Gracias por sus comentarios.

Las características de seguridad protegen contra amenazas, incluidas amenazas a la identidad del teléfono y a los datos. Estas características establecen y mantienen flujos de comunicación autenticados entre el teléfono y el Cisco Unified Communications Manager servidor, y aseguran que el teléfono use solo archivos firmados digitalmente.

Cisco Unified Communications ManagerLa versión 8.5 (1) y versiones posteriores incluye Seguridad de forma predeterminada, que proporciona las siguientes características de seguridad para los teléfonos IP de Cisco sin ejecutar el cliente CTL:

• Firma de los archivos de configuración del teléfono

• Cifrado del archivo de configuración del teléfono

• HTTPS con Tomcat y otros servicios web

La implementación de seguridad en el Cisco Unified Communications Manager sistema evita el robo de identidad del teléfono y el Cisco Unified Communications Manager servidor, evita la manipulación de datos y evita la señalización de llamadas y la manipulación del flujo de medios.

Para aliviar estas amenazas, la red de telefonía IP de Cisco establece y mantiene flujos de comunicación seguros (cifrados) entre un teléfono y el servidor, firma digitalmente los archivos antes de que se transfieran a un teléfono y cifra los flujos de medios y la señalización de llamadas entre los teléfonos IP de Cisco.

Un certificado localmente significativo (LSC) se instala en los teléfonos después de realizar las tareas necesarias asociadas con la función Certificate Authority proxy (CAPF). Puede usar Cisco Unified Communications Manager Administration para configurar un LSC, como se describe en la Guía Cisco Unified Communications Manager de seguridad. Alternativamente, puede iniciar la instalación de un LSC desde el menú Seguridad del teléfono. Este menú también le permite actualizar o eliminar un LSC.

Los teléfonos utilizan el perfil de seguridad del teléfono, que define si el dispositivo no es seguro o seguro. Para obtener información sobre cómo aplicar el perfil de seguridad al teléfono, consulte la documentación de su Cisco Unified Communications Manager comunicado en particular.

Si configura ajustes relacionados con la seguridad enCisco Unified Communications Manager Administration, el archivo de configuración del teléfono contiene información confidencial. Para garantizar la privacidad de un archivo de configuración, debe configurarlo para el cifrado. Para obtener información detallada, consulte la documentación de su Cisco Unified Communications Manager versión en particular.

La siguiente tabla proporciona una descripción general de las características de seguridad que admiten los teléfonos. Para obtener más información, consulte la documentación de su Cisco Unified Communications Manager versión en particular.

La siguiente tabla contiene los mensajes de alarma de actualización de la lista de confianza y su significado. Para obtener más información, consulte la Cisco Unified Communications Manager documentación.

Cuando se implementa la seguridad para un teléfono, puede identificar las llamadas telefónicas seguras mediante iconos en la pantalla del teléfono. También puede determinar si el teléfono conectado es seguro y protegido si se reproduce un tono de seguridad al comienzo de la llamada.

En una llamada segura, todas las señales de llamadas y las transmisiones multimedia están encriptadas. Una llamada segura ofrece un alto nivel de seguridad, proporcionando integridad y privacidad a la llamada. Cuando una llamada en curso está encriptada, puede ver el icono de seguridad en la línea.

EnCisco Unified Communications Manager, a los teléfonos configurados como seguros (cifrados y de confianza) se les puede asignar un estado protegido. Una vez protegidos, estos dispositivos se pueden configurar para reproducir un tono de seguridad al comienzo de cada llamada.

• Dispositivo protegido:

  Para cambiar el estado de un teléfono seguro a protegido:

  1. EnCisco Unified Communications Manager Administration, seleccione Dispositivo > Teléfono.
  2. Localice el teléfono que va a configurar.
  3. En la ventana Configuración del teléfono, active la casilla de verificación Dispositivo protegido.
  4. Haga clic en Guardar.

• Tono de indicación de Play Secure:

  Para permitir que el teléfono protegido reproduzca un tono de indicación seguro o no seguro:

  1. EnCisco Unified Communications Manager Administration, seleccione Sistema > Parámetros de servicio.
  2. Seleccione el servidor y luego el Cisco CallManager servicio.
  3. En el área Parámetros de todo el clúster (característica - tono seguro), establezca el Tono de reproducción para Indicar estado de llamada seguro/no seguro en True.
  4. Haga clic en Guardar.

