Gracias por sus comentarios.

Las funciones de seguridad protegen contra amenazas, incluidas las que atentan contra la identidad del teléfono y los datos. Estas funciones establecen y mantienen flujos de comunicación autenticados entre el teléfono y el servidor Cisco Unified Communications Manager, y garantizan que el teléfono utilice únicamente archivos firmados digitalmente.

Cisco Unified Communications Manager versión 8.5(1) y posteriores incluyen Seguridad de forma predeterminada, que proporciona las siguientes características de seguridad para los teléfonos IP de Cisco sin necesidad de ejecutar el cliente CTL:

• Firma de los archivos de configuración del teléfono

• Cifrado del archivo de configuración del teléfono

• HTTPS con Tomcat y otros servicios web

La implementación de medidas de seguridad en el sistema Cisco Unified Communications Manager evita el robo de identidad del teléfono y del servidor Cisco Unified Communications Manager, previene la manipulación de datos y evita la manipulación de la señalización de llamadas y del flujo multimedia.

Para mitigar estas amenazas, la red de telefonía IP de Cisco establece y mantiene flujos de comunicación seguros (encriptados) entre un teléfono y el servidor, firma digitalmente los archivos antes de transferirlos a un teléfono y encripta los flujos multimedia y la señalización de llamadas entre los teléfonos IP de Cisco.

Un Certificado de Importancia Local (LSC, por sus siglas en inglés) se instala en los teléfonos después de realizar las tareas necesarias asociadas con la Función de Proxy de la Autoridad de Certificación (CAPF, por sus siglas en inglés). Puede utilizar la administración de Cisco Unified Communications Manager para configurar un LSC, tal como se describe en la Guía de seguridad de Cisco Unified Communications Manager. Como alternativa, puede iniciar la instalación de un LSC desde el menú de configuración de seguridad del teléfono. Este menú también permite actualizar o eliminar un LSC.

Los teléfonos utilizan el perfil de seguridad del teléfono, que define si el dispositivo es seguro o no seguro. Para obtener información sobre cómo aplicar el perfil de seguridad al teléfono, consulte la documentación de su versión específica de Cisco Unified Communications Manager.

Si configura ajustes relacionados con la seguridad en la administración de Cisco Unified Communications Manager, el archivo de configuración del teléfono contiene información confidencial. Para garantizar la privacidad de un archivo de configuración, debe configurarlo para que esté cifrado. Para obtener información detallada, consulte la documentación de su versión específica de Cisco Unified Communications Manager.

El teléfono cumple con el Estándar Federal de Procesamiento de Información (FIPS). Para funcionar correctamente, el modo FIPS requiere un tamaño de clave de 2048 bits o superior. Si el certificado tiene menos de 2048 bits, el teléfono no se registrará con Cisco Unified Communications Manager y se mostrará Phone failed to register. Cert key size is not FIPS compliant en el teléfono.

Si el teléfono tiene un LSC, debe actualizar el tamaño de la clave LSC a 2048 bits o superior antes de habilitar FIPS.

La siguiente tabla ofrece una descripción general de las funciones de seguridad que admiten los teléfonos. Para obtener más información, consulte la documentación de su versión específica de Cisco Unified Communications Manager.

Para ver el modo de seguridad, pulse Ajustes y navegue hasta Red y servicio > Configuración de seguridad.

La siguiente tabla contiene los mensajes de alarma de actualización de la lista de confianza y su significado. Para obtener más información, consulte la documentación de Cisco Unified Communications Manager.

El menú de Configuración de seguridad proporciona información sobre diversas configuraciones de seguridad. El menú también permite acceder al menú de la Lista de confianza e indica si el archivo CTL o ITL está instalado en el teléfono.

La siguiente tabla describe las opciones del menú Configuración de seguridad.

Los teléfonos IP de Cisco son compatibles con la autenticación 802.1X.

Los teléfonos IP de Cisco y los conmutadores Cisco Catalyst tradicionalmente utilizan el Protocolo de descubrimiento de Cisco (CDP) para identificarse entre sí y determinar parámetros como la asignación de VLAN y los requisitos de alimentación en línea. CDP no identifica las estaciones de trabajo conectadas localmente. Los teléfonos IP de Cisco ofrecen un mecanismo de paso de EAPOL. Este mecanismo permite que una estación de trabajo conectada al teléfono IP de Cisco transmita mensajes EAPOL al autenticador 802.1X del conmutador LAN. El mecanismo de paso directo garantiza que el teléfono IP no actúe como conmutador LAN para autenticar un punto final de datos antes de acceder a la red.

