Danke für Ihr Feedback.

Sicherheitsfunktionen schützen vor Bedrohungen, einschließlich Bedrohungen der Identität des Telefons und von Daten. Diese Funktionen stellen authentifizierte Kommunikationsströme zwischen dem Telefon und dem Cisco Unified Communications Manager Server her und stellen sicher, dass das Telefon nur digital signierte Dateien verwendet.

Cisco Unified Communications ManagerVersion 8.5 (1) und höher beinhaltet standardmäßig Security, das die folgenden Sicherheitsfunktionen für Cisco IP-Telefone bietet, ohne dass der CTL-Client ausgeführt wird:

• Signieren der Telefonkonfigurationsdateien

• Verschlüsselung der Telefonkonfigurationsdatei

• HTTPS mit Tomcat und anderen Webdiensten

Die Implementierung von Sicherheitsfunktionen im Cisco Unified Communications Manager System verhindert den Identitätsdiebstahl von Telefon und Cisco Unified Communications Manager Server, verhindert Datenmanipulation und verhindert die Manipulation von Anrufsignalen und Medienstreams.

Um diese Bedrohungen abzuwehren, richtet das Cisco IP-Telefonnetzwerk sichere (verschlüsselte) Kommunikationsströme zwischen einem Telefon und dem Server ein und unterhält diese, signiert Dateien digital, bevor sie auf ein Telefon übertragen werden, und verschlüsselt Medienstreams und Anrufsignalisierung zwischen Cisco IP-Telefonen.

Ein Locally Significant Certificate (LSC) wird auf Telefonen installiert, nachdem Sie die notwendigen Aufgaben im Zusammenhang mit der Certificate Authority Proxy-Funktion (CAPF) ausgeführt haben. Sie können Cisco Unified Communications Manager Administration es verwenden, um ein LSC zu konfigurieren, wie im Cisco Unified Communications ManagerSecurity Guide beschrieben. Alternativ können Sie die Installation eines LSC über das Sicherheitsmenü auf dem Telefon einleiten. In diesem Menü können Sie auch ein LSC aktualisieren oder entfernen.

Die Telefone verwenden das Telefonsicherheitsprofil, das definiert, ob das Gerät unsicher oder sicher ist. Informationen zur Anwendung des Sicherheitsprofils auf das Telefon finden Sie in der Dokumentation zu Ihrer speziellen Cisco Unified Communications Manager Version.

Wenn Sie sicherheitsrelevante Einstellungen in konfigurierenCisco Unified Communications Manager Administration, enthält die Telefonkonfigurationsdatei vertrauliche Informationen. Damit die Konfigurationsdatei entsprechend ihrer Vertraulichkeit geschützt ist, müssen Sie die Datei so konfigurieren, dass eine Verschlüsselung erfolgt. Detaillierte Informationen finden Sie in der Dokumentation für Ihre spezielle Cisco Unified Communications Manager Version.

Die folgende Tabelle bietet einen Überblick über die Sicherheitsfunktionen, die die Telefone unterstützen. Weitere Informationen finden Sie in der Dokumentation für Ihre Version von Cisco Unified Communications Manager.

Die folgende Tabelle enthält die Warnmeldungen und deren Bedeutung zum Update der Trust List. Weitere Informationen finden Sie in der Cisco Unified Communications Manager Dokumentation.

Wenn die Sicherheit für ein Telefon implementiert ist, können Sie sichere Telefonanrufe an den Symbolen auf dem Telefonbildschirm erkennen. Sie können auch feststellen, ob das verbundene Telefon sicher und geschützt ist, wenn zu Beginn des Anrufs ein Sicherheitston abgespielt wird.

In einem sicheren Anruf sind alle Anrufsignalisierungs- und Medienstreams verschlüsselt. Ein sicherer Anruf bietet ein hohes Maß an Sicherheit und gewährleistet Integrität und Datenschutz für den Anruf. Wenn ein laufender Anruf verschlüsselt ist, können Sie das Sicherheitssymbol in der Leitung sehen.

