Sicherheitsfunktionen schützen vor Bedrohungen, einschließlich der Bedrohung der Identität des Telefons und der Daten. Diese Funktionen erstellen und pflegen authentifizierte Kommunikationsstreams zwischen dem Telefon und dem Cisco Unified Communications Manager-Server und stellen sicher, dass das Telefon nur digital signierte Dateien verwendet.

Cisco Unified Communications Manager Version 8.5(1) und höher umfasst standardmäßig „Security by default“ (Sicherheit per Voreinstellung), die die folgenden Sicherheitsfunktionen für Cisco IP-Telefone ohne CTL-Client bietet:

• Signieren der Telefonkonfigurationsdateien

• Verschlüsselung der Telefonkonfigurationsdatei

• HTTPS mit Tomcat und anderen Webdiensten

Die Implementierung der Sicherheit in das Cisco Unified Communications Manager-System verhindert den Identitätsdiebstahl des Telefons und des Cisco Unified Communications Manager-Servers, das Manipulieren von Daten, die Anrufsignalisierung und das Manipulieren von Medienstreams.

Um diese Bedrohungen zu lindern, erstellt und pflegt das Cisco IP-Telefonienetzwerk sichere (verschlüsselte) Kommunikationsstreams zwischen einem Telefon und dem Server, signiert Dateien digital, bevor diese auf ein Telefon übertragen werden, und verschlüsselt Medienstreams und Anrufsignalisierung zwischen Cisco IP-Telefonen.

Auf den Telefonen wird ein LSC (Locally Significant Certificate) installiert, nachdem Sie die erforderlichen Aufgaben ausgeführt haben, die mit der CAPF (Certificate Authority Proxy Function) verknüpft sind. Sie können ein LSC mithilfe der Cisco Unified Communications Manager-Verwaltung konfigurieren, wie im Sicherheitshandbuch für Cisco Unified Communications Manager beschrieben. Alternativ können Sie die Installation eines LSC über das Menü „Sicherheitseinstellungen“ auf dem Telefon starten. In diesem Menü können Sie auch ein LSC aktualisieren oder entfernen.

Ein LSC kann nicht als Benutzerzertifikat für EAP-TLS mit WLAN-Authentifizierung verwendet werden.

Die Telefone verwenden das Telefonsicherheitsprofil, in dem festgelegt wird, ob das Gerät nicht sicher oder sicher ist. Weitere Informationen zum Anwenden des Sicherheitsprofils auf das Telefon finden Sie in der Dokumentation für Ihre Version von Cisco Unified Communications Manager.

Wenn Sie in der Cisco Unified Communications Manager-Verwaltung sicherheitsbezogene Einstellungen konfigurieren, enthält die Telefonkonfigurationsdatei vertrauliche Informationen. Um den Datenschutz einer Konfigurationsdatei zu gewährleisten, müssen Sie sie für die Verschlüsselung konfigurieren. Detaillierte Informationen finden Sie in der Dokumentation für Ihre Version von Cisco Unified Communications Manager.

Das Telefon entspricht dem FIPS (Federal Information Processing Standard). Um korrekt zu funktionieren, benötigt der FIPS-Modus eine Schlüsselgröße von 2048 Bit oder mehr. Wenn das Zertifikat weniger als 2048 Bit umfasst, wird das Telefon nicht beim Cisco Unified Communications Manager registriert und Telefon konnte nicht registriert werden. Die Größe des Zertifikatsschlüssels ist nicht FIPS-konform wird auf dem Telefon angezeigt.

Wenn das Telefon über ein LSC verfügt, müssen Sie die LSC-Schlüsselgröße auf 2048 Bit oder mehr aktualisieren, bevor Sie FIPS aktivieren.

Die folgende Tabelle enthält eine Übersicht der von den Telefonen unterstützten Sicherheitsfunktionen. Weitere Informationen finden Sie in der Dokumentation für Ihre Version von Cisco Unified Communications Manager.

Um den Sicherheitsmodus anzuzeigen, drücken Sie Einstellungen , und navigieren Sie zu Netzwerk und Dienst > Sicherheitseinstellungen.

Die folgende Tabelle enthält die Warnmeldungen zur Aktualisierung der Vertrauensliste und ihre Bedeutung. Weitere Informationen finden Sie in der Dokumentation zu Cisco Unified Communications Manager.

