Seguridad física

Es importante proporcionar seguridad física a las ubicaciones de Equinix Meet-Me Room y a las instalaciones de Cisco Dedicated Instance Data Center. Cuando la seguridad física se ve comprometida, se pueden iniciar ataques simples como la interrupción del servicio al apagar la alimentación de los switches de un cliente. Con acceso físico, los atacantes podrían obtener acceso a dispositivos de servidor, restablecer contraseñas y obtener acceso a conmutadores. El acceso físico también facilita ataques más sofisticados, como los ataques de tipo “man-in-the-middle”, razón por la cual la segunda capa de seguridad, la seguridad de la red, es crítica.

Las unidades de autocifrado se utilizan en centros de datos de instancias dedicadas que alojan aplicaciones UC.

Para obtener más información sobre las prácticas generales de seguridad, consulte la documentación en la siguiente ubicación: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Seguridad de la red

Los socios deben asegurarse de que todos los elementos de red estén protegidos en la infraestructura de instancia dedicada (que se conecta a través de Equinix). Es responsabilidad del socio garantizar las mejores prácticas de seguridad, tales como:

• VLAN separada para voz y datos

• Habilite la seguridad de puertos que limita el número de direcciones MAC permitidas por puerto, contra la inundación de la tabla CAM

• Protección de fuente IP contra direcciones IP suplantación de datos

• La inspección dinámica de ARP (DAI) examina el protocolo de resolución de direcciones (ARP) y el ARP gratuito (GARP) en busca de violaciones (contra la suplantación de ARP)

• 802.1x limita el acceso a la red para autenticar dispositivos en VLAN asignadas (los teléfonos admiten 802.1x)

• Configuración de la calidad de servicio (QoS) para el marcado apropiado de los paquetes de voz

• Configuraciones de puertos de firewall para bloquear cualquier otro tráfico

Seguridad de los puntos finales

Los puntos finales de Cisco admiten características de seguridad predeterminadas, como firmware firmado, arranque seguro (modelos seleccionados), certificado instalado por el fabricante (MIC) y archivos de configuración firmados, que proporcionan un cierto nivel de seguridad para los endpoints.

Además, un socio o cliente puede habilitar seguridad adicional, como:

• Cifre los servicios de telefonía IP (a través de HTTPS) para servicios como Extension Mobility

• Emitir certificados localmente significativos (LSC) desde la función proxy de la autoridad de certificación (CAPF) o una autoridad de certificación pública (CA)

• Cifrar archivos de configuración

• Cifrar medios y señalización

• Desactive estas configuraciones si no se utilizan: puerto de PC, acceso a VLAN de voz de PC, ARP gratuito, acceso web, botón de configuración, SSH, consola

La implementación de mecanismos de seguridad en la instancia dedicada evita el robo de identidad de los teléfonos y el Unified CM servidor, la manipulación de datos y la señalización de llamadas/manipulación de flujo de medios.

Instancia dedicada a través de la red:

• Establece y mantiene flujos de comunicación autenticados

• Firmar digitalmente los archivos antes de transferir el archivo al teléfono

• Cifre las transmisiones de medios y la señalización de llamadas entre los teléfonos IP unificados de Cisco

De manera predeterminada, la seguridad proporciona las siguientes características de seguridad automática para los teléfonos IP Cisco Unified:

• Firma de los archivos de configuración del teléfono

• Soporte para cifrado de archivos de configuración de teléfono

• HTTPS con Tomcat y otros servicios web (MidLets)

Para la Unified CM versión 8.0 posterior, estas características de seguridad se proporcionan de forma predeterminada sin ejecutar el cliente Certificate Trust List (CTL).

Debido a que hay una gran cantidad de teléfonos en una red y los teléfonos IP tienen memoria limitada, Cisco Unified CM actúa como un almacén de confianza remoto a través del Servicio de Verificación de Confianza (TVS) para que no sea necesario colocar un almacén de certificados de confianza en cada teléfono. Los teléfonos IP de Cisco se ponen en contacto con el servidor TVS para su verificación porque no pueden verificar una firma o certificado a través de archivos CTL o ITL. Tener un almacén central de confianza es más fácil de administrar que tener el almacén de confianza en cada teléfono IP Cisco Unified.

TVS permite a los teléfonos IP Cisco Unified autenticar servidores de aplicaciones, como servicios EM, directorio y MidLet, durante el establecimiento de HTTPS.

El archivo de lista de confianza inicial (ITL) se utiliza para la seguridad inicial, de modo que los puntos finales puedan confiar. Cisco Unified CM ITL no necesita ninguna característica de seguridad para estar habilitada explícitamente. El archivo ITL se crea automáticamente cuando se instala el clúster. La clave privada del servidor Unified CM Trivial File Transfer Protocol (TFTP) se utiliza para firmar el archivo ITL.

Cuando el Cisco Unified CM clúster o el servidor está en modo no seguro, el archivo ITL se descarga en todos los teléfonos IP de Cisco compatibles. Un socio puede ver el contenido de un archivo ITL mediante el comando CLI, admin:show itl.