Debido a que todos los dispositivos WLAN que están dentro del alcance pueden recibir todo el resto del tráfico WLAN, asegurar las comunicaciones de voz es fundamental en las WLAN. Para garantizar que los intrusos no manipulen ni intercepten el tráfico de voz, la arquitectura Cisco SAFE Security es compatible con el teléfono. Para obtener más información sobre la seguridad en las redes, consulte http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

La solución de telefonía IP inalámbrica de Cisco proporciona seguridad de red inalámbrica que evita el inicio de sesión no autorizado y las comunicaciones comprometidas mediante el uso de los siguientes métodos de autenticación que admite el teléfono.

• Autenticación abierta: Cualquier dispositivo inalámbrico puede solicitar autenticación en un sistema abierto. El AP que recibe la solicitud puede otorgar autenticación a cualquier solicitante o solo a los solicitantes que se encuentran en una lista de usuarios. La comunicación entre el dispositivo inalámbrico y el punto de acceso (AP) podría no estar cifrada.

• Protocolo de autenticación extensible: Autenticación flexible mediante autenticación de túnel seguro (EAP-FAST): Esta arquitectura de seguridad cliente-servidor cifra las transacciones EAP dentro de un túnel de seguridad de nivel de transporte (TLS) entre el AP y el servidor RADIUS, como Identity Services Engine (ISE).

  El túnel TLS utiliza credenciales de acceso protegido (PAC) para la autenticación entre el cliente (teléfono) y el servidor RADIUS. El servidor envía un ID de autoridad (AID) al cliente (teléfono), que a su vez selecciona el PAC apropiado. El cliente (teléfono) devuelve un PAC opaco al servidor RADIUS. El servidor descifra el PAC con la clave principal. Ambos puntos finales ahora contienen la clave PAC y se crea un túnel TLS. EAP-FAST admite el aprovisionamiento PAC automático, pero debe habilitarlo en el servidor RADIUS.

  En ISE, por defecto, el PAC expira en una semana. Si el teléfono tiene un PAC caducado, la autenticación con el servidor RADIUS tarda más tiempo mientras el teléfono recibe un nuevo PAC. Para evitar retrasos en el aprovisionamiento de PAC, establezca el período de vencimiento de PAC en 90 días o más en el servidor ISE o RADIUS.

• Protocolo de autenticación extensible: autenticación de seguridad de la capa de transporte (EAP-TLS): EAP-TLS requiere un certificado de cliente para la autenticación y el acceso a la red. Para EAP-TLS inalámbrico, el certificado de cliente puede ser MIC, LSC o certificado instalado por el usuario.

• Protocolo de autenticación extensible protegido (PEAP): esquema de autenticación mutua basado en contraseña patentado de Cisco entre el cliente (teléfono) y un servidor RADIUS. El teléfono puede usar PEAP para la autenticación con la red inalámbrica. Se admiten los métodos de autenticación PEAP-MSCHAPV2 y PEAP-GTC.

• Clave precompartida (PSK): El teléfono admite formatos ASCII y hexadecimal (HEX). Debe usar estos formatos al configurar una clave precompartida WPA2/SAE.

  ASCII: Una cadena de caracteres ASCII con 8 a 63 caracteres de longitud (0-9, minúscula a-z, A-Z mayúscula y caracteres especiales). Por ejemplo, GREG123567@9ZX&W.

  HEX: Una cadena de caracteres HEXADECIMALES con 64 dígitos hexagonales de longitud (0-9, a-f o A-F).

Los siguientes esquemas de autenticación utilizan el servidor RADIUS para administrar claves de autenticación:

• WPA2/WPA3: utiliza la información del servidor RADIUS para generar claves únicas para la autenticación. Debido a que estas claves se generan en el servidor RADIUS centralizado, WPA2/WPA3 proporciona más seguridad que las claves precompartidas WPA que se almacenan en el AP y el teléfono.

• Roaming rápido y seguro: utiliza el servidor RADIUS y la información de un servidor de dominio inalámbrico (WDS) para administrar y autenticar claves. El WDS crea una caché de credenciales de seguridad para dispositivos cliente habilitados para FT para una reautenticación rápida y segura.

Con WPA2/WPA3, las claves de cifrado no se ingresan en el teléfono, sino que se derivan automáticamente entre el AP y el teléfono. Pero el nombre de usuario y la contraseña de EAP que se utilizan para la autenticación deben ingresarse en cada teléfono.

