Übersicht

Während des TLS-Handshakes überprüft Ein Standard-TLS-Client die Gültigkeit des TLS-Serverzertifikats. Wenn Jabber über das Internet bereitgestellt wird, könnte dieses Setup anfällig für einen Man-in-the-Middle-Angriff sein.

Wenn ein Hacker während der Anmeldung seinem eigenen Server ein gültiges TLS-Zertifikat anstelle des erwarteten Expressway vorlegt, akzeptiert Jabber das Zertifikat möglicherweise, da keine zusätzlichen Steuerelemente vorhanden sind, was zur Verbindung des Benutzers mit einem böswilligen System führen kann. Um dieses Problem zu vermeiden, fügt Jabber einen zusätzlichen Validierungsschritt hinzu und stellt sicher, dass die bei der Anmeldung eingegebene Domäne mit den Subject Alternative Names (SAN) im Zertifikat übereinstimmt. Wenn es übereinstimmt, versucht Jabber, eine Verbindung zum Expressway herzustellen.

"Jeder SAN-Eintrag im Zertifikat muss von der Zertifizierungsstelle (Certification Authority, CA) signiert werden. Dies bedeutet, dass nur das Unternehmen, das die Domäne besitzt, ein CA-signiertes Zertifikat erhalten kann und die CA die SAN-Einträge validiert. Daher wird es wesentlich schwieriger, die Identität des Expressway zu fälschen."

In der dedizierten Instanz verwaltet Cisco die Zertifikate für die UC-Anwendungen, und daher werden die Zertifikate mit der von Cisco bereitgestellten Domäne signiert, z. B. customer.amer.wxc-di.webex.com . Damit sich ein Endbenutzer jedoch mit der E-Mail-Adresse des Kunden beim Jabber-Client anmeldet, können die folgenden Optionen verwendet werden:

Option 1 – Jabber-Erstanmeldung für Endbenutzer

Die anfängliche Jabber-Endbenutzeranmeldung ist der einfachste Ansatz, und die Schritte sind im Einzelnen aufgeführt:

  1. Geben Sie die von Cisco bereitgestellte Sprachdienstdomäne ein, z. B. user@customer.amer.wxc-di.webex.com im ersten Jabber-Anmeldebildschirm.

    Cisco teilt die Kunden-Sprachdienst-Domäne nach der Serviceaktivierung für jede Region. Diese Informationen sind Teil des Dokuments mit Zugriffsdetails, das im Webex-App-Bereich freigegeben wird. Weitere Informationen finden Sie unter Aktivierung des Dienstes für dedizierte Instanz.

  2. Geben Sie den Benutzernamen oder die E-Mail-ID des Unternehmens zusammen mit dem Kennwort für die Authentifizierung ein.

    Wenn SSO aktiviert ist, führt IdP den ähnlichen Vorgang aus.

    Nachfolgende Anmeldungen veröffentlichen, dass dies nicht erforderlich ist, um Schritt 1 auszuführen, es sei denn, der Jabber-Client wird zurückgesetzt.

Option 2: Sprachdienstdomäne verwenden

Mit diesem Ansatz kann der Jabber-Client zwischen der vom Benutzer eingegebenen Domäne des Kunden und der Domäne für die Serviceerkennung unterscheiden. Wenn die Sprachdienstdomäne im Installationsprogramm auf customer.amer.wxc-di.webex.com festgelegt ist, kann sich der Benutzer mit der E-Mail-Adresse seines Unternehmens beim Jabber-Client anmelden und Jabber kann weiterhin die Serviceerkennung basierend auf dem in der Sprachdienstdomäne festgelegten Wert durchführen. Dadurch entfällt die Notwendigkeit, die Sprachdienstdomäne bei der ersten Jabber-Anmeldung gemäß der obigen Option bereitzustellen.

Für Windows:

Tools wie Microsoft Orca können verwendet werden, um benutzerdefinierte Jabber-Installationsprogramme zu erstellen, die die Sprachdienstdomäne enthalten können. Die Benutzer können angewiesen werden, diese Installationsprogramme für den Jabber-Client zu verwenden.

Für MAC, iOS, Android:

Mit Tools wie MDM können benutzerdefinierte Jabber-Installationsprogramme erstellt werden, die die Sprachdienstdomäne enthalten können.

Option 3: Konfigurations-URL verwenden

Eine Konfigurations-URL wird verwendet, um Jabber-Parameter vor der ersten Anmeldung festzulegen, z. B. die Sprachdienstdomäne. Ein Beispiel für eine Konfigurations-URL: ciscojabber://provision?ServicesDomain=customer.com&VoiceServicesDomain=customer.amer.wxc-di.webex.com

Durch Klicken auf den obigen Link kann die Sprachdienstdomäne im Jabber-Client festgelegt werden, der auf MAC-, Android- oder iOS-Geräten ausgeführt wird.

Diese Konfiguration ist nicht dauerhaft. Der Benutzer muss erneut auf den Link klicken, wenn der Jabber-Client zurückgesetzt wird.

Die Webex-App verfügt nicht über die oben genannte Anforderung. Der Client führt die Domänenprüfung durch, aber es ist möglich, die Sprachdienstdomäne im Control Hub bereitzustellen. Wenn die Webex-App eine Verbindung zu Webex herstellt, erhält sie die Sprachdienstdomäne und registriert die gleiche. Weitere Informationen zur Einrichtung von In-App-Anrufen für die Webex-App finden Sie unter Webex-Anwendungsintegration mit dedizierter Instanz für In-App-Anrufe .

Nützlicher Link: Lokale Bereitstellung für Cisco Jabber 14.0