Gracias por sus comentarios.

Las características de seguridad protegen contra amenazas, incluidas amenazas a la identidad del teléfono y a los datos. Estas características establecen y mantienen flujos de comunicación autenticados entre el teléfono y el Cisco Unified Communications Manager servidor, y aseguran que el teléfono use solo archivos firmados digitalmente.

Cisco Unified Communications ManagerLa versión 8.5 (1) y versiones posteriores incluye Seguridad de forma predeterminada, que proporciona las siguientes características de seguridad para los teléfonos IP de Cisco sin ejecutar el cliente CTL:

• Firma de los archivos de configuración del teléfono

• Cifrado del archivo de configuración del teléfono

• HTTPS con Tomcat y otros servicios web

La implementación de seguridad en el Cisco Unified Communications Manager sistema evita el robo de identidad del teléfono y el Cisco Unified Communications Manager servidor, evita la manipulación de datos y evita la señalización de llamadas y la manipulación del flujo de medios.

Para aliviar estas amenazas, la red de telefonía IP de Cisco establece y mantiene flujos de comunicación seguros (cifrados) entre un teléfono y el servidor, firma digitalmente los archivos antes de que se transfieran a un teléfono y cifra los flujos de medios y la señalización de llamadas entre los teléfonos IP de Cisco.

Un certificado localmente significativo (LSC) se instala en los teléfonos después de realizar las tareas necesarias asociadas con la función Certificate Authority proxy (CAPF). Puede usar Cisco Unified Communications Manager Administration para configurar un LSC, como se describe en la Guía Cisco Unified Communications Manager de seguridad. Alternativamente, puede iniciar la instalación de un LSC desde el menú Configuración de seguridad del teléfono. Este menú también le permite actualizar o eliminar un LSC.

Los teléfonos utilizan el perfil de seguridad del teléfono, que define si el dispositivo no es seguro o seguro. Para obtener información sobre cómo aplicar el perfil de seguridad al teléfono, consulte la documentación de su Cisco Unified Communications Manager comunicado en particular.

Si configura ajustes relacionados con la seguridad enCisco Unified Communications Manager Administration, el archivo de configuración del teléfono contiene información confidencial. Para garantizar la privacidad de un archivo de configuración, debe configurarlo para el cifrado. Para obtener información detallada, consulte la documentación de su Cisco Unified Communications Manager versión en particular.

El teléfono cumple con la Norma Federal de Procesamiento de Información (FIPS). Para funcionar correctamente, el modo FIPS requiere un tamaño de clave de 2048 bits o mayor. Si el certificado es inferior a 2048 bits, el teléfono no se registrará Cisco Unified Communications Manager y el teléfono no se registró. El tamaño de la clave del Cert no es compatible con las pantallas FIPS en el teléfono.

Si el teléfono tiene un LSC, debe actualizar el tamaño de clave LSC a 2048 bits o más antes de habilitar FIPS.

La siguiente tabla proporciona una descripción general de las características de seguridad que admiten los teléfonos. Para obtener más información, consulte la documentación de su Cisco Unified Communications Manager versión en particular.

Para ver el modo de seguridad, presione Configuración y vaya a Red y servicio > Configuración de seguridad.

La siguiente tabla contiene los mensajes de alarma de actualización de la lista de confianza y su significado. Para obtener más información, consulte la Cisco Unified Communications Manager documentación.

El menú Configuración de seguridad proporciona información sobre varias configuraciones de seguridad. El menú también proporciona acceso al menú Lista de confianza e indica si el archivo CTL o ITL está instalado en el teléfono.

En la siguiente tabla se describen las opciones del menú Configuración de seguridad.

Los teléfonos IP de Cisco admiten la autenticación 802.1X.

Los teléfonos IP de Cisco y los switches Cisco Catalyst utilizan tradicionalmente Cisco Discovery Protocol (CDP) para identificarse entre sí y determinar parámetros como la asignación de VLAN y los requisitos de energía en línea. CDP no identifica estaciones de trabajo conectadas localmente. Los teléfonos IP de Cisco proporcionan un mecanismo de paso EAPOL. Este mecanismo permite que una estación de trabajo conectada al teléfono IP de Cisco pase mensajes EAPOL al autenticador 802.1X en el switch LAN. El mecanismo de transferencia garantiza que el teléfono IP no actúe como conmutador LAN para autenticar un punto final de datos antes de acceder a la red.