Los teléfonos IP de Cisco también ofrecen un mecanismo de cierre de sesión EAPOL mediante proxy. Si el PC conectado localmente se desconecta del teléfono IP, el conmutador LAN no detecta que falle el enlace físico, porque el enlace entre el conmutador LAN y el teléfono IP se mantiene. Para evitar comprometer la integridad de la red, el teléfono IP envía un mensaje EAPOL-Logoff al conmutador en nombre del PC receptor, lo que activa el conmutador LAN para borrar la entrada de autenticación del PC receptor.

La compatibilidad con la autenticación 802.1X requiere varios componentes:

• Teléfono IP de Cisco: El teléfono inicia la solicitud para acceder a la red. Los teléfonos IP de Cisco incluyen un cliente 802.1X. Este programa permite a los administradores de red controlar la conectividad de los teléfonos IP a los puertos del conmutador LAN. La versión actual del cliente 802.1X para teléfonos utiliza las opciones EAP-FAST y EAP-TLS para la autenticación de red.

• Servidor de autenticación: Tanto el servidor de autenticación como el conmutador deben estar configurados con una clave secreta compartida que autentique el teléfono.

• Cambiar: El conmutador debe ser compatible con 802.1X para poder actuar como autenticador y transmitir los mensajes entre el teléfono y el servidor de autenticación. Una vez completada la comunicación, el conmutador concede o deniega el acceso del teléfono a la red.

Para configurar 802.1X, debe realizar las siguientes acciones.

• Configure los demás componentes antes de habilitar la autenticación 802.1X en el teléfono.

• Configurar puerto de PC: El estándar 802.1X no tiene en cuenta las VLAN y, por lo tanto, recomienda que solo se autentique un único dispositivo en un puerto de conmutador específico. Sin embargo, algunos conmutadores admiten la autenticación multidominio. La configuración del conmutador determina si se puede conectar un PC al puerto para PC del teléfono.

  • Habilitado: Si utiliza un conmutador que admita la autenticación multidominio, puede habilitar el puerto para PC y conectar un ordenador al mismo. En este caso, los teléfonos IP de Cisco admiten el registro de sesión EAPOL mediante proxy para supervisar los intercambios de autenticación entre el switch y el PC conectado.

    Para obtener más información sobre la compatibilidad con IEEE 802.1X en los switches Cisco Catalyst, consulte las guías de configuración de los switches Cisco Catalyst en:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Deshabilitado: Si el conmutador no admite varios dispositivos compatibles con 802.1X en el mismo puerto, debe deshabilitar el puerto de PC cuando la autenticación 802.1X esté habilitada. Si no desactiva este puerto e intenta conectar un PC al mismo, el conmutador denegará el acceso a la red tanto al teléfono como al PC.

• Configurar VLAN de voz: Dado que el estándar 802.1X no contempla las VLAN, deberá configurar este ajuste en función de la compatibilidad del switch.
  • Habilitado: Si utiliza un conmutador que admita la autenticación multidominio, puede continuar utilizándolo para usar la VLAN de voz.
  • Deshabilitado: Si el conmutador no admite la autenticación multidominio, desactive la VLAN de voz y considere asignar el puerto a la VLAN nativa.
• (Solo para teléfonos de escritorio Cisco serie 9800)

  Los teléfonos de escritorio Cisco de la serie 9800 tienen un prefijo diferente en el PID que el de los demás teléfonos Cisco. Para que su teléfono pueda pasar la autenticación 802.1X, configure el parámetro Radius·User-Name para incluir su teléfono de escritorio Cisco Serie 9800.

  Por ejemplo, el PID del teléfono 9841 es DP-9841; puede establecer Radius·User-Name en Start with DP o Contains DP. Puede configurarlo en cualquiera de las siguientes secciones:

  • Política > Condiciones > Condiciones de la biblioteca

  • Política > Conjuntos de políticas > Política de autorización > Regla de autorización 1

Cuando se implementa la seguridad en un teléfono, puedes identificar las llamadas seguras mediante iconos en la pantalla del teléfono. También puedes determinar si el teléfono conectado es seguro y está protegido si suena un tono de seguridad al comienzo de la llamada.

En una llamada segura, toda la señalización de la llamada y las transmisiones multimedia están encriptadas. Una llamada segura ofrece un alto nivel de seguridad, proporcionando integridad y privacidad a la llamada. Cuando una llamada en curso está cifrada, puede ver el icono de seguridad en la línea. Para un teléfono seguro, también puede ver el icono autenticado o el icono cifrado junto al servidor conectado en el menú del teléfono (Ajustes > Acerca de este dispositivo).