InCisco Unified Communications Manager, Telefonen, die als sicher (verschlüsselt und vertrauenswürdig) konfiguriert sind, kann ein geschützter Status zugewiesen werden. Sobald sie geschützt sind, können diese Geräte so konfiguriert werden , dass zu Beginn jedes Anrufs ein Sicherheitston abgespielt wird.

• Geschütztes Gerät:

  Um den Status eines sicheren Telefons auf geschützt zu ändern:

  1. Wählen Sie in Cisco Unified Communications Manager Administration die Option Gerät > Telefon aus.
  2. Suchen Sie das Telefon, das Sie konfigurieren möchten.
  3. Wählen Sie im Fenster Telefonkonfiguration das Kontrollkästchen Geschütztes Gerät aus.
  4. Klicken Sie auf Speichern.

• Spielen Sie den sicheren Hinweiston ab:

  Um das geschützte Telefon zu aktivieren, einen sicheren oder unsicheren Hinweiston abzuspielen:

  1. Wählen Sie in Cisco Unified Communications Manager Administration System > Serviceparameter aus.
  2. Wählen Sie den Server und dann den Cisco CallManager Dienst aus.
  3. Stellen Sie im Bereich Clusterwide Parameters (Feature — Secure Tone) die Einstellung Abspielton zur Anzeige des Status von sicheren/unsicheren Anrufen auf True ein.
  4. Klicken Sie auf Speichern.

Da alle WLAN-Geräte, die sich innerhalb der Reichweite befinden, den gesamten anderen WLAN-Datenverkehr empfangen können, ist die Sicherung der Sprachkommunikation in einem WLAN besonders wichtig. Um sicherzustellen, dass Eindringlinge den Sprachverkehr weder manipulieren noch abfangen können, wird das Telefon von der Cisco SAFE Security-Architektur unterstützt. Weitere Informationen zur Sicherheit in Netzwerken finden Sie unter http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Die Cisco Wireless IP Telefonielösung bietet Sicherheit für Wireless-Netzwerke, die nicht autorisierte Anmeldungen und kompromittierte Kommunikation mithilfe der folgenden, vom Telefon unterstützten Authentifizierungsmethoden verhindert.

• Offene Authentifizierung: In einem offenen System kann jedes kabellose Gerät die Authentifizierung anfordern. Der Access Point, der die Anforderung empfängt, kann die Authentifizierung entweder jedem Anforderer oder nur denjenigen Anforderern gewähren, die in einer Benutzerliste aufgeführt sind. Die Kommunikation zwischen dem drahtlosen Gerät und dem Access Point (AP) kann unverschlüsselt sein.

• Extensible Authentication Protocol-flexible Authentication via Secure Tunneling (EAP-FAST)-Authentifizierung: Diese Client-Server-Sicherheitsarchitektur verschlüsselt EAP-Transaktionen innerhalb eines Transport Layer Security (TLS)-Tunnels zwischen dem Access Point und dem RADIUS-Server, z. B. der Identity Services Engine (ISE).

  Der TLS-Tunnel verwendet PACs (Protected Access Credentials) für die Authentifizierung zwischen dem Client (Telefon) und dem RADIUS-Server. Der Server sendet eine Autoritäts-ID (Authority ID, AID) an den Client (Telefon), der wiederum die richtige PAC auswählt. Der Client (Telefon) gibt einen PAC-Opaque-Wert an den RADIUS-Server zurück. Der Server entschlüsselt die PAC mit dem primären Schlüssel. Beide Endpunkte verfügen nun über den PAC-Schlüssel, und ein TLS-Tunnel wird erstellt. EAP-FAST unterstützt die automatische PAC-Bereitstellung, muss jedoch auf dem RADIUS-Server aktiviert werden.

  In der ISE läuft die PAC standardmäßig nach einer Woche ab. Wenn auf dem Telefon eine abgelaufene PAC vorhanden ist, dauert die Authentifizierung beim RADIUS-Server länger, da das Telefon eine neue PAC abrufen muss. Um Verzögerungen bei der PAC-Bereitstellung zu vermeiden, sollten Sie den Ablaufzeitraum für die PAC auf dem ISE oder RADIUS-Server auf mindestens 90 Tage festlegen.

