Las funciones de seguridad protegen contra las amenazas, incluidas las amenazas a la identidad del teléfono y a los datos. Estas funciones establecen y mantienen flujos de comunicación autenticados entre el teléfono y el servidor de Cisco Unified Communications Manager, y garantizan que el teléfono utilice solo archivos firmados digitalmente.

Cisco Unified Communications Manager, versión 8.5(1) y posteriores, incluye seguridad de manera predeterminada, que proporciona las siguientes funciones de seguridad para teléfonos IP Cisco sin ejecutar el cliente CTL:

• Firma de los archivos de configuración del teléfono

• Cifrado del archivo de configuración del teléfono

• HTTPS con Tomcat y otros servicios web

La implementación de seguridad en el sistema Cisco Unified Communications Manager evita el robo de identidad del teléfono y del servidor de Cisco Unified Communications Manager, evita la manipulación de datos y evita la manipulación de señales de llamadas y flujos de medios.

Para aliviar estas amenazas, la red de telefonía IP de Cisco establece y mantiene flujos de comunicación seguros (cifrados) entre un teléfono y el servidor, firma digitalmente los archivos antes de que se transfieran a un teléfono y cifra flujos de medios y señalización de llamadas entre teléfonos IP de Cisco.

Un certificado significativo localmente (LSC) se instala en los teléfonos después de realizar las tareas necesarias asociadas con la función proxy de la autoridad de certificación (CAPF). Puede utilizar la administración de Cisco Unified Communications Manager para configurar un LSC, como se describe en la Guía de seguridad de Cisco Unified Communications Manager. Como alternativa, puede iniciar la instalación de un LSC desde el menú Configuración de seguridad en el teléfono. Este menú también le permite actualizar o eliminar un LSC.

No se puede utilizar un LSC como certificado de usuario para EAP-TLS con autenticación WLAN.

Los teléfonos utilizan el perfil de seguridad del teléfono, que define si el dispositivo no es seguro o no. Para obtener información sobre cómo aplicar el perfil de seguridad al teléfono, consulte la documentación de su versión específica de Cisco Unified Communications Manager.

Si configura ajustes relacionados con la seguridad en la administración de Cisco Unified Communications Manager, el archivo de configuración del teléfono contiene información confidencial. Para garantizar la privacidad de un archivo de configuración, debe configurarlo para el cifrado. Para obtener información detallada, consulte la documentación de su versión específica de Cisco Unified Communications Manager.

El teléfono cumple con el Estándar de procesamiento de información federal (FIPS). Para funcionar correctamente, el modo FIPS requiere un tamaño de clave de 2048 bits o superior. Si el certificado tiene menos de 2048 bits, el teléfono no se registrará con Cisco Unified Communications Manager y el teléfono no se registrará. El tamaño de la clave de certificado no cumple con FIPS se muestra en el teléfono.

Si el teléfono tiene un LSC, debe actualizar el tamaño de la clave LSC a 2048 bits o más antes de habilitar FIPS.

En la siguiente tabla, se proporciona una descripción general de las funciones de seguridad compatibles con los teléfonos. Para obtener más información, consulte la documentación de su versión específica de Cisco Unified Communications Manager.

Para ver el modo de seguridad, presione Configuración y navegue hasta Red y servicio > Configuración de seguridad.

La siguiente tabla contiene los mensajes de alarma de actualización de la lista de confianza y el significado. Para obtener más información, consulte la documentación de Cisco Unified Communications Manager.

El menú Security Setup (Configuración de seguridad) proporciona información sobre diversas configuraciones de seguridad. El menú también proporciona acceso al menú Lista de confianza e indica si el archivo CTL o ITL está instalado en el teléfono.

En la siguiente tabla se describen las opciones del menú Configuración de seguridad.

Los teléfonos IP Cisco son compatibles con la autenticación 802.1X.

