefon, at overføre EAPOL-meddelelser til 802.1X-godkenderen på LAN-switchen. Gennemføringsmekanismen sikrer, at IP-telefonen ikke fungerer som LAN-switch til at godkende et dataslutpunkt, før den får adgang til netværket.

Cisco IP-telefon har også en proxy-EAPOL-logoff-mekanisme. Hvis den lokalt tilsluttede pc afbryder forbindelsen til IP-telefonen, ser LAN-switchen ikke, at den fysiske forbindelse mislykkes, fordi forbindelsen mellem LAN-switchen og IP-telefonen bevares. For at undgå at kompromittere netværkets integritet sender IP-telefonen en EAPOL-Logoff-meddelelse til switchen på vegne af downstream-pc'en, hvilket udløser LAN-switchen til at rydde godkendelsesposten for downstream-pc'en.

Understøttelse af 802.1X-godkendelse kræver flere komponenter:

• Cisco IP-telefon: Telefonen starter anmodningen om at få adgang til netværket. Cisco IP-telefon indeholder en 802.1X-supplikant. Denne supplikant giver netværksadministratorer mulighed for at styre forbindelsen mellem IP-telefoner og LAN-switchportene. Den aktuelle version af telefonens 802.1X-supplikant bruger EAP-FAST- og EAP-TLS-indstillingerne til netværksgodkendelse.

• Godkendelsesserver: Godkendelsesserveren og switchen skal begge konfigureres med en delt hemmelighed, der godkender telefonen.

• Afbryder: Switchen skal understøtte 802.1X, så den kan fungere som godkendelsesfunktion og overføre meddelelserne mellem telefonen og godkendelsesserveren. Når udvekslingen er fuldført, giver eller afviser switchen telefonens adgang til netværket.

Du skal udføre følgende handlinger for at konfigurere 802.1X.

• Konfigurer de andre komponenter, før du aktiverer 802.1X-godkendelse på telefonen.

• Konfigurer pc-port: 802.1X-standarden tager ikke højde for VLAN'er og anbefaler derfor, at der kun godkendes én enkelt enhed til en bestemt switchport. Nogle switches understøtter dog godkendelse på flere domæner. Switchkonfigurationen bestemmer, om du kan tilslutte en pc til telefonens pc-port.

  • Aktiveret: Hvis du bruger en switch, der understøtter godkendelse på flere domæner, kan du aktivere pc-porten og tilslutte en pc til den. I dette tilfælde understøtter Cisco IP-telefon proxy-EAPOL-logoff til at overvåge godkendelsesudvekslingerne mellem switchen og den tilsluttede pc.

    Få flere oplysninger om understøttelse af IEEE 802.1X på Cisco Catalyst-switches i konfigurationsvejledningerne til Cisco Catalyst-switchen på:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Deaktiveret: Hvis switchen ikke understøtter flere 802.1X-kompatible enheder på den samme port, skal du deaktivere pc-porten, når 802.1X-godkendelse er aktiveret. Hvis du ikke deaktiverer denne port og derefter forsøger at tilslutte en pc til den, nægter switchen netværksadgang til både telefonen og pc'en.

• Konfigurer tale-VLAN: Da 802.1X-standarden ikke tager højde for VLAN'er, skal du konfigurere denne indstilling baseret på switchunderstøttelsen.
  • Aktiveret: Hvis du bruger en switch, der understøtter godkendelse på flere domæner, kan du fortsætte med at bruge tale-VLAN'et.
  • Deaktiveret: Hvis switchen ikke understøtter godkendelse på flere domæner, skal du deaktivere tale-VLAN'et og overveje at tildele porten til det indbyggede VLAN.
• (Kun for Cisco Desk Phone 9800-serien)

  Cisco Desk Phone 9800-serien har et andet præfiks i PID end for de andre Cisco-telefoner. For at gøre det muligt for din telefon at bestå 802.1X-godkendelse skal du indstille parameteren Radius·Brugernavn til at inkludere din Cisco Desk Phone 9800-serie.