Los teléfonos IP de Cisco también proporcionan un mecanismo proxy de cierre de sesión EAPOL. Si la PC conectada localmente se desconecta del teléfono IP, el conmutador LAN no ve que el enlace físico falle, porque se mantiene el enlace entre el conmutador LAN y el teléfono IP. Para evitar comprometer la integridad de la red, el teléfono IP envía un mensaje de cierre de sesión EAPOL al switch en nombre de la PC descendente, lo que activa el conmutador LAN para borrar la entrada de autenticación para el PC descendente.

El soporte para la autenticación 802.1X requiere varios componentes:

• Teléfono IP de Cisco: El teléfono inicia la solicitud de acceso a la red. Los teléfonos IP de Cisco contienen un suplicante 802.1X. Este suplicante permite a los administradores de red controlar la conectividad de los teléfonos IP a los puertos del switch LAN. La versión actual del suplicante del teléfono 802.1X utiliza las opciones EAP-FAST y EAP-TLS para la autenticación de red.

• Servidor de autenticación: tanto el servidor de autenticación como el switch deben configurarse con un secreto compartido que autentique el teléfono.

• Switch: El switch debe admitir 802.1X, para que pueda actuar como autenticador y pasar los mensajes entre el teléfono y el servidor de autenticación. Una vez finalizado el intercambio, el switch concede o niega el acceso telefónico a la red.

Debe realizar las siguientes acciones para configurar 802.1X.

• Configure los otros componentes antes de habilitar la autenticación 802.1X en el teléfono.

• Configurar puerto de PC: El estándar 802.1X no considera las VLAN y, por lo tanto, recomienda que solo un dispositivo se autentique en un puerto de switch específico. Sin embargo, algunos switches admiten la autenticación multidominio. La configuración del switch determina si puede conectar una PC al puerto PC del teléfono.

  • Habilitado: Si está utilizando un switch que admite la autenticación multidominio, puede habilitar el puerto de PC y conectar un PC a él. En este caso, los teléfonos IP de Cisco admiten el cierre de sesión proxy EAPOL para monitorear los intercambios de autenticación entre el switch y la PC conectada.

    Para obtener más información sobre la compatibilidad con IEEE 802.1X en los switches Cisco Catalyst, consulte las guías de configuración del switch Cisco Catalyst en:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Deshabilitado: Si el switch no admite varios dispositivos compatibles con 802.1X en el mismo puerto, debe deshabilitar el puerto de PC cuando la autenticación 802.1X esté habilitada. Si no deshabilita este puerto y luego intenta conectar una PC a él, el switch deniega el acceso a la red tanto al teléfono como al PC.

• Configurar VLAN de voz: Debido a que el estándar 802.1X no tiene en cuenta las VLAN, debe configurar esta configuración según el soporte del switch.
  • Habilitado: Si está utilizando un switch que admite la autenticación multidominio, puede continuar usando la VLAN de voz.
  • Deshabilitado: Si el switch no admite la autenticación multidominio, deshabilite la VLAN de voz y considere la posibilidad de asignar el puerto a la VLAN nativa.
• (Solo para Cisco Desk Phone serie 9800)

  Cisco Desk Phone serie 9800 tiene un prefijo diferente en el PID del de los otros teléfonos Cisco. Para permitir que su teléfono pase la autenticación 802.1X, configure el parámetro Radius·User-Nome para incluir su Cisco Desk Phone serie 9800.

  Por ejemplo, el PID del teléfono 9841 es DP-9841; puede establecer Radius·Nombre de usuario en Empezar con DP o Contiene DP. Puede configurarlo en las dos secciones siguientes:

  • Política > Condiciones > Condiciones de la biblioteca

  • Política > Conjuntos de directivas > Política de autorización > Regla de autorización 1

Cuando se implementa la seguridad para un teléfono, puede identificar las llamadas telefónicas seguras mediante iconos en la pantalla del teléfono. También puede determinar si el teléfono conectado es seguro y protegido si se reproduce un tono de seguridad al comienzo de la llamada.

En una llamada segura, todas las señales de llamadas y las transmisiones multimedia están encriptadas. Una llamada segura ofrece un alto nivel de seguridad, proporcionando integridad y privacidad a la llamada. Cuando una llamada en curso está encriptada, puede ver el icono de seguridad en la línea. Para un teléfono seguro, también puede ver el icono autenticado o el icono cifrado junto al servidor conectado en el menú del teléfono (Configuración > Acerca de este dispositivo).