Tradicionalmente, los teléfonos IP Cisco y los switches Cisco Catalyst utilizan el Protocolo de detección de Cisco (CDP) para identificarse entre sí y determinar parámetros como la asignación de VLAN y los requisitos de alimentación en línea. El CDP no identifica las estaciones de trabajo conectadas localmente. Los Teléfonos IP de Cisco proporcionan un mecanismo de transferencia EAPOL. Este mecanismo permite que una estación de trabajo conectada al Teléfono IP de Cisco pase mensajes EAPOL al autenticador 802.1X en el switch de LAN. El mecanismo de transferencia garantiza que el teléfono IP no actúe como el switch de LAN para autenticar un extremo de datos antes de acceder a la red.

Los Teléfonos IP de Cisco también proporcionan un mecanismo de cierre de sesión EAPOL con proxy. Si la PC conectada localmente se desconecta del teléfono IP, el switch de LAN no ve que el enlace físico falla, ya que se mantiene el enlace entre el switch de LAN y el teléfono IP. Para evitar comprometer la integridad de la red, el teléfono IP envía un mensaje de cierre de sesión de EAPOL al switch en nombre de la PC descendente, lo que activa el switch de LAN para borrar la entrada de autenticación para la PC descendente.

El soporte para la autenticación 802.1X requiere varios componentes:

• Teléfono IP de Cisco: El teléfono inicia la solicitud para acceder a la red. Los teléfonos IP de Cisco contienen un solicitante 802.1X. Este solicitante permite a los administradores de red controlar la conectividad de los teléfonos IP a los puertos de switch de LAN. La versión actual del teléfono solicitante 802.1X utiliza las opciones EAP-FAST y EAP-TLS para la autenticación de red.

• Servidor de autenticación: El servidor de autenticación y el switch deben estar configurados con un secreto compartido que autentica el teléfono.

• Conmutador: El switch debe admitir 802.1X, para que pueda actuar como autenticador y pasar los mensajes entre el teléfono y el servidor de autenticación. Una vez finalizado el intercambio, el switch concede o deniega el acceso del teléfono a la red.

Debe realizar las siguientes acciones para configurar 802.1X.

• Configure los otros componentes antes de habilitar la autenticación 802.1X en el teléfono.

• Configurar puerto de PC: El estándar 802.1X no tiene en cuenta las VLAN y, por lo tanto, recomienda que solo se autentique un dispositivo en un puerto de switch específico. Sin embargo, algunos switches admiten la autenticación de multidominio. La configuración del switch determina si puede conectar una PC al puerto de PC del teléfono.

  • Habilitado: Si está utilizando un switch que admite la autenticación de varios dominios, puede habilitar el puerto de PC y conectar una PC a este. En este caso, los Teléfonos IP de Cisco admiten el cierre de sesión EAPOL con proxy para supervisar los intercambios de autenticación entre el switch y la PC conectada.

    Para obtener más información sobre la compatibilidad con IEEE 802.1X en los switches Cisco Catalyst, consulte las guías de configuración del switch Cisco Catalyst en:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Deshabilitado: Si el switch no admite varios dispositivos compatibles con 802.1X en el mismo puerto, debe deshabilitar el puerto de PC cuando la autenticación 802.1X esté habilitada. Si no desactiva este puerto y luego intenta conectar una PC a él, el switch deniega el acceso de red tanto al teléfono como a la PC.

• Configurar la VLAN de voz: Dado que el estándar 802.1X no tiene en cuenta las VLAN, debe configurar este ajuste en función de la compatibilidad del switch.
  • Habilitado: Si está utilizando un switch que admite la autenticación de varios dominios, puede continuar usando la VLAN de voz.
  • Deshabilitado: Si el switch no admite la autenticación multidominio, deshabilite la VLAN de voz y considere la asignación del puerto a la VLAN nativa.
• (Solo para teléfonos de escritorio Cisco serie 9800)

  El teléfono de escritorio Cisco serie 9800 tiene un prefijo diferente en el PID al de los otros teléfonos Cisco. Para permitir que su teléfono pase la autenticación 802.1X, defina el parámetro Radio·Nombre de usuario para que incluya su teléfono de escritorio Cisco serie 9800.

