Fyysinen turvallisuus

On tärkeää tarjota fyysinen turvallisuus Equinix Meet-Me Room -paikoille ja Cisco Dedicated Instance Data Center -tiloille. Kun fyysinen tietoturva vaarantuu, voidaan käynnistää yksinkertaisia hyökkäyksiä, kuten palvelun keskeytyminen katkaisemalla virran asiakkaan kytkimiin. Fyysisen pääsyn avulla hyökkääjät voivat päästä palvelinlaitteisiin, nollata salasanat ja päästä käsiksi kytkimiin. Fyysinen pääsy helpottaa myös kehittyneempiä hyökkäyksiä, kuten man-in-the-middle -hyökkäyksiä, minkä vuoksi toinen tietoturvakerros, verkkoturvallisuus, on kriittinen.

Itsesalautuvia asemia käytetään Dedicated Instance Data Centerissä, jotka isännöivät UC-sovelluksia.

Lisätietoja yleisistä tietoturvakäytännöistä on seuraavassa osoitteessa: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Verkkoturva

Kumppaneiden on varmistettava, että kaikki verkkoelementit on suojattu Dedicated Instance -infrastruktuurissa (joka muodostaa yhteyden Equinixin kautta). Kumppanin vastuulla on varmistaa turvallisuuden parhaat käytännöt, kuten:

• Erillinen VLAN äänelle ja datalle

• Ota portin suojaus käyttöön, joka rajoittaa sallittujen MAC-osoitteiden määrää porttia kohden CAM-taulukon tulvia vastaan

• IP-lähteen suojaus väärennettyjä IP-osoitteita vastaan

• Dynaaminen ARP-tarkastus (DAI) tutkii osoitteenratkaisuprotokollan (ARP) ja maksuttoman ARP: n (GARP) rikkomusten varalta (ARP-huijausta vastaan)

• 802.1x rajoittaa verkkoon pääsyä laitteiden todentamiseen määritetyissä VLAN-verkoissa (puhelimet tukevat 802.1x: tä)

• Palvelun laadun (QoS) konfigurointi äänipakettien asianmukaista merkitsemistä varten

• Palomuuriporttien kokoonpanot muun liikenteen estämiseksi

Päätepisteiden suojaus

Ciscon päätepisteet tukevat oletusarvoisia suojausominaisuuksia, kuten allekirjoitettua laiteohjelmistoa, suojattua käynnistystä (valitut mallit), valmistajan asennettua varmennetta (MIC) ja allekirjoitettuja määritystiedostoja, jotka tarjoavat tietynlaisen suojaustason päätepisteille.

Lisäksi kumppani tai asiakas voi ottaa käyttöön lisäsuojauksen, kuten:

• Salaa IP-puhelinpalvelut (HTTPS: n kautta) palveluille, kuten Extension Mobility

• Myönnä paikallisesti merkittäviä varmenteita (LSC) varmenteen myöntäjän välitystoiminnon (CAPF) tai julkisen varmenteen viranomaisen (CA) kautta

• Salaa määritystiedostot

• Salaa tietoväline ja signalointi

• Poista nämä asetukset käytöstä, jos niitä ei käytetä: PC-portti, PC Voice VLAN Access, maksuton ARP, Web Access, Asetukset-painike, SSH, konsoli

Turvamekanismien käyttöönotto Dedicated Instancessa estää puhelimien ja Unified CM palvelimen identiteettivarkaudet, tietojen peukaloinnin ja puhelun signaloinnin tai mediavirran peukaloinnin.

Dedikoitu instanssi verkon kautta:

• Luo ja ylläpitää todennettuja viestintävirtoja

• Allekirjoittaa tiedostot digitaalisesti ennen tiedoston siirtämistä puhelimeen

• Salaa mediavirrat ja puhelun signaloinnin Cisco Unified IP -puhelimien välillä

Suojaus sisältää oletusarvoisesti seuraavat automaattiset suojausominaisuudet Cisco Unified IP -puhelimille:

• Puhelimen määritystiedostojen allekirjoittaminen

• Puhelimen kokoonpanotiedostojen salauksen tuki

• HTTPS Tomcatin ja muiden verkkopalvelujen kanssa (MIDlets)

Myö Unified CM hemmässä versiossa 8.0 nämä suojausominaisuudet tarjotaan oletusarvoisesti suorittamatta Certificate Trust List (CTL) -asiakasohjelmaa.