En una llamada segura, al inicio de la llamada suena un tono de seguridad para indicar que el otro teléfono conectado también está recibiendo y transmitiendo audio seguro. Si su llamada se conecta a un teléfono no seguro, no se reproducirá el tono de seguridad.

Cuando un teléfono se configura como seguro (encriptado y de confianza) en Cisco Unified Communications Manager, se le puede asignar un estado protegido. Posteriormente, si se desea, el teléfono protegido puede configurarse para reproducir un tono de indicación al inicio de una llamada:

• Dispositivo protegido: Para cambiar el estado de un teléfono seguro a protegido, marque la casilla de verificación Dispositivo protegido en la ventana Configuración del teléfono en la Administración de Cisco Unified Communications Manager (Dispositivo > Teléfono).

• Reproducir tono de indicación de seguridad: Para que el teléfono protegido pueda reproducir un tono de indicación seguro o no seguro, configure la opción Reproducir tono de indicación seguro en Verdadero. Por defecto, la opción Reproducir tono de indicación de seguridad está configurada en Falso. Esta opción se configura en la administración de Cisco Unified Communications Manager (Sistema > Parámetros del servicio). Seleccione el servidor y, a continuación, el servicio Administrador de comunicaciones unificadas. En la ventana Configuración de parámetros de servicio, seleccione la opción en el área Función - Tono seguro. El valor predeterminado es Falso.

Dado que todos los dispositivos WLAN que se encuentran dentro del alcance pueden recibir todo el tráfico WLAN, garantizar la seguridad de las comunicaciones de voz es fundamental en las redes WLAN. Para garantizar que los intrusos no manipulen ni intercepten el tráfico de voz, la arquitectura de seguridad Cisco SAFE es compatible con el teléfono. Para obtener más información sobre la seguridad en las redes, consulte http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

La solución de telefonía IP inalámbrica de Cisco proporciona seguridad de red inalámbrica que evita inicios de sesión no autorizados y comunicaciones comprometidas mediante el uso de los siguientes métodos de autenticación que admite el teléfono:

• Autenticación abierta: En un sistema abierto, cualquier dispositivo inalámbrico puede solicitar autenticación. El punto de acceso que recibe la solicitud puede otorgar autenticación a cualquier solicitante o solo a los solicitantes que se encuentren en una lista de usuarios. La comunicación entre el dispositivo inalámbrico y el punto de acceso (AP) podría no estar cifrada.

• Autenticación mediante protocolo de autenticación extensible-autenticación flexible a través de tunelización segura (EAP-FAST): Esta arquitectura de seguridad cliente-servidor cifra las transacciones EAP dentro de un túnel de seguridad de nivel de transporte (TLS) entre el punto de acceso y el servidor RADIUS, como Identity Services Engine (ISE).

  El túnel TLS utiliza credenciales de acceso protegido (PAC) para la autenticación entre el cliente (teléfono) y el servidor RADIUS. El servidor envía un ID de autoridad (AID) al cliente (teléfono), que a su vez selecciona el PAC apropiado. El cliente (teléfono) devuelve un paquete PAC-Opaque al servidor RADIUS. El servidor descifra el PAC con la clave principal. Ahora ambos extremos contienen la clave PAC y se crea un túnel TLS. EAP-FAST admite el aprovisionamiento automático de PAC, pero debe habilitarlo en el servidor RADIUS.

  En ISE, por defecto, el PAC caduca en una semana. Si el teléfono tiene un código PAC caducado, la autenticación con el servidor RADIUS tarda más tiempo mientras el teléfono obtiene un nuevo código PAC. Para evitar retrasos en el aprovisionamiento de PAC, configure el período de caducidad de PAC en 90 días o más en el servidor ISE o RADIUS.

• Autenticación mediante el Protocolo de Autenticación Extensible-Seguridad de la Capa de Transporte (EAP-TLS): EAP-TLS requiere un certificado de cliente para la autenticación y el acceso a la red. Para EAP-TLS inalámbrico, el certificado del cliente puede ser MIC, LSC o un certificado instalado por el usuario.

• Protocolo de autenticación extensible protegido (PEAP): Esquema de autenticación mutua basado en contraseña, propiedad de Cisco, entre el cliente (teléfono) y un servidor RADIUS. El teléfono puede utilizar PEAP para autenticarse con la red inalámbrica. Se admiten los métodos de autenticación PEAP-MSCHAPV2 y PEAP-GTC.