Das Menü „Sicherheits-Setup“ enthält Informationen zu verschiedenen Sicherheitseinstellungen. Das Menü bietet auch Zugriff auf das Menü „Vertrauensliste“ und gibt an, ob die CTL- oder ITL-Datei auf dem Telefon installiert ist.

In der folgenden Tabelle werden die Optionen im Menü „Sicherheits-Setup“ beschrieben.

Cisco IP-Telefons unterstützen die 802.1X-Authentifizierung.

Cisco IP-Telefons und Cisco Catalyst-Switches verwenden üblicherweise CDP (Cisco Discovery Protocol), um sich gegenseitig zu identifizieren und Parameter wie die VLAN-Zuweisung und die Inline-Energieanforderungen zu bestimmen. CDP identifiziert lokal verbundene Arbeitsstationen nicht. Cisco IP-Telefons stellen einen EAPOL-Passthrough-Mechanismus bereit. Dieser Mechanismus ermöglicht einer Arbeitsstation, die an das Cisco IP-Telefon angeschlossen ist, EAPOL-Nachrichten an den 802.1X-Authentifikator am LAN-Switch weiterzuleiten. Der Pass-Through-Mechanismus stellt sicher, dass das IP-Telefon nicht als LAN-Switch fungiert, um einen Datenendpunkt vor dem Zugriff auf das Netzwerk zu authentifizieren.

Cisco IP-Telefons stellen auch einen Proxy-EAPOL-Logoff-Mechanismus bereit. Wenn der lokal angeschlossene PC vom IP-Telefon getrennt wird, sieht der LAN-Switch die physische Verbindung nicht aus, da die Verbindung zwischen dem LAN-Switch und dem IP-Telefon aufrechterhalten wird. Um eine Gefährdung der Netzwerkintegrität zu vermeiden, sendet das IP-Telefon im Auftrag des nachgelagerten PCs eine EAPOL-Logoff-Nachricht an den Switch, die den LAN-Switch veranlasst, den Authentifizierungseintrag für den nachgelagerten PC zu löschen.

Für die Unterstützung der 802.1X-Authentifizierung sind mehrere Komponenten erforderlich:

• Cisco IP-Telefon: Das Telefon initiiert die Anforderung, um auf das Netzwerk zuzugreifen. Cisco IP-Telefons enthalten ein 802.1X-Supplicant. Dieses Supplicant ermöglicht es Netzwerkadministratoren, die Konnektivität von IP-Telefonen mit den LAN-Switch-Ports zu steuern. Die aktuelle Version des 802.1X-Telefons verwendet die EAP-FAST- und EAP-TLS-Optionen für die Netzwerkauthentifizierung.

• Authentifizierungsserver: Sowohl der Authentifizierungsserver als auch der Switch müssen mit einem Shared Secret konfiguriert werden, das das Telefon authentifiziert.

• Wechseln: Der Switch muss 802.1X unterstützen, damit er als Authentifikator fungieren und die Nachrichten zwischen dem Telefon und dem Authentifizierungsserver übermitteln kann. Nach Abschluss des Austauschs gewährt oder verweigert der Switch dem Telefon den Zugriff auf das Netzwerk.

Sie müssen die folgenden Schritte ausführen, um 802.1X zu konfigurieren.

• Konfigurieren Sie die anderen Komponenten, bevor Sie die 802.1X-Authentifizierung auf dem Telefon aktivieren.

• PC-Port konfigurieren: Der 802.1X-Standard berücksichtigt keine VLANs und empfiehlt daher, nur ein einzelnes Gerät bei einem bestimmten Switch-Port zu authentifizieren. Einige Switches unterstützen jedoch die Authentifizierung in mehreren Domänen. Die Switch-Konfiguration legt fest, ob Sie einen PC mit dem PC-Port des Telefons verbinden können.

  • Enabled (Aktiviert): Wenn Sie einen Switch verwenden, der die Authentifizierung in mehreren Domänen unterstützt, können Sie den PC-Port aktivieren und einen PC daran anschließen. In diesem Fall unterstützen Cisco IP-Telefons Proxy EAPOL-Logoff zum Überwachen des Authentifizierungsaustauschs zwischen dem Switch und dem angeschlossenen PC.