  Por ejemplo, el PID del teléfono 9841 es DP-9841; puede configurar Radio·Nombre de usuario en Iniciar con DP o Contiene DP. Puede definirlo en las dos secciones siguientes:

  • Política > Condiciones > Condiciones de la biblioteca

  • Directiva > Conjuntos de directivas > Directiva de autorización > Regla de autorización 1

Cuando se implementa la seguridad para un teléfono, puede identificar las llamadas telefónicas seguras mediante iconos en la pantalla del teléfono. También puede determinar si el teléfono conectado es seguro y protegido si se reproduce un tono de seguridad al comienzo de la llamada.

En una llamada segura, todos los flujos de medios y señalización de llamadas están cifrados. Una llamada segura ofrece un alto nivel de seguridad, proporcionando integridad y privacidad a la llamada. Cuando una llamada en curso está cifrada, puede ver el icono seguro en la línea. En el caso de un teléfono seguro, también puede ver el icono autenticado o el icono cifrado junto al servidor conectado en el menú telefónico (Configuración > Acerca de este dispositivo).

En una llamada segura, se reproduce un tono de seguridad al comienzo de una llamada para indicar que el otro teléfono conectado también está recibiendo y transmitiendo audio seguro. Si la llamada se conecta a un teléfono no seguro, el tono de seguridad no se reproduce.

Cuando un teléfono está configurado como seguro (cifrado y de confianza) en Cisco Unified Communications Manager, se le puede otorgar un estado protegido . A continuación, si se desea, el teléfono protegido se puede configurar para que reproduzca un tono de indicación al comienzo de una llamada:

• Dispositivo protegido: Para cambiar el estado de un teléfono seguro a protegido, marque la casilla de verificación Dispositivo protegido en la ventana Configuración del teléfono en la administración de Cisco Unified Communications Manager (Dispositivo > Teléfono).

• Reproducir tono de indicación seguro: Para permitir que el teléfono protegido reproduzca un tono de indicación seguro o no seguro, establezca el ajuste Reproducir tono de indicación seguro en Verdadero. De forma predeterminada, Reproducir tono de indicación seguro se establece en Falso. Esta opción se configura en la administración de Cisco Unified Communications Manager (Sistema > Parámetros de servicio). Seleccione el servidor y, luego, el servicio de Unified Communications Manager. En la ventana Service Parameter Configuration (Configuración de parámetros de servicio), seleccione la opción en el área Feature - Secure Tone (Función - Tono seguro). El valor predeterminado es False.

Dado que todos los dispositivos WLAN que están dentro del rango pueden recibir todo el resto del tráfico WLAN, proteger las comunicaciones de voz es fundamental en las WLAN. Para garantizar que los intrusos no manipulen ni intercepten el tráfico de voz, la arquitectura de seguridad SAFE de Cisco es compatible con el teléfono. Para obtener más información sobre la seguridad en las redes, consulte http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

La solución de telefonía IP inalámbrica de Cisco proporciona seguridad de red inalámbrica que evita los inicios de sesión no autorizados y las comunicaciones comprometidas mediante el uso de los siguientes métodos de autenticación compatibles con el teléfono:

• Autenticación abierta: Cualquier dispositivo inalámbrico puede solicitar la autenticación en un sistema abierto. El AP que recibe la solicitud puede otorgar autenticación a cualquier solicitante o solo a los solicitantes que se encuentran en una lista de usuarios. La comunicación entre el dispositivo inalámbrico y el punto de acceso (AP) podría no cifrarse.

• Protocolo de autenticación extensible-Autenticación flexible a través de autenticación de túnel seguro (EAP-FAST): Esta arquitectura de seguridad cliente-servidor cifra las transacciones EAP dentro de un túnel de seguridad de nivel de transporte (TLS) entre el AP y el servidor RADIUS, como el motor de servicios de identidad (ISE).

  El túnel de TLS utiliza credenciales de acceso protegido (PAC) para la autenticación entre el cliente (teléfono) y el servidor RADIUS. El servidor envía un ID de autoridad (AID) al cliente (teléfono), que a su vez selecciona el PAC adecuado. El cliente (teléfono) devuelve un PAC-Opaque al servidor RADIUS. El servidor descifra el PAC con la clave principal. Ambos extremos ahora contienen la clave PAC y se crea un túnel TLS. EAP-FAST admite el aprovisionamiento automático de PAC, pero debe habilitarlo en el servidor RADIUS.

