Gracias por sus comentarios.

Las funciones de seguridad protegen contra amenazas, incluidas las amenazas para la identidad del teléfono y los datos. Estas funciones establecen y mantienen flujos de comunicación autenticados entre el teléfono y Cisco Unified Communications Manager server, y garantizan que el teléfono solo utilice los archivos firmados digitalmente.

Cisco Unified Communications Manager versión 8.5 (1) y posteriores incluye seguridad predeterminada, que proporciona las siguientes funciones de seguridad para teléfonos IP Cisco sin ejecutar el cliente de CTL:

• Firma de los archivos de configuración del teléfono

• Cifrado de archivos de configuración del teléfono

• HTTPS con Tomcat y otros servicios Web

Al implementar la seguridad en el sistema de Cisco Unified Communications Manager se evita el robo de identidad del teléfono y Cisco Unified Communications Manager server, la manipulación de datos y la manipulación de la señalización de llamadas y de flujos de medios.

Para mitigar estas amenazas, la red de telefonía IP de Cisco establece y mantiene flujos de comunicación seguros (cifrados) entre un teléfono y el servidor, firma digitalmente los archivos antes de transferirlos a un teléfono y cifra los flujos de medios y la señalización de llamadas entre teléfonos IP Cisco.

Un certificado significativo localmente (LSC) se instala en teléfonos luego de realizar las tareas necesarias relacionadas con la Certificate Authority Proxy Function (CAPF, Función de proxy de autoridad de certificación). Puede usar Cisco Unified Communications Manager Administration para configurar un LSC, como se describe en la Guía de seguridad Cisco Unified Communications Manager. Alternativamente, puede iniciar la instalación de un LSC desde el menú Seguridad en el teléfono. Este menú también le permite actualizar o eliminar un LSC.

Los teléfonos utilizan el perfil de seguridad, que define si el dispositivo es seguro o no. Para obtener información sobre cómo aplicar el perfil de seguridad en el teléfono, consulte la documentación de su versión específica de Cisco Unified Communications Manager.

Si configura ajustes relacionados con la seguridad en Administración de Cisco Unified Communications Manager, el archivo de configuración del teléfono contiene información confidencial. Para garantizar la privacidad de un archivo de configuración, debe configurarlo para el cifrado. Para obtener información detallada, consulte la documentación de su versión específica de Cisco Unified Communications Manager.

En la siguiente tabla, se proporciona una descripción general de las funciones de seguridad que los teléfonos admiten. Para obtener información adicional, consulte la documentación de su versión específica de Cisco Unified Communications Manager.

La siguiente tabla contiene los mensajes de aviso de actualización de la lista confiable y su significado. Para obtener más información, consulte la documentación sobre Cisco Unified Communications Manager.

Cuando se implementa la seguridad para un teléfono, puede identificar llamadas telefónicas seguras por íconos en la pantalla del teléfono. También puede determinar si el teléfono conectado está seguro y protegido si se reproduce un tono de seguridad al inicio de la llamada.

En una llamada segura, todas las señales de llamadas y flujos de medios se cifran. Una llamada segura ofrece un alto nivel de seguridad, proporcionando integridad y privacidad a la llamada. Cuando una llamada en curso está cifrada, puede ver el icono de seguridad En la línea.

En Cisco Unified Communications Manager, a los teléfonos configurados como seguros (cifrados y de confianza) se les puede asignar un estado protegido. Una vez protegidos, estos dispositivos se pueden configurar para reproducir un tono de seguridad al comienzo de cada llamada.

• Dispositivo protegido:

  Para cambiar el estado de un teléfono seguro a protegido:

  1. En Cisco Unified Communications Manager Administration, seleccione Dispositivo > Teléfono.
  2. Localice el teléfono que va a configurar.
  3. En la ventana Configuración del teléfono, seleccione la casilla de verificación Dispositivo protegido.
  4. Haga clic en Guardar.

• Reproducir tono de indicación seguro:

  Para permitir que el teléfono protegido reproduzca un tono de indicación seguro o no seguro:

  1. En Cisco Unified Communications Manager Administration, seleccione Parámetros del sistema >servicio.
  2. Seleccione el servidor y, a continuación, el servicio Cisco CallManager .
  3. En el área Parámetros de todo el clúster (Función - Tono seguro), establezca la configuración Reproducir tono para indicar estado de llamada seguro/no seguro en Verdadero.
  4. Haga clic en Guardar.