• Clave precompartida (PSK): El teléfono admite el formato ASCII. Debe utilizar este formato al configurar un WPA/WPA2/SAE Clave precompartida:

  ASCII: una cadena de caracteres ASCII con una longitud de entre 8 y 63 caracteres (0-9, letras minúsculas y mayúsculas de la A a la Z, y caracteres especiales)

  Ejemplo: GREG123567@9ZX & W

Los siguientes esquemas de autenticación utilizan el servidor RADIUS para gestionar las claves de autenticación:

• WPA/WPA2/WPA3: Utiliza la información del servidor RADIUS para generar claves únicas de autenticación. Debido a que estas claves se generan en el servidor RADIUS centralizado, WPA2/WPA3 Proporciona mayor seguridad que las claves precompartidas WPA, que se almacenan en el punto de acceso y en el teléfono.

• Roaming rápido y seguro: Utiliza información del servidor RADIUS y del servidor de dominio inalámbrico (WDS) para gestionar y autenticar las claves. El WDS crea una caché de credenciales de seguridad para los dispositivos cliente compatibles con FT, lo que permite una reautenticación rápida y segura. Los teléfonos de escritorio Cisco 9861 y 9871 y el teléfono de vídeo Cisco 8875 son compatibles con 802.11r (FT). Se admiten tanto la transmisión inalámbrica como la transmisión por satélite para permitir una itinerancia rápida y segura. Pero recomendamos encarecidamente utilizar el método 802.11r (FT) por vía inalámbrica.

Con WPA/WPA2/WPA3, Las claves de cifrado no se introducen en el teléfono, sino que se generan automáticamente entre el punto de acceso y el teléfono. Sin embargo, el nombre de usuario y la contraseña de EAP que se utilizan para la autenticación deben introducirse en cada teléfono.

Para garantizar la seguridad del tráfico de voz, el teléfono admite los protocolos TKIP y AES para el cifrado. Cuando se utilizan estos mecanismos para el cifrado, tanto los paquetes SIP de señalización como los paquetes RTP (Protocolo de Transporte en Tiempo Real) de voz se cifran entre el punto de acceso y el teléfono.

TKIP

WPA utiliza el cifrado TKIP, que presenta varias mejoras con respecto a WEP. TKIP proporciona cifrado de clave por paquete y vectores de inicialización (IV) más largos que refuerzan el cifrado. Además, una comprobación de integridad del mensaje (MIC) garantiza que los paquetes cifrados no se alteren. TKIP elimina la predictibilidad de WEP que ayuda a los intrusos a descifrar la clave WEP.

AES

Un método de cifrado utilizado para WPA2/WPA3 autenticación. Este estándar nacional de cifrado utiliza un algoritmo simétrico que emplea la misma clave para cifrar y descifrar. AES utiliza el cifrado de cadena de bloqueo de cifrado (CBC) de 128 bits, que admite tamaños de clave de 128 bits, 192 bits y 256 bits como mínimo. El teléfono admite un tamaño de clave de 256 bits.

Los esquemas de autenticación y cifrado se configuran dentro de la red LAN inalámbrica. Las VLAN se configuran en la red y en los puntos de acceso, y especifican diferentes combinaciones de autenticación y cifrado. Un SSID se asocia con una VLAN y con un esquema particular de autenticación y cifrado. Para que los dispositivos cliente inalámbricos se autentiquen correctamente, debe configurar los mismos SSID con sus esquemas de autenticación y cifrado tanto en los puntos de acceso como en el teléfono.

Algunos sistemas de autenticación requieren tipos específicos de cifrado.

Los esquemas de autenticación y cifrado que se muestran en la siguiente tabla presentan las opciones de configuración de red para el teléfono que corresponden a la configuración del punto de acceso (AP).

Assured Services SIP (AS-SIP) es un conjunto de funciones y protocolos que ofrecen un flujo de llamadas altamente seguro para teléfonos IP de Cisco y teléfonos de terceros. Las siguientes características se conocen colectivamente como AS-SIP:

• Precedencia y Preemption Multinivel (MLPP)
• Punto de Código de Servicios Diferenciados (DSCP)
• Seguridad de la capa de transporte (TLS) y protocolo de transporte seguro en tiempo real (SRTP)
• Protocolo de Internet versión 6 (IPv6)

AS-SIP se utiliza a menudo con la función de precedencia y preemption multinivel (MLPP) para priorizar las llamadas durante una emergencia. Con MLPP, usted asigna un nivel de prioridad a sus llamadas salientes, desde el nivel 1 (bajo) hasta el nivel 5 (alto). Cuando recibes una llamada, aparece en el teléfono un icono de nivel de prioridad que indica la prioridad de la llamada.