  For eksempel er PID for telefon 9841 DP-9841. Du kan indstille Radius·Brugernavn til Start med DP eller Indeholder DP. Du kan indstille den i begge følgende afsnit:

  • Politik > Betingelser > Biblioteksbetingelser

  • Politik > Politiksæt > Godkendelsespolitik > Godkendelsesregel 1

Når sikkerhed er implementeret for en telefon, kan du identificere sikre telefonopkald ved hjælp af ikoner på telefonskærmen. Du kan også bestemme, om den tilsluttede telefon er sikker og beskyttet, hvis der afspilles en sikkerhedstone i begyndelsen af opkaldet.

I et sikkert opkald krypteres alle opkaldssignaler og mediestreams. Et sikkert opkald tilbyder et højt sikkerhedsniveau, der giver opkaldet integritet og beskyttelse af personlige oplysninger. Når et igangværende opkald er krypteret, kan du se det sikre ikon på linjen. For en sikker telefon kan du også se det godkendte ikon eller det krypterede ikon ved siden af den tilsluttede server i telefonmenuen (Indstillinger > Om denne enhed).

I et sikkert opkald afspilles der en sikkerhedstone i begyndelsen af et opkald for at angive, at den anden tilsluttede telefon også modtager og sender sikker lyd. Hvis dit opkald opretter forbindelse til en ikke-sikker telefon, afspilles sikkerhedstonen ikke.

Når en telefon er konfigureret som sikker (krypteret og pålidelig) i Cisco Unified Communications Manager, kan den tildeles en beskyttet -status. Derefter kan den beskyttede telefon, hvis det ønskes, konfigureres til at afspille en indikationstone i begyndelsen af et opkald:

• Beskyttet enhed: Hvis du vil ændre statussen for en sikker telefon til beskyttet, skal du markere afkrydsningsfeltet Beskyttet enhed i vinduet Telefonkonfiguration i Cisco Unified Communications Manager Administration (Enhed > Telefon).

• Afspil sikker indikationstone: Hvis du vil gøre det muligt for den beskyttede telefon at afspille en sikker eller ikke-sikker indikationstone, skal du indstille indstillingen Afspil sikker indikationstone til sand. Afspil sikker indikationstone er som standard indstillet til Falsk. Du indstiller denne valgmulighed i Cisco Unified Communications Manager Administration (System > Tjenesteparametre). Vælg serveren og derefter Unified Communications Manager-tjenesten. I vinduet Konfiguration af serviceparameter skal du vælge indstillingen i området Funktion – sikker tone. Standardindstillingen er Falsk.

Da alle WLAN-enheder, der er inden for rækkevidde, kan modtage al anden WLAN-trafik, er det vigtigt at sikre talekommunikation i WLAN'er. For at sikre, at ubudne personer ikke manipulerer eller opfanger taletrafikken, understøtter Cisco SAFE Security-arkitekturen telefonen. For yderligere oplysninger om sikkerhed i netværk, se http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Ciscos løsning til trådløs IP-telefoni giver sikkerhed for trådløst netværk, der forhindrer uautoriseret logon og kompromitteret kommunikation ved at bruge følgende godkendelsesmetoder, som telefonen understøtter:

• Åbn godkendelse: Enhver trådløs enhed kan anmode om godkendelse i et åbent system. Det adgangspunkt, der modtager anmodningen, kan give godkendelse til enhver anmoder eller kun til anmodere, der findes på en liste over brugere. Kommunikationen mellem den trådløse enhed og adgangspunktet (AP) kunne ikke krypteres.

• Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling (EAP-FAST)-godkendelse: Denne klient-server-sikkerhedsarkitektur krypterer EAP-transaktioner inden for en TLS-tunnel (Transport Level Security) mellem AP'en og RADIUS-serveren, f.eks. ISE (Identity Services Engine).

  TLS-tunnelen bruger PAC'er (Protected Access Credentials) til godkendelse mellem klienten (telefonen) og RADIUS-serveren. Serveren sender et Authority ID (AID) til klienten (telefonen), som igen vælger den relevante PAC. Klienten (telefon) returnerer en PAC-uigennemsigtig til RADIUS-serveren. Serveren dekrypterer PAC med den primære nøgle. Begge slutpunkter indeholder nu PAC-nøglen, og der oprettes en TLS-tunnel. EAP-FAST understøtter automatisk PAC-klargøring, men du skal aktivere den på RADIUS-serveren.