• Extensible Authentication Protocol-Transport Layer Security-(EAP-TLS-)-Authentifizierung: EAP-TLS erfordert ein Client-Zertifikat für Authentifizierung und Netzwerkzugriff. Bei Wireless EAP-TLS kann das Clientzertifikat MIC, LSC, oder ein vom Benutzer installiertes Zertifikat sein.

• PEAP (Protected Extensible Authentication Protocol): Ein von Cisco entwickeltes, kennwortbasiertes Schema zur gegenseitigen Authentifizierung zwischen Client (Telefon) und RADIUS-Server. Das Telefon kann PEAP für die Authentifizierung beim Drahtlosnetzwerk verwenden. Als Authentifizierungsmethoden werden sowohl PEAP-MSCHAPV2 als auch PEAP-GTC unterstützt.

• Pre-shared Key (PSK): Das Telefon unterstützt das Format ASCII und Hexadezimal (HEX). Sie müssen diese Formate verwenden, wenn Sie einen WPA2/SAE Pre-shared Key einrichten.

  ASCII: Eine ASCII-Zeichenfolge mit einer Länge von 8 bis 63 Zeichen (0-9, Kleinbuchstaben a-z, Großbuchstaben A-Z und Sonderzeichen). Beispiel: GREG123567@9ZX&W.

  HEX: Eine HEX-Zeichenfolge mit einer Länge von 64 Hexadezimalzeichen (0-9, a-f oder A-F).

Folgende Authentifizierungsschemata verwenden den RADIUS-Server, um Authentifizierungsschlüssel zu verwalten:

• WPA2/WPA3: Verwendet RADIUS-Serverinformationen, um eindeutige Authentifizierungsschlüssel zu generieren. Da diese Schlüssel auf dem zentralen RADIUS-Server generiert werden, bietet WPA2/WPA3 eine höhere Sicherheit als die vorinstallierten WPA-Schlüssel, die am Access Point und auf dem Telefon gespeichert sind.

• Fast Secure Roaming: Verwendet RADIUS-Serverinformationen und WDS-Informationen (Wireless Domain Server), um Schlüssel zu verwalten und zu authentifizieren. Der WDS erstellt einen Cache mit Sicherheitsanmeldedaten für FT-fähige Client-Geräte, um eine schnelle und sichere erneute Authentifizierung zu gewährleisten.

Bei WPA2/WPA3 werden die Verschlüsselungsschlüssel nicht auf dem Telefon eingegeben, sondern automatisch zwischen dem Access Point und dem Telefon abgeleitet. Der EAP-Benutzername und das Kennwort, die zur Authentifizierung verwendet werden, müssen jedoch auf jedem Telefon eingegeben werden.

Um den Sprachverkehr über die drahtlose Verbindung zu schützen, unterstützt das Telefon die AES-basierte Verschlüsselung für die WPA2/WPA3-Authentifizierung. AES ist eine symmetrische Blockchiffre, die vom NIST standardisiert wurde. AES verwendet eine feste 128-Bit-Blockgröße und unterstützt Schlüssellängen von 128 Bit, 192 Bit und 256 Bit. In Wi-Fi-Netzwerken wird AES von Verschlüsselungssammlungen wie CCMP oder GCMP verwendet, während die Authentifizierung je nach konfiguriertem WLAN-Sicherheitsmodus separat von PSK, SAE oder 802.1X/EAP bereitgestellt wird. Die unterstützte Verschlüsselungssammlung und Schlüsselgröße hängen vom Telefonmodell und der WLAN-Konfiguration ab.

Wenn das Telefon AES-Verschlüsselung verwendet, werden sowohl die Signalisierungs-SIP-Pakete als auch die RTP-Pakete (Voice Real-Time Transport Protocol) zwischen dem AP und dem Telefon verschlüsselt.