    Weitere Informationen zur Unterstützung von IEEE 802.1X auf den Cisco Catalyst-Switches finden Sie in den Konfigurationshandbüchern für die Cisco Catalyst-Switches unter:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Disabled (Deaktiviert): Wenn der Switch nicht mehrere 802.1X-konforme Geräte am selben Port unterstützt, sollten Sie den PC-Port deaktivieren, wenn die 802.1X-Authentifizierung aktiviert ist. Wenn Sie diesen Port nicht deaktivieren und dann versuchen, einen PC anzuschließen, verweigert der Switch den Netzwerkzugriff auf das Telefon und den PC.

• Sprach-VLAN konfigurieren: Da VLANs für den 802.1X-Standard nicht berücksichtigt werden, sollten Sie diese Einstellung basierend auf der Switch-Unterstützung konfigurieren.
  • Enabled (Aktiviert): Wenn Sie einen Switch verwenden, der die Authentifizierung in mehreren Domänen unterstützt, können Sie ihn weiterhin mit dem Sprach-VLAN verwenden.
  • Disabled (Deaktiviert): Wenn der Switch die Authentifizierung in mehreren Domänen nicht unterstützt, deaktivieren Sie das Sprach-VLAN und weisen Sie den Port dem systemeigenen VLAN zu.
• (Nur für die Cisco Desk Phone 9800-Serie)

  Die Cisco-Tischtelefon 9800-Serie hat in der PID ein anderes Präfix als die anderen Cisco-Telefone. Damit Ihr Telefon die 802.1X-Authentifizierung bestehen kann, legen Sie den Parameter Radius·User-Name für die Cisco-Tischtelefon 9800-Serie fest.

  Die PID des Telefons 9841 lautet beispielsweise DP-9841; Sie können Radius·Benutzername auf Mit DP beginnen oder Enthält DP festlegen. Sie können ihn in beiden der folgenden Abschnitte festlegen:

  • Richtlinie > Bedingungen > Bibliotheksbedingungen

  • Richtlinie > Richtliniensätze > Autorisierungsrichtlinie > Autorisierungsregel 1

Wenn die Sicherheit für ein Telefon implementiert ist, können Sie sichere Anrufe über Symbole auf dem Telefonbildschirm identifizieren. Sie können auch festlegen, ob das verbundene Telefon sicher und geschützt ist, wenn zu Beginn des Anrufs ein Warnton ausgegeben wird.

In einem sicheren Anruf werden alle Anrufsignalisierung und Medienstreams verschlüsselt. Ein sicherer Anruf bietet ein hohes Maß an Sicherheit, das Integrität und Datenschutz für den Anruf gewährleistet. Wenn ein laufender Anruf verschlüsselt ist, wird das Sicherheitssymbol auf der Leitung angezeigt. Bei einem sicheren Telefon können Sie auch das authentifizierte Symbol oder das verschlüsselte Symbol neben dem verbundenen Server im Telefonmenü anzeigen (Einstellungen > Info zu diesem Gerät).

Bei einem sicheren Anruf wird zu Beginn eines Anrufs ein Warnton ausgegeben, der angibt, dass das andere verbundene Telefon ebenfalls sicheres Audio empfängt und überträgt. Wenn Ihr Anruf mit einem nicht sicheren Telefon verbunden wird, wird der Sicherheitston nicht wiedergegeben.

Wenn ein Telefon in Cisco Unified Communications Manager als sicher (verschlüsselt und vertrauenswürdig) konfiguriert ist, kann es den Status geschützt erhalten. Anschließend kann das geschützte Telefon so konfiguriert werden, dass es zu Beginn eines Anrufs einen Signalton wiedergibt:

• Geschütztes Gerät: Um den Status eines sicheren Telefons in „geschützt“ zu ändern, aktivieren Sie das Kontrollkästchen „Geschütztes Gerät“ im Fenster „Telefonkonfiguration“ in der Cisco Unified Communications Manager-Verwaltung (Gerät > Telefon).