  I ISE udløber PAC som standard om en uge. Hvis telefonen har en udløbet PAC, tager godkendelse med RADIUS-serveren længere tid, mens telefonen får en ny PAC. For at undgå forsinkelser i PAC-klargøring skal du indstille PAC-udløbsperioden til 90 dage eller længere på ISE- eller RADIUS-serveren.

• Godkendelse af Extensible Authentication Protocol-Transport Layer Security (EAP-TLS): EAP-TLS kræver et klientcertifikat til godkendelse og netværksadgang. Når det gælder trådløs EAP-TLS, kan klientcertifikatet være et MIC-, LSC- eller brugerinstalleret certifikat.

• Protected Extensible Authentication Protocol (PEAP): Ciscos beskyttede adgangskodebaserede gensidige godkendelsesordning mellem klienten (telefonen) og en RADIUS-server. Telefonen kan bruge PEAP til godkendelse med det trådløse netværk. Både PEAP-MSCHAPV2- og PEAP GTC-godkendelsesmetoder understøttes.

• Forhåndsdelt nøgle (PSK): Telefonen understøtter ASCII-format. Du skal bruge dette format, når du konfigurerer en forhåndsdelt WPA/WPA2/SAE-nøgle:

  ASCII: en ASCII-tegnstreng med en længde på 8 til 63 tegn (0-9, små og store bogstaver A-Z og specialtegn)

  Eksempel: Greg123567@9zx&w

Følgende godkendelsesmetoder bruger RADIUS-serveren til at administrere godkendelsesnøgler:

• wpa/wpa2/wpa3: Bruger RADIUS-serveroplysninger til at generere unikke nøgler til godkendelse. Da disse nøgler genereres på den centrale RADIUS-server, giver WPA2/WPA3 mere sikkerhed end forhåndsdelte WPA-nøgler, der er gemt på adgangspunktet og telefonen.

• Hurtig og sikker roaming: Bruger oplysninger om RADIUS-server og en trådløs domæneserver (WDS) til at administrere og godkende nøgler. WDS opretter en cache med sikkerhedslegitimationsoplysninger for FT-aktiverede klientenheder for hurtig og sikker gengodkendelse. Cisco Desk Phone 9861 og 9871 og Cisco Video Phone 8875 understøtter 802.11r (FT). Både over luften og over DS understøttes for at muliggøre hurtig sikker roaming. Men vi anbefaler kraftigt at bruge 802.11r (FT) over luft-metoden.

Med WPA/WPA2/WPA3 indtastes krypteringsnøgler ikke på telefonen, men afledes automatisk mellem adgangspunktet og telefonen. Men det EAP-brugernavn og den adgangskode, der bruges til godkendelse, skal angives på hver enkelt telefon.

For at sikre, at taletrafikken er sikker, understøtter telefonen TKIP og AES til kryptering. Når disse mekanismer bruges til kryptering, krypteres både signal-SIP-pakker og RTP-talepakker (Real-Time Transport Protocol) mellem adgangspunktet og telefonen.

tkip

WPA bruger TKIP-kryptering, der har flere forbedringer i forhold til WEP. TKIP giver nøglekryptering pr. pakke og længere initialiseringsvektorer (IV'er), der styrker kryptering. Derudover sikrer en MIC (message integrity check), at krypterede pakker ikke ændres. TKIP fjerner forudsigeligheden af WEP, der hjælper uvedkommende med at dekryptere WEP-nøglen.

aes

En krypteringsmetode, der bruges til WPA2/WPA3-godkendelse. Denne nationale standard for kryptering bruger en symmetrisk algoritme, der har den samme nøgle til kryptering og dekryptering. AES bruger CBC-kryptering (Cipher Blocking Chain) på 128 bit i størrelse, som understøtter nøglestørrelser på som minimum 128 bit, 192 bit og 256 bit. Telefonen understøtter en nøglestørrelse på 256 bit.