Para ayudar a proteger el tráfico de voz a través del enlace inalámbrico, el teléfono admite cifrado basado en AES para la autenticación WPA2/WPA3. AES es un cifrado de bloques simétrico estandarizado por NIST. AES utiliza un tamaño de bloque fijo de 128 bits y admite tamaños de clave de 128 bits, 192 bits y 256 bits. En las redes Wi-Fi, los conjuntos de cifrado como CCMP o GCMP utilizan AES, mientras que la autenticación se proporciona por separado por PSK, SAE o 802.1X/EAP, dependiendo del modo de seguridad WLAN configurado. El conjunto de cifrado y el tamaño de clave admitidos dependen del modelo de teléfono y la configuración de WLAN.

Cuando el teléfono utiliza cifrado AES, tanto los paquetes SIP de señalización como los paquetes del Protocolo de transporte en tiempo real (RTP) de voz se cifran entre el AP y el teléfono.

Los esquemas de autenticación y cifrado se configuran dentro de la LAN inalámbrica. Las VLAN se configuran en la red y en los AP y especifican diferentes combinaciones de autenticación y cifrado. Un SSID se asocia con una VLAN y el esquema particular de autenticación y cifrado. Para que los dispositivos cliente inalámbricos se autentiquen correctamente, debe configurar los mismos SSID con sus esquemas de autenticación y cifrado en los AP y en el teléfono.

Algunos esquemas de autenticación requieren tipos específicos de cifrado.

Los esquemas de autenticación y cifrado de la siguiente tabla muestran las opciones de configuración de red para Cisco Wireless Phone 9821 que corresponden a la configuración AP.

Cisco Wireless Phone 9821 admite la autenticación 802.1X para redes cableadas. Esto se usa generalmente durante el aprovisionamiento automático cuando el teléfono está conectado al cargador de escritorio a través de un adaptador USB a Ethernet compatible.

El soporte para la autenticación 802.1X en redes cableadas requiere varios componentes como se indica a continuación:

• Teléfono IP de Cisco: El teléfono inicia la solicitud de acceso a la red. Los teléfonos IP de Cisco contienen un suplicante 802.1X. Este suplicante permite a los administradores de red controlar la conectividad de los teléfonos IP a los puertos del switch LAN. La versión actual del suplicante del teléfono 802.1X utiliza las opciones EAP-FAST y EAP-TLS para la autenticación de red.

• Servidor de autenticación: tanto el servidor de autenticación como el switch deben configurarse con un secreto compartido RADIUS.

• Switch: El switch debe admitir 802.1X, para que pueda actuar como autenticador y retransmitir los mensajes EAP entre el teléfono y el servidor de autenticación. Una vez finalizado el intercambio, el switch concede o niega el acceso telefónico a la red.

Los teléfonos IP de Cisco y los switches Cisco Catalyst utilizan tradicionalmente Cisco Discovery Protocol (CDP) para identificarse entre sí y determinar parámetros como la asignación de VLAN y los requisitos de energía en línea.

Debe realizar las siguientes acciones para configurar 802.1X.

• Configure el bypass de VLAN de voz CDP/LLDP.

• Configure el servidor de autenticación y el conmutador antes de habilitar la autenticación 802.1X para redes cableadas en el teléfono.

• Configurar VLAN de voz: Debido a que el estándar 802.1X no tiene en cuenta las VLAN, debe configurar esta configuración según el soporte del switch.

  • Habilitado: Si está utilizando un switch que admite autenticación multidominio, puede configurarlo para usar la VLAN de voz.
  • Deshabilitado: Si el switch no admite la autenticación multidominio, deshabilite la VLAN de voz y considere la posibilidad de asignar el puerto a la VLAN nativa.

• Cisco Wireless Phone 9821 tiene un prefijo diferente en el PID del de los otros teléfonos Cisco. Para permitir que su teléfono pase la autenticación 802.1X, establezca el parámetro Radius·UserName para incluir su Cisco Wireless Phone 9821.

  Por ejemplo, el PID de Cisco Wireless Phone 9821 es WP-9821. Puede establecer Radius·UserName Contains WPen Start with WPo en las dos secciones siguientes:

  • Política > Condiciones > Condiciones de la biblioteca

  • Política > Conjuntos de directivas > Política de autorización > Regla de autorización 1