  En ISE, de forma predeterminada, el PAC caduca en una semana. Si el teléfono tiene un PAC caducado, la autenticación con el servidor RADIUS tarda más tiempo mientras el teléfono obtiene un PAC nuevo. Para evitar demoras en el aprovisionamiento de PAC, establezca el período de caducidad de PAC en 90 días o más en el servidor ISE o RADIUS.

• Autenticación extensible Authentication Protocol-Transport Layer Security (EAP-TLS): EAP-TLS requiere un certificado de cliente para la autenticación y el acceso a la red. En el caso de EAP-TLS inalámbrico, el certificado de cliente puede ser MIC, LSC o certificado instalado por el usuario.

• Protocolo de autenticación extensible protegido (PEAP): Esquema de autenticación mutua de propiedad de Cisco basado en contraseñas entre el cliente (teléfono) y un servidor RADIUS. El teléfono puede utilizar PEAP para la autenticación con la red inalámbrica. Los métodos de autenticación PEAP-MSCHAPV2 y PEAP-GTC son compatibles.

• Clave compartida previamente (PSK): El teléfono admite el formato ASCII. Debe utilizar este formato al configurar una clave precompartida de WPA/WPA2/SAE:

  ASCII: una cadena de caracteres ASCII de 8 a 63 caracteres de longitud (0-9, minúsculas y mayúsculas A-Z, y caracteres especiales)

  Ejemplo: GREG123567@9ZX&W

Los siguientes esquemas de autenticación utilizan el servidor RADIUS para administrar las claves de autenticación:

• wpa/wpa2/wpa3: Utiliza la información del servidor RADIUS para generar claves únicas para la autenticación. Debido a que estas claves se generan en el servidor RADIUS centralizado, WPA2/WPA3 proporciona más seguridad que las claves preseleccionadas de WPA que se almacenan en el AP y en el teléfono.

• Itinerancia segura y rápida: Utiliza el servidor RADIUS y la información de un servidor de dominio inalámbrico (WDS) para administrar y autenticar claves. El WDS crea un caché de credenciales de seguridad para los dispositivos cliente habilitados para FT para una reautenticación rápida y segura. Los teléfonos de escritorio Cisco 9861 y 9871 y el teléfono de vídeo Cisco 8875 son compatibles con 802.11r (FT). Se admiten tanto por el aire como por el DS para permitir una itinerancia segura y rápida. Sin embargo, recomendamos encarecidamente utilizar el método 802.11r (FT) por aire.

Con WPA/WPA2/WPA3, las claves de cifrado no se introducen en el teléfono, pero se derivan automáticamente entre el AP y el teléfono. Pero en cada teléfono se deben ingresar el nombre de usuario y la contraseña de EAP que se utilizan para la autenticación.

Para garantizar que el tráfico de voz sea seguro, el teléfono admite TKIP y AES para el cifrado. Cuando se utilizan estos mecanismos para el cifrado, los paquetes SIP de señalización y los paquetes del Protocolo de transporte en tiempo real (RTP) de voz se cifran entre el AP y el teléfono.

tkip

WPA utiliza el cifrado TKIP que tiene varias mejoras sobre WEP. TKIP proporciona cifrado de claves por paquete y vectores de inicialización más largos (IV) que fortalecen el cifrado. Además, una comprobación de integridad de mensajes (MIC) garantiza que los paquetes cifrados no se alteren. TKIP elimina la previsibilidad de WEP que ayuda a los intrusos a descifrar la clave de WEP.

aes

Un método de cifrado utilizado para la autenticación WPA2/WPA3. Esta norma nacional para el cifrado utiliza un algoritmo simétrico que tiene la misma clave para el cifrado y el descifrado. AES utiliza cifrado de cadena de bloqueo de cifrado (CBC) de 128 bits, que admite tamaños de claves de 128 bits, 192 bits y 256 bits como mínimo. El teléfono admite un tamaño de clave de 256 bits.