Dado que todos los dispositivos WLAN que están dentro del alcance pueden recibir el resto de tráfico WLAN, la protección de las comunicaciones de voz es crítica en las WLAN. Para garantizar que los intrusos no manipulen ni intercepten el tráfico de voz, la arquitectura Cisco SAFE Security es compatible con el teléfono. Para obtener más información acerca de la seguridad en redes, consulte http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

La solución de telefonía Cisco Wireless IP proporciona seguridad de red inalámbrica que evita inicios de sesión no autorizados y comunicaciones comprometidas mediante el uso de los siguientes métodos de autenticación compatibles con el teléfono.

• Autenticación abierta: cualquier dispositivo inalámbrico puede solicitar autenticación en un sistema abierto. El AP que recibe la solicitud puede conceder la autenticación a cualquier solicitante o solo a los solicitantes que se encuentran en una lista de usuarios. La comunicación entre el dispositivo inalámbrico y el punto de acceso (AP) podría no estar cifrada.

• Protocolo de autenticación extensible: autenticación flexible mediante tunelización segura (EAP-FAST): esta arquitectura de seguridad cliente-servidor cifra EAP transacciones dentro de un túnel de seguridad de nivel de transporte (TLS) entre el AP y el servidor RADIUS, como Identity Services Engine (ISE).

  El túnel de TLS utiliza credenciales de acceso protegido (PAC) para la autenticación entre el cliente (teléfono) y el servidor RADIUS. El servidor envía un ID de autoridad (AID) al cliente (teléfono), que a su vez selecciona la PAC apropiada. El cliente (teléfono) devuelve la PAC-opaca al servidor RADIUS. El servidor descifra la PAC con la clave principal. Ambos puntos finales contienen ahora la tecla PAC y se crea un túnel de TLS. EAP-FAST es compatible con el aprovisionamiento de PAC automático, pero debe activarlo en el servidor RADIUS.

  En ISE, de forma predeterminada, el PAC expira en una semana. Si el teléfono tiene una PAC caducada, la autenticación con el servidor RADIUS tarda más tiempo si el teléfono obtiene un nuevo PAC. Para evitar los retrasos de aprovisionamiento de PAC, configure el período de caducidad de PAC en 90 días o más en el servidor ISE o RADIUS.

• Autenticación de Protocolo de autenticación extensible-Seguridad de capa de transporte (EAP-TLS): EAP-TLS requiere un certificado de cliente para la autenticación y el acceso a la red. Para EAP-TLS inalámbrico, el certificado de cliente puede ser MIC, LSC, o certificado instalado por el usuario.

• protocolo de autenticación extensible protegido (PEAP): esquema de autenticación mutua de un propietario de Cisco basado en contraseña entre el cliente (teléfono) y un servidor RADIUS. El teléfono puede usar PEAP para la autenticación con la red inalámbrica. Se admiten los métodos de autenticación PEAP-MSCHAPV2 y PEAP-GTC.

• Clave precompartida (PSK): El teléfono admite los formatos ASCII y hexadecimal (HEX). Debe utilizar estos formatos al configurar una clave precompartida WPA2/SAE.

  ASCII: Una cadena de caracteres ASCII con 8 a 63 caracteres de longitud (0-9, minúsculas a-z, mayúsculas A-Z y caracteres especiales). Por ejemplo, GREG123567@9ZX&W.

  HEX: una cadena de caracteres hexadecimales con 64 dígitos hexadecimales de longitud (0-9, a-f o A-F).

Los siguientes esquemas de autenticación utilizan el servidor RADIUS para administrar las claves de autenticación:

• WPA2/WPA3: utiliza información del servidor RADIUS para generar claves únicas para la autenticación. Dado que estas claves se generan en el servidor RADIUS centralizado, WPA2/WPA3 proporciona más seguridad que claves WPA previamente compartidas almacenadas en el punto de acceso y el teléfono.

• Itinerancia rápida segura: utiliza el servidor RADIUS y una información de servidor de dominio inalámbrico (WDS) para administrar y autenticar las claves. El WDS crea una caché de credenciales de seguridad para dispositivos cliente habilitados para FT para una reautenticación rápida y segura.

Con WPA2/WPA3, las claves de cifrado no se introducen en el teléfono, sino que se derivan automáticamente entre el AP y el teléfono. Pero el nombre de usuario EAP y la contraseña que se utilizan para la autenticación deben introducirse en cada teléfono.