Authentifizierungs- und Verschlüsselungsschemata werden innerhalb des Wireless LAN eingerichtet. VLANs werden im Netzwerk und an den Access Points konfiguriert und geben verschiedene Kombinationen von Authentifizierung und Verschlüsselung an. Eine SSID wird einem VLAN und dem spezifischen Authentifizierungs- und Verschlüsselungsschema zugeordnet. Damit kabellose Client-Geräte erfolgreich authentifiziert werden können, müssen Sie an den Access Points und auf dem Telefon die gleichen SSIDs mit ihren Authentifizierungs- und Verschlüsselungsschemata konfigurieren.

Einige Authentifizierungsschemata erfordern bestimmte Arten von Verschlüsselung.

Die Authentifizierungs- und Verschlüsselungsschemata in der folgenden Tabelle zeigen die Netzwerkkonfigurationsoptionen für Cisco Wireless Phone 9821, das der AP-Konfiguration entspricht.

Cisco Wireless Phone 9821 unterstützt die 802.1X-Authentifizierung für kabelgebundene Netzwerke. Diese wird normalerweise während der automatischen Bereitstellung verwendet, wenn das Telefon über einen unterstützten USB-zu-Ethernet-Adapter mit dem Desktopladegerät verbunden ist.

Für die Unterstützung der 802.1X-Authentifizierung in kabelgebundenen Netzwerken werden folgende Komponenten benötigt:

• Cisco IP-Telefon: Das Telefon initiiert die Anforderung, um auf das Netzwerk zuzugreifen. Das Cisco IP-Telefon enthält ein 802.1X Supplicant. Dieses Supplicant ermöglicht Netzwerkadministratoren die Verbindung von IP-Telefonen mit den LAN-Switch-Ports zu steuern. Die aktuelle Version des 802.1X Supplicant verwendet EAP-FAST und EAP-TLS für die Netzwerkauthentifizierung.

• Authentifizierungsserver: Der Authentifizierungsserver und der Switch müssen beide mit einem Shared Secret für RADIUS konfiguriert werden.

• Switch: Der Switch muss 802.1X unterstützen, damit er als Authentifikator fungieren und die EAP Nachrichten zwischen dem Telefon und dem Authentifizierungsserver weiterleiten kann. Nach dem Meldungsaustausch gewährt oder verweigert der Switch dem Telefon den Zugriff auf das Netzwerk.

Cisco IP-Telefons und Cisco Catalyst-Switches verwenden normalerweise CDP (Cisco Discovery Protocol), um sich gegenseitig zu identifizieren und Paramater zu bestimmen, beispielsweise die VLAN-Zuweisung und Inline-Energieanforderungen.

Um 802.1X zu konfigurieren, müssen Sie die folgenden Schritte ausführen.

• Konfigurieren Sie CDP/LLDP Sprachumgehung VLAN.

• Konfigurieren Sie den Authentifizierungsserver und den Switch, bevor Sie die 802.1X-Authentifizierung für verkabelte Netzwerke auf dem Telefon aktivieren.

• Sprach-VLAN konfigurieren: Da VLANs von 802.1X-Standard nicht berücksichtigt werden, sollten Sie diese Einstellung basierend auf der Switch-Unterstützung konfigurieren.

  • Aktiviert: Wenn Sie einen Switch verwenden, der die Authentifizierung in mehreren Domänen unterstützt, können Sie ihn für die Verwendung der Sprachauthentifizierung VLAN konfigurieren.
  • Deaktiviert: Wenn der Switch die Authentifizierung in mehreren Domänen nicht unterstützt, deaktivieren Sie das Sprach-VLAN und weisen Sie den Port dem systemeigenen VLAN zu.

• Cisco Das Wireless-Telefon 9821 hat ein anderes Präfix in der PID als die anderen Cisco-Telefone. Damit Ihr Telefon die 802.1X-Authentifizierung bestehen kann, legen Sie das Feld Radius· User-Name-Parameter , um Ihr Cisco Wireless Phone 9821 einzuschließen.

  Beispielsweise lautet die PID von Cisco Wireless Phone 9821 WP-9821. Sie können Radius · Benutzername , der mit WP beginnen soll oder Enthält WP in den beiden folgenden Abschnitten:

  • Richtlinie > Bedingungen > Bibliotheksbedingungen

  • Richtlinie > Richtliniensätze > Autorisierungsrichtlinie > Autorisierungsregel 1