Godkendelses- og krypteringsmetoder konfigureres inden for det trådløse LAN. VLAN'er konfigureres på netværket og på adgangspunkterne og angiver forskellige kombinationer af godkendelse og kryptering. Et SSID er knyttet til et VLAN og den specifikke godkendelses- og krypteringsmetode. Hvis trådløse klientenheder skal godkendes, skal du konfigurere de samme SSID'er med deres godkendelses- og krypteringsmetoder på adgangspunkterne og på telefonen.

Nogle godkendelsesordninger kræver specifikke typer kryptering.

Godkendelses- og krypteringsmetoderne i følgende tabel viser indstillingerne for netværkskonfiguration for den telefon, der svarer til konfigurationen af AP.

AS-SIP (Assured Services SIP) er en samling funktioner og protokoller, der tilbyder et meget sikkert opkaldsflow for Cisco IP-telefoner og tredjepartstelefoner. Følgende funktioner kaldes samlet AS-SIP:

• MLPP (Multilevel Precedence and Preemption)
• Differentieret tjenestekodepunkt (DSCP)
• TLS (Transport Layer Security) og SRTP (Secure Real-time Transport Protocol)
• Internetprotokol version 6 (IPv6)

AS-SIP bruges ofte med MLPP (Multilevel Precedence and Preemption) til at prioritere opkald under en nødsituation. Med MLPP tildeler du et prioritetsniveau til udgående opkald, fra niveau 1 (lavt) til niveau 5 (højt). Når du modtager et opkald, vises et ikon for prioritetsniveau på telefonen, der viser opkaldsprioriteten.

Hvis du vil konfigurere AS-SIP, skal du udføre følgende opgaver på Cisco Unified Communications Manager:

• Konfigurer en digest-bruger – konfigurer slutbrugeren til at bruge digest-godkendelse til SIP-anmodninger.
• Konfigurer sikker port til SIP-telefon – Cisco Unified Communications Manager bruger denne port til at lytte til SIP-telefoner til SIP-linjeregistreringer via TLS.
• Genstart tjenester – når du har konfigureret den sikre port, skal du genstarte tjenesterne Cisco Unified Communications Manager og Cisco CTL Provider. Konfigurer SIP-profil for AS-SIP-konfigurer en SIP-profil med SIP-indstillinger for dine AS-SIP-slutpunkter og dine SIP-trunks. De telefonspecifikke parametre downloades ikke til en tredjeparts-AS-SIP-telefon. De bruges kun af Cisco Unified Manager. Tredjepartstelefoner skal lokalt konfigurere de samme indstillinger.
• Konfigurer telefonsikkerhedsprofil for AS-SIP – du kan bruge telefonens sikkerhedsprofil til at tildele sikkerhedsindstillinger som f.eks. TLS, SRTP og digest-godkendelse.
• Konfigurer AS-SIP-slutpunkt – konfigurer en Cisco IP-telefon eller et tredjepartsslutpunkt med AS-SIP-understøttelse.
• Knyt enhed til slutbruger – knyt slutpunktet til en bruger.
• Konfigurer SIP-trunksikkerhedsprofil for AS-SIP – du kan bruge sip-trunk-sikkerhedsprofilen til at tildele sikkerhedsfunktioner som f.eks. TLS eller digest-godkendelse til en SIP-trunk.
• Konfigurer SIP-trunk for AS-SIP – konfigurer en SIP-trunk med AS-SIP-understøttelse.
• Konfigurer AS-SIP-funktioner – konfigurer yderligere AS-SIP-funktioner som f.eks. MLPP, TLS, V.150 og IPv6.

Få detaljerede oplysninger om konfiguration af AS-SIP i kapitlet "Konfigurer AS-SIP-slutpunkter" i Vejledning til funktionskonfiguration til Cisco Unified Communications Manager.

Når FAC (Forced Authorization Codes) eller CMC (Client Matter Codes) eller begge er konfigureret på telefonen, skal brugerne indtaste de påkrævede adgangskoder for at ringe op til et nummer.

For yderligere oplysninger om, hvordan du konfigurerer FAC og CMC i Cisco Unified Communications Manager, henvises der til kapitlet "Klient Matter Codes and Forced Authorization Codes" i Vejledning til funktionskonfiguration for Cisco Unified Communications Manager, version 12.5(1) eller nyere.