Para ayudar a proteger el tráfico de voz a través del enlace inalámbrico, el teléfono admite el cifrado basado en AES para la autenticación WPA2/WPA3. AES es un cifrado de bloques simétrico estandarizado por NIST. AES utiliza un tamaño de bloque fijo de 128 bits y admite tamaños de clave de 128 bits, 192 bits y 256 bits. En redes Wi-Fi, AES es utilizado por conjuntos de cifrado como CCMP o GCMP, mientras que la autenticación es proporcionada por separado por PSK, SAE o 802.1X / EAP, dependiendo del modo de seguridad WLAN configurado. El conjunto de cifrado y el tamaño de clave admitidos dependen del modelo de teléfono y la configuración WLAN.

Cuando el teléfono utiliza el cifrado AES, tanto los paquetes SIP de señalización como los paquetes del Protocolo de transporte en tiempo real de voz (RTP) se cifran entre el AP y el teléfono.

Los sistemas de autenticación y cifrado se configuran en la LAN inalámbrica. Las VLAN se configuran en la red y en el AP y especifican diferentes combinaciones de autenticación y cifrado. SSID se asocia a una VLAN y al esquema de autenticación y cifrado en particular. Para que los dispositivos cliente inalámbricos se autentiquen correctamente, debe configurar los mismos SSID con sus esquemas de autenticación y cifrado en los AP y en el teléfono.

Algunos esquemas de autenticación requieren tipos específicos de cifrado.

Los esquemas de autenticación y cifrado en la siguiente tabla muestran las opciones de configuración de red para Cisco Wireless Phone 9821 que corresponde a la configuración de AP.

Cisco Wireless Phone 9821 admite autenticación 802.1X para redes cableadas. Por lo general, se utiliza durante el aprovisionamiento automático cuando el teléfono está conectado al cargador de escritorio a través de un adaptador USB a Ethernet compatible.

La compatibilidad con la autenticación 802.1X en redes cableadas requiere varios componentes de la siguiente manera:

• Teléfono IP de Cisco: el teléfono inicia la solicitud de acceso a la red. Los Teléfonos IP de Cisco contienen un solicitante de 802.1X. Este solicitante permite a los administradores de red controlar la conectividad de los teléfonos IP a los puertos de switch de LAN. La versión actual del teléfono solicitante de 802.1X utiliza las opciones EAP-FAST y EAP-TLS para la autenticación de red.

• Servidor de autenticación: tanto el servidor de autenticación como el conmutador deben estar configurados con un secreto compartido RADIUS.

• Switch: El switch debe ser compatible con 802.1X, para que pueda actuar como autenticador y transmitir los mensajes EAP entre el teléfono y el servidor de autenticación. Cuando se completa el intercambio de mensajes, el switch le otorga o deniega el acceso a la red al teléfono.

Tradicionalmente, los Teléfonos IP Cisco y los switches Cisco Catalyst utilizan el Cisco Discovery Protocol (Protocolo de detección de Cisco o CDP) para identificarse entre ellos y determinar parámetros como la asignación de VLAN y los requisitos de la alimentación en línea.

Para configurar 802.1X, debe realizar las siguientes acciones.

• Configure la omisión CDP/LLDP VLAN voz.

• Configure el servidor de autenticación y el conmutador antes de habilitar la autenticación 802.1X para redes cableadas en el teléfono.

• Configure la VLAN de voz: como el estándar 802.1X no tiene en consideración las VLAN, debe configurar este parámetro según la compatibilidad del switch.

  • Habilitado: Si está utilizando un switch que admite autenticación multidominio, puede configurarlo para usar el VLAN de voz.
  • Desactivada: si el switch no admite la autenticación de múltiples dominios, desactive la VLAN de voz y considere la asignación del puerto a la VLAN nativa.

• Cisco Wireless Phone 9821 tiene un prefijo diferente en el PID del de los otros teléfonos Cisco. Para permitir que su teléfono pase la autenticación 802.1X, configure el botón Radius· Parámetro User-Name para incluir su Cisco Wireless Phone 9821.

  Por ejemplo, el PID del Cisco Wireless Phone 9821 es WP-9821. Puede establecer Radius· Nombre de usuario para comenzar con WP o Contiene WP en las dos secciones siguientes:

  • Política > Condiciones > Condiciones de la biblioteca

  • Conjuntos > directivas > Política de autorización> Regla de autorización 1