En una llamada segura, se reproduce un tono de seguridad al comienzo de una llamada para indicar que el otro teléfono conectado también está recibiendo y transmitiendo audio seguro. Si su llamada se conecta a un teléfono no seguro, el tono de seguridad no se reproduce.

Cuando un teléfono está configurado como seguro (cifrado y de confianza)Cisco Unified Communications Manager, se le puede dar un estado protegido. Después de eso, si lo desea, el teléfono protegido se puede configurar para reproducir un tono de indicación al comienzo de una llamada:

• Dispositivo protegido: Para cambiar el estado de un teléfono seguro a protegido, marque la casilla de verificación Dispositivo protegido en la ventana Configuración del teléfono en Cisco Unified Communications Manager Administration (Dispositivo > Teléfono).

• Tono de indicación de reproducción segura: para permitir que el teléfono protegido reproduzca un tono de indicación seguro o no seguro, establezca el ajuste Reproducir tono de indicación seguro en True. De forma predeterminada, el tono de indicación de Play Secure está establecido en False. Defina esta opción en Cisco Unified Communications Manager Administration (Sistema > Parámetros de servicio). Seleccione el servidor y luego el servicio de Unified Communications Manager. En la ventana Configuración de parámetros de servicio, seleccione la opción en el área Característica - Tono seguro. El valor predeterminado es Falso.

Debido a que todos los dispositivos WLAN que están dentro del alcance pueden recibir todo el resto del tráfico WLAN, asegurar las comunicaciones de voz es fundamental en las WLAN. Para garantizar que los intrusos no manipulen ni intercepten el tráfico de voz, la arquitectura Cisco SAFE Security es compatible con el teléfono. Para obtener más información sobre la seguridad en las redes, consulte http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

La solución de telefonía IP inalámbrica de Cisco proporciona seguridad de red inalámbrica que evita el inicio de sesión no autorizado y las comunicaciones comprometidas mediante el uso de los siguientes métodos de autenticación que admite el teléfono:

• Autenticación abierta: Cualquier dispositivo inalámbrico puede solicitar autenticación en un sistema abierto. El AP que recibe la solicitud puede otorgar autenticación a cualquier solicitante o solo a los solicitantes que se encuentran en una lista de usuarios. La comunicación entre el dispositivo inalámbrico y el punto de acceso (AP) podría no estar cifrada.

• Protocolo de autenticación extensible: Autenticación flexible mediante autenticación de túnel seguro (EAP-FAST): Esta arquitectura de seguridad cliente-servidor cifra las transacciones EAP dentro de un túnel de seguridad de nivel de transporte (TLS) entre el AP y el servidor RADIUS, como Identity Services Engine (ISE).

  El túnel TLS utiliza credenciales de acceso protegido (PAC) para la autenticación entre el cliente (teléfono) y el servidor RADIUS. El servidor envía un ID de autoridad (AID) al cliente (teléfono), que a su vez selecciona el PAC apropiado. El cliente (teléfono) devuelve un PAC opaco al servidor RADIUS. El servidor descifra el PAC con la clave principal. Ambos puntos finales ahora contienen la clave PAC y se crea un túnel TLS. EAP-FAST admite el aprovisionamiento PAC automático, pero debe habilitarlo en el servidor RADIUS.

  En ISE, por defecto, el PAC expira en una semana. Si el teléfono tiene un PAC caducado, la autenticación con el servidor RADIUS tarda más tiempo mientras el teléfono recibe un nuevo PAC. Para evitar retrasos en el aprovisionamiento de PAC, establezca el período de vencimiento de PAC en 90 días o más en el servidor ISE o RADIUS.

• Protocolo de autenticación extensible: autenticación de seguridad de la capa de transporte (EAP-TLS): EAP-TLS requiere un certificado de cliente para la autenticación y el acceso a la red. Para EAP-TLS inalámbrico, el certificado de cliente puede ser MIC, LSC o certificado instalado por el usuario.

• Protocolo de autenticación extensible protegido (PEAP): esquema de autenticación mutua basado en contraseña patentado de Cisco entre el cliente (teléfono) y un servidor RADIUS. El teléfono puede usar PEAP para la autenticación con la red inalámbrica. Se admiten los métodos de autenticación PEAP-MSCHAPV2 y PEAP-GTC.