• Sicherheitssignal wiedergeben: Damit das geschützte Telefon einen sicheren oder nicht sicheren Signalton wiedergibt, legen Sie die Einstellung „Sichere Signalton wiedergeben“ auf „True“ fest. Standardmäßig ist „Sicherheitssignal wiedergeben“ auf „Falsch“ festgelegt. Sie legen diese Option in der Cisco Unified Communications Manager-Verwaltung fest (System > Dienstparameter). Wählen Sie den Server und anschließend den Unified Communications Manager-Dienst aus. Wählen Sie im Fenster „Dienstparameterkonfiguration“ die Option im Bereich „Funktion – Sicherer Ton“ aus. Der Standardwert ist False.

Da alle WLAN-Geräte, die sich in Reichweite befinden, den gesamten anderen WLAN-Datenverkehr empfangen können, ist die Sicherung der Sprachkommunikation in WLANs von entscheidender Bedeutung. Um sicherzustellen, dass der Sprachverkehr nicht manipuliert oder abgefangen wird, unterstützt die Cisco SAFE-Sicherheitsarchitektur das Telefon. Weitere Informationen zur Sicherheit in Netzwerken finden Sie unter http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Die Cisco Wireless IP-Telefonielösung bietet Sicherheit für drahtlose Netzwerke, die nicht autorisierte Anmeldungen und kompromittierte Kommunikation mithilfe der folgenden, vom Telefon unterstützten Authentifizierungsmethoden verhindert:

• Authentifizierung öffnen: Jedes drahtlose Gerät kann in einem offenen System eine Authentifizierung anfordern. Der Access Point, der die Anforderung erhält, kann die Authentifizierung jedem Antragsteller oder nur Antragstellern gewähren, die in einer Benutzerliste aufgeführt sind. Die Kommunikation zwischen dem drahtlosen Gerät und dem Access Point (AP) könnte nicht verschlüsselt sein.

• Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling (EAP-FAST): Diese Client-Server-Sicherheitsarchitektur verschlüsselt EAP-Transaktionen innerhalb eines TLS-Tunnels (Transport Level Security) zwischen dem Access Point und dem RADIUS-Server, z. B. die Identity Services Engine (ISE).

  Der TLS-Tunnel verwendet PACs (Protected Access Credentials) für die Authentifizierung zwischen dem Client (Telefon) und dem RADIUS-Server. Der Server sendet eine Autoritäts-ID (AID) an den Client (Telefon), der wiederum die entsprechende PAC auswählt. Der Client (Telefon) gibt eine PAC-Opaque an den RADIUS-Server zurück. Der Server entschlüsselt die PAC mit dem primären Schlüssel. Beide Endpunkte enthalten jetzt den PAC-Schlüssel, und es wird ein TLS-Tunnel erstellt. EAP-FAST unterstützt die automatische PAC-Bereitstellung, muss jedoch auf dem RADIUS-Server aktiviert werden.

  In ISE läuft die PAC standardmäßig in einer Woche ab. Wenn das Telefon über eine abgelaufene PAC verfügt, dauert die Authentifizierung beim RADIUS-Server länger, während das Telefon eine neue PAC erhält. Um Verzögerungen bei der PAC-Bereitstellung zu vermeiden, legen Sie den Ablaufzeitraum für die PAC auf dem ISE- oder RADIUS-Server auf mindestens 90 Tage fest.

• Extensible Authentication Protocol-Transport Layer Security (EAP-TLS): EAP-TLS erfordert ein Clientzertifikat für die Authentifizierung und den Netzwerkzugriff. Bei drahtlosem EAP-TLS kann es sich bei dem Clientzertifikat um das MIC-, LSC- oder das vom Benutzer installierte Zertifikat handeln.

• Protected Extensible Authentication Protocol (PEAP): Das von Cisco proprietäre kennwortbasierte gegenseitige Authentifizierungsschema zwischen dem Client (Telefon) und einem RADIUS-Server. Das Telefon kann PEAP für die Authentifizierung mit dem drahtlosen Netzwerk verwenden. Es werden sowohl PEAP-MSCHAPV2- als auch PEAP-GTC-Authentifizierungsmethoden unterstützt.