Los esquemas de autenticación y cifrado se establecen dentro de la LAN inalámbrica. Las VLAN se configuran en la red y en los AP y especifican diferentes combinaciones de autenticación y cifrado. Un SSID se asocia con una VLAN y con el esquema de autenticación y cifrado particular. Para que los dispositivos de cliente inalámbricos se autentiquen correctamente, debe configurar los mismos SSID con sus esquemas de autenticación y cifrado en los AP y en el teléfono.

Algunos esquemas de autenticación requieren tipos específicos de cifrado.

Los esquemas de autenticación y cifrado de la siguiente tabla muestran las opciones de configuración de red para el teléfono que corresponde a la configuración del AP.

Assured Services SIP (AS-SIP) es una colección de funciones y protocolos que ofrecen un flujo de llamadas altamente seguro para teléfonos IP de Cisco y teléfonos de terceros. Las siguientes características se conocen colectivamente como AS-SIP:

• Prioridad multinivel (MLPP)
• Punto de código de servicios diferenciados (DSCP)
• Seguridad de la capa de transporte (TLS) y Protocolo de transporte seguro en tiempo real (SRTP)
• Protocolo de Internet versión 6 (IPv6)

A menudo, AS-SIP se utiliza con prioridad multinivel (MLPP) para priorizar las llamadas durante una emergencia. Con MLPP, puede asignar un nivel de prioridad a sus llamadas salientes, del nivel 1 (bajo) al nivel 5 (alto). Cuando recibe una llamada, aparece un icono de nivel de precedencia en el teléfono que muestra la prioridad de llamada.

Para configurar AS-SIP, realice las siguientes tareas en Cisco Unified Communications Manager:

• Configurar un usuario Digest: configure el usuario final para que utilice la autenticación digest para las solicitudes SIP.
• Configurar el puerto seguro del teléfono SIP: Cisco Unified Communications Manager utiliza este puerto para escuchar teléfonos SIP para registros de líneas SIP a través de TLS.
• Reiniciar servicios: después de configurar el puerto seguro, reinicie los servicios de Cisco Unified Communications Manager y Cisco CTL Provider. Configure un perfil de SIP para AS-SIP: configure un perfil de SIP con ajustes de SIP para sus extremos de AS-SIP y para sus enlaces troncales de SIP. Los parámetros específicos del teléfono no se descargan en un teléfono AS-SIP de terceros. Solo los utiliza Cisco Unified Manager. Los teléfonos de terceros deben configurar los mismos ajustes de forma local.
• Configurar el perfil de seguridad del teléfono para AS-SIP: puede utilizar el perfil de seguridad del teléfono para asignar ajustes de seguridad como TLS, SRTP y autenticación implícita.
• Configurar extremo de AS-SIP: configure un Teléfono IP de Cisco o un extremo de terceros con compatibilidad de AS-SIP.
• Asociar dispositivo con usuario final: asocie el extremo con un usuario.
• Configurar el perfil de seguridad del enlace troncal de SIP para AS-SIP: puede utilizar el perfil de seguridad del enlace troncal de SIP para asignar funciones de seguridad como TLS o autenticación implícita a un enlace troncal de SIP.
• Configurar enlace troncal SIP para AS-SIP: configure un enlace troncal SIP con compatibilidad de AS-SIP.
• Configurar funciones de AS-SIP: configure funciones adicionales de AS-SIP como MLPP, TLS, V.150 e IPv6.

Para obtener información detallada acerca de la configuración de AS-SIP, consulte el capítulo "Configurar extremos de AS-SIP" en la Guía de configuración de características para Cisco Unified Communications Manager.

Cuando los códigos de autorización forzada (FAC) o los códigos de asunto de cliente (CMC), o ambos están configurados en el teléfono, los usuarios deben introducir las contraseñas necesarias para marcar un número.

Para obtener más información acerca de cómo configurar FAC y CMC en Cisco Unified Communications Manager, consulte el capítulo "Códigos de asunto de cliente y códigos de autorización forzada" en la Guía de configuración de características para Cisco Unified Communications Manager, versión 12.5(1) o posterior.