• Clave precompartida (PSK): El teléfono admite el formato ASCII. Debe usar este formato al configurar una clave precompartida WPA/WPA2/SAE:

  ASCII: una cadena de caracteres ASCII con 8 a 63 caracteres de longitud (0-9, de la A a la Z en minúscula y mayúscula y caracteres especiales)

  Ejemplo: GREG123567 @9ZX &W

Los siguientes esquemas de autenticación utilizan el servidor RADIUS para administrar claves de autenticación:

• WPA/WPA2/WPA3: Utiliza la información del servidor RADIUS para generar claves únicas para la autenticación. Debido a que estas claves se generan en el servidor RADIUS centralizado, WPA2/WPA3 proporciona más seguridad que las claves precompartidas WPA que se almacenan en el AP y el teléfono.

• Roaming rápido y seguro: utiliza el servidor RADIUS y la información de un servidor de dominio inalámbrico (WDS) para administrar y autenticar claves. El WDS crea una caché de credenciales de seguridad para dispositivos cliente habilitados para FT para una reautenticación rápida y segura. Cisco Desk Phone 9861 y 9871 y Cisco Video Phone 8875 son compatibles con 802.11r (FT). Tanto por aire como por el DS son compatibles para permitir un roaming rápido y seguro. Pero recomendamos encarecidamente utilizar el método 802.11r (FT) sobre aire.

Con WPA/WPA2/WPA3, las claves de cifrado no se ingresan en el teléfono, sino que se derivan automáticamente entre el AP y el teléfono. Pero el nombre de usuario y la contraseña de EAP que se utilizan para la autenticación deben ingresarse en cada teléfono.

Para garantizar que el tráfico de voz sea seguro, el teléfono admite TKIP y AES para el cifrado. Cuando se utilizan estos mecanismos para el cifrado, tanto los paquetes SIP de señalización como los paquetes del Protocolo de transporte en tiempo real (RTP) de voz se cifran entre el AP y el teléfono.

TKIP

WPA utiliza cifrado TKIP que tiene varias mejoras con respecto a WEP. TKIP proporciona cifrado de clave por paquete y vectores de inicialización (IV) más largos que fortalecen el cifrado. Además, una verificación de integridad de mensajes (MIC) garantiza que los paquetes cifrados no se alteren. TKIP elimina la previsibilidad del WEP que ayuda a los intrusos a descifrar la clave WEP.

AES

Un método de cifrado utilizado para la autenticación WPA2/WPA3. Este estándar nacional para el cifrado utiliza un algoritmo simétrico que tiene la misma clave para el cifrado y el descifrado. AES utiliza el cifrado Cipher Blocking Chain (CBC) de 128 bits de tamaño, que admite tamaños de clave de 128 bits, 192 bits y 256 bits, como mínimo. El teléfono admite un tamaño de clave de 256 bits.

Los esquemas de autenticación y cifrado se configuran dentro de la LAN inalámbrica. Las VLAN se configuran en la red y en los AP y especifican diferentes combinaciones de autenticación y cifrado. Un SSID se asocia con una VLAN y el esquema particular de autenticación y cifrado. Para que los dispositivos cliente inalámbricos se autentiquen correctamente, debe configurar los mismos SSID con sus esquemas de autenticación y cifrado en los AP y en el teléfono.

Algunos esquemas de autenticación requieren tipos específicos de cifrado.

Los esquemas de autenticación y cifrado de la siguiente tabla muestran las opciones de configuración de red para el teléfono que corresponde a la configuración AP.

ASSURED Services SIP (AS-SIP) es una colección de características y protocolos que ofrecen un flujo de llamadas altamente seguro para teléfonos IP de Cisco y teléfonos de terceros. Las siguientes características se conocen colectivamente como AS-SIP:

• Precedencia y preferencia multinivel (MLPP)
• Punto de código de servicios diferenciados (DSCP)
• Seguridad de la capa de transporte (TLS) y protocolo seguro de transporte en tiempo real (SRTP)
• Protocolo de Internet versión 6 (IPv6)

AS-SIP se usa a menudo con Precedencia y Prevención Multinivel (MLPP) para priorizar las llamadas durante una emergencia. Con MLPP, asigna un nivel de prioridad a sus llamadas salientes, desde el nivel 1 (bajo) hasta el nivel 5 (alto). Cuando recibe una llamada, aparece un icono de nivel de precedencia en el teléfono que muestra la prioridad de llamada.