• Vorinstallierter Schlüssel (PSK): Das Telefon unterstützt das ASCII-Format. Sie müssen dieses Format verwenden, wenn Sie einen vorinstallierten WPA/WPA2/SAE-Schlüssel einrichten:

  ASCII: eine ASCII-Zeichenfolge mit 8 bis 63 Zeichen (0-9, Klein- und Großbuchstaben A-Z und Sonderzeichen)

  Beispiel: GREG123567@9ZX&W

Die folgenden Authentifizierungsschemata verwenden den RADIUS-Server, um die Authentifizierungsschlüssel zu verwalten:

• wpa/wpa2/wpa3: Verwendet RADIUS-Serverinformationen, um eindeutige Authentifizierungsschlüssel zu generieren. Da diese Schlüssel auf dem zentralen RADIUS-Server generiert werden, bietet WPA2/WPA3 mehr Sicherheit als die vorinstallierten WPA-Schlüssel, die am Access Point und am Telefon gespeichert sind.

• Schnelles sicheres Roaming: Verwendet RADIUS-Serverinformationen und WDS-Informationen (Wireless Domain Server), um Schlüssel zu verwalten und zu authentifizieren. Das WDS erstellt einen Cache mit Sicherheitsanmeldeinformationen für FT-fähige Client-Geräte für eine schnelle und sichere erneute Authentifizierung. Cisco Desk Phone 9861 und 9871 sowie Cisco Video Phone 8875 unterstützen 802.11r (FT). Sowohl über die Luft als auch über die DS werden unterstützt, um ein schnelles und sicheres Roaming zu ermöglichen. Wir empfehlen jedoch dringend die 802.11r (FT) over air Methode.

Bei WPA/WPA2/WPA3 werden die Verschlüsselungsschlüssel nicht auf dem Telefon eingegeben, sondern zwischen dem Access Point und dem Telefon automatisch abgeleitet. Der EAP-Benutzername und das Kennwort, die zur Authentifizierung verwendet werden, müssen jedoch auf jedem Telefon eingegeben werden.

Um sicherzustellen, dass der Sprachverkehr sicher ist, unterstützt das Telefon TKIP und AES für die Verschlüsselung. Wenn diese Mechanismen für die Verschlüsselung verwendet werden, werden sowohl die signalisierenden SIP-Pakete als auch die Sprachpakete RTP (Real-Time Transport Protocol) zwischen dem Access Point und dem Telefon verschlüsselt.

Tkip

WPA verwendet die TKIP-Verschlüsselung, die gegenüber WEP mehrere Verbesserungen aufweist. TKIP bietet die Verschlüsselung pro Paket und längere Initialisierungsvektoren (IVs), die die Verschlüsselung stärken. Darüber hinaus stellt eine Nachrichtenintegritätsprüfung (Message Integrity Check, MIC) sicher, dass verschlüsselte Pakete nicht geändert werden. TKIP entfernt die Vorhersehbarkeit von WEP, die Eindringlingen dabei hilft, den WEP-Schlüssel zu entschlüsseln.

Aes

Eine Verschlüsselungsmethode für die WPA2/WPA3-Authentifizierung. Dieser nationale Verschlüsselungsstandard verwendet einen symmetrischen Algorithmus, der den gleichen Schlüssel für Ver- und Entschlüsselung aufweist. AES verwendet eine CBC-Verschlüsselung (Cipher Blocking Chain) mit einer Größe von 128 Bit, die Schlüsselgrößen von mindestens 128 Bit, 192 Bit und 256 Bit unterstützt. Das Telefon unterstützt eine Schlüsselgröße von 256 Bit.

Authentifizierungs- und Verschlüsselungsschemata werden im Wireless LAN eingerichtet. VLANs werden im Netzwerk und an den Access Points konfiguriert und geben verschiedene Kombinationen von Authentifizierung und Verschlüsselung an. Eine SSID wird einem VLAN und dem jeweiligen Authentifizierungs- und Verschlüsselungsschema zugeordnet. Damit drahtlose Client-Geräte erfolgreich authentifiziert werden können, müssen Sie an den Access Points und auf dem Telefon dieselben SSIDs mit ihren Authentifizierungs- und Verschlüsselungsschemata konfigurieren.

Einige Authentifizierungsschemata erfordern bestimmte Verschlüsselungstypen.

Die Authentifizierungs- und Verschlüsselungsschemata in der folgenden Tabelle zeigen die Netzwerkkonfigurationsoptionen für das Telefon an, die der Konfiguration des Access Points entsprechen.