Los teléfonos IP de Cisco necesitan el archivo ITL para realizar las siguientes tareas:

• Comuníquese de manera segura con CAPF, un requisito previo para admitir el cifrado de archivos de configuración

• Autenticar la firma del archivo de configuración

• Autenticar servidores de aplicaciones, como servicios EM, directorio y MidLet durante el establecimiento HTTPS mediante TVS

La autenticación de dispositivos, archivos y señalización se basa en la creación del archivo de lista de confianza de certificados (CTL), que se crea cuando el partner o cliente instala y configura el cliente Cisco Certificate Trust List.

El archivo CTL contiene entradas para los siguientes servidores o tokens de seguridad:

• Token de seguridad del administrador del sistema (SAST)

• Cisco CallManagery los servicios TFTP de Cisco que se ejecutan en el mismo servidor

• Certificate AuthorityFunción Proxy (CAPF)

• Servidor (es) TFTP

• Firewall ASA

El archivo CTL contiene un certificado de servidor, clave pública, número de serie, firma, nombre del emisor, nombre del asunto, función del servidor, nombre DNS y dirección IP para cada servidor.

La seguridad del teléfono con CTL proporciona las siguientes funciones:

• Autenticación de archivos descargados TFTP (configuración, configuración regional, lista de llamada, etc.) mediante una clave de firma

• Cifrado de archivos de configuración TFTP mediante una clave de firma

• Señalización de llamada cifrada para teléfonos IP

• Audio de llamada encriptado (multimedia) para teléfonos IP

La instancia dedicada proporciona registro de puntos finales y procesamiento de llamadas. La señalización entre Cisco Unified CM los puntos finales se basa en el protocolo Secure Skinny Client Control Protocol (SCCP) o el Protocolo de Iniciación de Sesión (SIP) y se puede cifrar mediante Transport Layer Security (TLS). Los medios desde/hacia los puntos finales se basan en el Protocolo de transporte en tiempo real (RTP) y también se pueden cifrar mediante RTP seguro (SRTP).

Activar el modo mixto Unified CM habilita el cifrado de la señalización y el tráfico de medios desde y hacia los puntos finales de Cisco.

Aplicaciones de UC seguras

El modo mixto está habilitado de forma predeterminada en la instancia dedicada.

Habilitar el modo mixto en la instancia dedicada permite realizar el cifrado de la señalización y el tráfico de medios desde y hacia los puntos finales de Cisco.

A partir de la Cisco Unified CM versión 12.5 (1), se agregó una nueva opción para habilitar el cifrado de señalización y medios basados en SIP OAuth en lugar de modo mixto/CTL para clientes Jabber y Webex. Por lo tanto, en la Unified CM versión 12.5 (1), SIP OAuth y SRTP se pueden usar para habilitar el cifrado de señalización y medios para clientes Jabber o Webex. La habilitación del modo mixto sigue siendo necesaria para los teléfonos IP de Cisco y otros puntos finales de Cisco en este momento. Hay un plan para agregar soporte para SIP OAuth en puntos finales 7800/8800 en una versión futura.

Asegurar las comunicaciones entre Cisco Unified CM y CUBE

Para comunicaciones seguras entre Cisco Unified CM y CUBE, los socios/clientes deben usar certificados autofirmados o certificados firmados por CA.

Para certificados autofirmados:

1. CUBE y Cisco Unified CM genere certificados autofirmados

2. Cube exporta certificado a Cisco Unified CM

3. Cisco Unified CMexporta certificado a CUBE

Para certificados firmados por CA:

1. El cliente genera un par de claves y envía una solicitud de firma de certificado (CSR) a la Certificate Authority (CA)

2. La CA lo firma con su clave privada, creando un certificado de identidad

3. El cliente instala la lista de certificados raíz e intermediarios de CA de confianza y el certificado de identidad

Resumen del protocolo

La siguiente tabla muestra los protocolos y los servicios asociados utilizados en la Unified CM solución.

Para obtener más información sobre la configuración de MRA, consulte la sección Escenarios de implementación de MRA de Mobile and Remote Access Through Cisco Expressway Deployment Guide.

Protección de Jabber y Webex con SIP OAuth

Los clientes Jabber y Webex se autentican a través de un token OAuth en lugar de un certificado localmente significativo (LSC), que no requiere la habilitación de la función proxy de autoridad de certificación (CAPF) (también para MRA). SIP OAuth que funciona con o sin modo mixto se introdujo en Cisco Unified CM 12.5 (1) y posteriores, Jabber 12.5 y versiones posteriores, y Expressway X12.5.

En Cisco Unified CM 12.5 y posteriores, tenemos una nueva opción en el perfil de seguridad del teléfono que permite el cifrado sin LSC/CAPF, utilizando un solo token de seguridad de capa de transporte (TLS) +OAuth en SIP REGISTER. Los nodos Expressway-C utilizan la API del Servicio Web XML Administrativo (AXL) para informar Cisco Unified CM del SN/SAN en su certificado. Cisco Unified CMutiliza esta información para validar el certificación Exp-C al establecer una conexión TLS mutua.

SIP OAuth permite el cifrado de medios y señalización sin un certificado de punto final (LSC).

Cisco Jabberutiliza puertos efímeros y puertos seguros 6971 y 6972 a través de una conexión HTTPS al servidor TFTP para descargar los archivos de configuración. El puerto 6970 es un puerto no seguro para su descarga a través de HTTP.

Más detalles sobre la configuración SIP OAuth: Modo SIP OAuth.