Para configurar AS-SIP, complete las siguientes tareas enCisco Unified Communications Manager:

• Configurar un usuario de resumen: configure el usuario final para que use la autenticación de resumen para las solicitudes SIP.
• Configurar el puerto seguro del teléfono SIP: Cisco Unified Communications Manager utiliza este puerto para escuchar teléfonos SIP para registros de línea SIP a través de TLS.
• Reiniciar servicios: después de configurar el puerto seguro, reinicie los Cisco Unified Communications Manager servicios de Cisco CTL Provider. Configure el perfil SIP para AS-SIP: configure un perfil SIP con configuraciones SIP para sus puntos finales AS-SIP y para sus enlaces troncales SIP. Los parámetros específicos del teléfono no se descargan en un teléfono AS-SIP de terceros. Son utilizados únicamente por Cisco Unified Manager. Los teléfonos de terceros deben configurar localmente los mismos ajustes.
• Configurar perfil de seguridad del teléfono para AS-SIP: puede usar el perfil de seguridad del teléfono para asignar configuraciones de seguridad como TLS, SRTP y autenticación de resumen.
• Configurar punto final AS-SIP: configure un teléfono IP de Cisco o un punto final de terceros con soporte AS-SIP.
• Asociar dispositivo con usuario final: asocie el punto final con un usuario.
• Configurar el perfil de seguridad troncal SIP para AS-SIP: puede usar el perfil de seguridad troncal SIP para asignar características de seguridad como TLS o autenticación de resumen a un tronco SIP.
• Configurar troncal SIP para AS-SIP: configure un tronco SIP con soporte AS-SIP.
• Configurar características AS-SIP: configure características AS-SIP adicionales como MLPP, TLS, V.150 e IPv6.

Para obtener información detallada sobre la configuración de AS-SIP, consulte el capítulo “Configurar puntos finales AS-SIP” en la Guía de configuración de características para. Cisco Unified Communications Manager

Cuando los Códigos de Autorización Forzada (FAC) o los Códigos de Materia del Cliente (CMC), o ambos están configurados en el teléfono, los usuarios deben ingresar las contraseñas requeridas para marcar un número.

Para obtener más información sobre cómo configurar FAC y CMC enCisco Unified Communications Manager, consulte el capítulo "Códigos de materia de cliente y códigos de autorización forzada" en la Guía de configuración de características para Cisco Unified Communications Manager la versión 12.5 (1) o posterior.

La función VPN de Cisco le ayuda a preservar la seguridad de la red al tiempo que brinda a los usuarios un método seguro y confiable para conectarse a su red corporativa. Utilice esta función cuando:

• Un teléfono se encuentra fuera de una red de confianza
• Tráfico de red entre el teléfono y Cisco Unified Communications Manager cruza una red que no es de confianza

Con una VPN, hay tres enfoques comunes para la autenticación del cliente:

• Certificados digitales
• Contraseñas
• Nombre de usuario y contraseña

Cada método tiene sus ventajas. Pero si su política de seguridad corporativa lo permite, le recomendamos un enfoque basado en certificados porque los certificados permiten un inicio de sesión sin interrupciones sin ninguna intervención del usuario. Se admiten certificados LSC y MIC.

Para configurar cualquiera de las funciones de VPN, aprovisionar primero el dispositivo en las instalaciones y luego puede implementar el dispositivo fuera de las instalaciones.

Para obtener más información sobre la autenticación de certificación y el trabajo con una red VPN, consulte Configurar AnyConnect VPN teléfono con autenticación de certificado en un ASA.

Con una contraseña, o un nombre de usuario y contraseña, se le solicita al usuario credenciales de inicio de sesión. Establezca las credenciales de inicio de sesión de usuario de acuerdo con la política de seguridad de su empresa. También puede configurar la opción Habilitar persistencia de contraseña para que la contraseña de usuario se guarde en el teléfono. La contraseña de usuario se guarda hasta que se produzca un intento de inicio de sesión fallido, un usuario borre manualmente la contraseña, o el teléfono se restablece o se pierda energía.

Otra herramienta útil es la opción Habilitar detección automática de red. Cuando habilita esta casilla de verificación, el cliente VPN solo puede ejecutarse cuando detecta que está fuera de la red corporativa. Esta configuración está deshabilitada de forma predeterminada.

Su teléfono Cisco es compatible con Cisco SVC iPphone Client v1.0 como tipo de cliente.

Para obtener más información sobre cómo configurar VPN enUnified CM, consulte la Guía de configuración de funciones para Cisco Unified Communications Manager.

La función VPN de Cisco utiliza Secure Sockets Layer (SSL) para preservar la seguridad de la red.