Assured Services SIP (AS-SIP) ist eine Sammlung von Funktionen und Protokollen, die einen hochsicheren Anrufverlauf für Cisco IP-Telefone und Drittanbieter-Telefone bieten. Die folgenden Funktionen werden zusammen als AS-SIP bezeichnet:

• Multilevel Precedence and Preemption (MLPP)
• DSCP (Differentiated Services Code Point)
• TLS (Transport Layer Security) und SRTP (Secure Real-Time Transport Protocol)
• Internetprotokoll Version 6 (IPv6)

AS-SIP wird häufig mit MLPP (Multilevel Precedence and Preemption) verwendet, um Anrufe in einem Notfall zu priorisieren. Mit MLPP weisen Sie Ihren ausgehenden Anrufen eine Prioritätsstufe von Stufe 1 (niedrig) bis Stufe 5 (hoch) zu. Wenn Sie einen Anruf erhalten, wird auf dem Telefon ein Symbol für die Prioritätsstufe angezeigt, das die Anrufpriorität anzeigt.

Führen Sie zum Konfigurieren von AS-SIP die folgenden Aufgaben in Cisco Unified Communications Manager aus:

• Konfigurieren eines Digest-Benutzers: Konfigurieren Sie den Endbenutzer so, dass er die Digest-Authentifizierung für SIP-Anfragen verwendet.
• Sicheren Port für SIP-Telefon konfigurieren: Cisco Unified Communications Manager verwendet diesen Port, um SIP-Telefone für SIP-Leitungsregistrierungen über TLS abzuhören.
• Dienste neu starten: Starten Sie nach der Konfiguration des sicheren Ports die Cisco Unified Communications Manager- und Cisco CTL Provider-Dienste neu. SIP-Profil für AS-SIP konfigurieren – Konfigurieren Sie ein SIP-Profil mit SIP-Einstellungen für Ihre AS-SIP-Endpunkte und für Ihre SIP-Übertragungswege. Die telefonspezifischen Parameter werden nicht auf ein AS-SIP-Telefon eines Drittanbieters heruntergeladen. Sie werden nur von Cisco Unified Manager verwendet. Drittanbieter-Telefone müssen lokal dieselben Einstellungen konfigurieren.
• Telefonsicherheitsprofil für AS-SIP konfigurieren: Sie können das Sicherheitsprofil des Telefons verwenden, um Sicherheitseinstellungen wie TLS, SRTP und Digest-Authentifizierung zuzuweisen.
• AS-SIP-Endpunkt konfigurieren: Konfigurieren Sie ein Cisco IP-Telefon oder einen Drittanbieter-Endpunkt mit AS-SIP-Unterstützung.
• Gerät mit Endbenutzer verknüpfen: Weisen Sie den Endpunkt einem Benutzer zu.
• SIP-Übertragungsweg-Sicherheitsprofil für AS-SIP konfigurieren: Sie können das SIP-Übertragungsweg-Sicherheitsprofil verwenden, um einem SIP-Übertragungsweg Sicherheitsfunktionen wie TLS oder Digest-Authentifizierung zuzuweisen.
• SIP-Übertragungsweg für AS-SIP konfigurieren: Konfigurieren Sie einen SIP-Übertragungsweg mit AS-SIP-Unterstützung.
• AS-SIP-Funktionen konfigurieren: Konfigurieren Sie zusätzliche AS-SIP-Funktionen wie MLPP, TLS, V.150 und IPv6.

Detaillierte Informationen zur Konfiguration von AS-SIP finden Sie im Kapitel „AS-SIP-Endpunkte konfigurieren“ im Funktionskonfigurationshandbuch für Cisco Unified Communications Manager.

Wenn die Forced Authorization Codes (FAC) oder Client Matter Codes (CMC) oder beide auf dem Telefon konfiguriert sind, müssen die Benutzer die erforderlichen Kennwörter eingeben, um eine Nummer auszuwählen.

Weitere Informationen zum Einrichten von FAC und CMC in Cisco Unified Communications Manager finden Sie im Kapitel „Client-Matter-Codes und erzwungene Autorisierungscodes“ im Funktionskonfigurationshandbuch für Cisco Unified Communications Manager, Version 12.5(1) oder höher.