Para configurar AS-SIP, complete las siguientes tareas en Cisco Unified Communications Manager:

• Configurar un usuario Digest: configure al usuario final para que utilice la autenticación Digest para las solicitudes SIP.
• Configure el puerto seguro para teléfonos SIP: Cisco Unified Communications Manager utiliza este puerto para escuchar los teléfonos SIP y registrar las líneas SIP a través de TLS.
• Reiniciar los servicios: después de configurar el puerto seguro, reinicie los servicios de Cisco Unified Communications Manager y Cisco CTL Provider. Configurar perfil SIP para AS-SIP: configure un perfil SIP con ajustes SIP para sus terminales AS-SIP y para sus troncales SIP. Los parámetros específicos del teléfono no se descargan en un teléfono AS-SIP de terceros. Solo las utiliza Cisco Unified Manager. Los teléfonos de terceros deben configurar localmente los mismos ajustes.
• Configurar el perfil de seguridad del teléfono para AS-SIP: puede utilizar el perfil de seguridad del teléfono para asignar ajustes de seguridad como TLS, SRTP y autenticación digest.
• Configurar un punto final AS-SIP: configure un teléfono IP de Cisco o un punto final de terceros con soporte para AS-SIP.
• Asociar dispositivo con usuario final: asocia el dispositivo con un usuario.
• Configure el perfil de seguridad del troncal SIP para AS-SIP: puede utilizar el perfil de seguridad del troncal SIP para asignar funciones de seguridad, como la autenticación TLS o digest, a un troncal SIP.
• Configurar troncal SIP para AS-SIP: configure una troncal SIP con soporte para AS-SIP.
• Configurar las funciones de AS-SIP: configure funciones adicionales de AS-SIP, como MLPP, TLS, V.150 e IPv6.

Para obtener información detallada sobre la configuración de AS-SIP, consulte el capítulo "Configurar puntos finales AS-SIP" en la Guía de configuración de funciones para Cisco Unified Communications Manager.

Cuando los Códigos de Autorización Forzada (FAC) o los Códigos de Asunto del Cliente (CMC), o ambos, están configurados en el teléfono, los usuarios deben ingresar las contraseñas requeridas para marcar un número.

Para obtener más información sobre cómo configurar FAC y CMC en Cisco Unified Communications Manager, consulte el capítulo "Códigos de asunto del cliente y códigos de autorización forzada" en la Guía de configuración de funciones para Cisco Unified Communications Manager, versión 12.5(1) o posterior.

La función VPN de Cisco le ayuda a preservar la seguridad de la red al tiempo que proporciona a los usuarios un método seguro y fiable para conectarse a su red corporativa. Utilice esta función cuando:

• Un teléfono se encuentra fuera de una red de confianza.
• El tráfico de red entre el teléfono y Cisco Unified Communications Manager atraviesa una red no confiable.

Con una VPN, existen tres enfoques comunes para la autenticación del cliente:

• Certificados digitales
• Contraseñas
• Nombre de usuario y contraseña

Cada método tiene sus ventajas. Pero si la política de seguridad de su empresa lo permite, recomendamos un enfoque basado en certificados, ya que estos permiten un inicio de sesión sin interrupciones y sin ninguna intervención del usuario. Se admiten tanto los certificados LSC como los MIC.

Para configurar cualquiera de las funciones de VPN, primero debe aprovisionar el dispositivo en las instalaciones de la empresa y, a continuación, podrá implementarlo fuera de ellas.

Para obtener más información sobre la autenticación de certificados y el trabajo con redes VPN, consulte Configurar AnyConnect VPN Phone con autenticación de certificados en un ASA.

Mediante el uso de contraseña, o nombre de usuario y contraseña, se le solicita al usuario que introduzca sus credenciales de inicio de sesión. Configure las credenciales de inicio de sesión del usuario de acuerdo con la política de seguridad de su empresa. También puedes configurar la opción "Habilitar persistencia de contraseña" para que la contraseña del usuario se guarde en el teléfono. La contraseña del usuario se guarda hasta que se produzca un intento de inicio de sesión fallido, el usuario borre manualmente la contraseña o el teléfono se reinicie o se quede sin batería.

Otra herramienta útil es la configuración "Habilitar detección automática de red". Al activar esta casilla, el cliente VPN solo podrá ejecutarse cuando detecte que se encuentra fuera de la red corporativa. Esta configuración está deshabilitada de manera predeterminada.

Su teléfono Cisco admite el cliente Cisco SVC IPPhone Client v1.0 como tipo de cliente.

Para obtener más información sobre cómo configurar la VPN en Unified CM, consulte la Guía de configuración de funciones para Cisco Unified Communications Manager.

La función VPN de Cisco utiliza el protocolo Secure Sockets Layer (SSL) para preservar la seguridad de la red.