Koska verkossa on paljon puhelimia ja IP-puhelimissa on rajallinen muisti, se Cisco Unified CM toimii luottamuksen vahvistuspalvelun (TVS) kautta etäluottamusvarastona, joten varmenteiden luottamusvarastoa ei tarvitse sijoittaa jokaiseen puhelimeen. Ciscon IP-puhelimet ottavat yhteyttä TVS-palvelimeen vahvistusta varten, koska ne eivät voi vahvistaa allekirjoitusta tai varmennetta CTL- tai ITL-tiedostojen kautta. Keskitettyä luottamusvarastoa on helpompi hallita kuin luottamusvarastoa jokaisessa Cisco Unified IP -puhelimessa.

TVS antaa Cisco Unified IP -puhelimille mahdollisuuden todentaa sovelluspalvelimet, kuten EM-palvelut, hakemisto ja MIDlet, HTTPS-perustamisen aikana.

Initial Trust List (ITL) -tiedostoa käytetään alkuperäiseen suo jaukseen, jotta päätepisteet voivat luottaa. Cisco Unified CM ITL ei tarvitse mitään suojausominaisuuksia, jotka otetaan käyttöön nimenomaisesti. ITL-tiedosto luodaan automaattisesti, kun klusteri asennetaan. Unified CMTrivial File Transfer Protocol (TFTP) -palvelimen yksityistä avainta käytetään ITL- tiedoston allekirjoittamiseen.

Kun Cisco Unified CM klusteri tai palvelin ei ole suojatussa tilassa, ITL-tiedosto ladataan jokaiseen tuettuun Cisco-IP-puhelimeen. Kumppani voi tarkastella ITL-tiedoston sisältöä CLI-komennolla, ad min:show itl.

Ciscon IP-puhelimet tarvitsevat ITL-tiedoston seuraavien tehtävien suorittamiseen:

• Kommunikoi turvallisesti CAPF: lle, joka on edellytys kokoonpanotiedostojen salauksen tukemiselle

• Määritystiedoston allekirjoituksen todentaminen

• Todennista sovelluspalvelimet, kuten EM-palvelut, hakemisto ja MIDlet HTTPS-perustamisen aikana TVS: n avulla

Laite-, tiedosto- ja signalointitodennus perustuu Certificate Trust List (CTL) -tiedoston luomiseen, joka luodaan, kun kumppani tai asiakas asentaa ja määrittää Cisco Certificate Trust List Client -ohjelman.

CTL-tiedosto sisältää merkintöjä seuraaville palvelimille tai tietoturvatunnuksille:

• Järjestelmänvalvojan tietoturvatunnus (SAST)

• Cisco CallManagerja Cisco TFTP -palvelut, jotka toimivat samalla palvelimella

• Certificate AuthorityVälityspalvelintoiminto (CAPF)

• TFTP-palvelin

• ASA-palomuuri

CTL-tiedosto sisältää palvelinvarmenteen, julkisen avaimen, sarjanumeron, allekirjoituksen, liikkeeseenlaskijan nimen, aiheen nimen, palvelimen toiminnon, DNS-nimen ja IP-osoitteen kullekin palvelimelle.

Puhelimen suojaus CTL: llä tarjoaa seuraavat toiminnot:

• TFTP-ladattujen tiedostojen todentaminen (kokoonpano, kieli, soittolista jne.) allekirjoitusavaimen avulla

• TFTP-määritystiedostojen salaus allekirjoitusavaimella

• Salattu puhelun signalointi IP-puhelimille

• Salattu puheluääni (media) IP-puhelimille

Dedicated Instance tarjoaa päätepisteiden rekisteröinnin ja puhelujen käsittelyn. Päätepisteiden Cisco Unified CM välinen signalointi perustuu Secure Skinny Client Control Protocol (SCCP) tai Session Initiation Protocol (SIP) -protokollaan, ja se voidaan salata käyttämällä Transport Layer Security (TLS). Tietoväline päätepisteistä/päätepisteisiin perustuu RTP (Real-Time Transport Protocol) -protokollaan, ja se voidaan myös salata Secure RTP (SRTP) -sovelluksella.

Sekoitetun tilan ottaminen Unified CM käyttöön mahdollistaa Ciscon päätepisteistä lähtevän signaloinnin ja medialiikenteen salauksen.

Suojatut UC-sovellukset

Sekoitettu tila on oletusarvoisesti käytössä Dedicated Instancessa.

Sekoitetun tilan ottaminen käyttöön Dedicated Instancessa mahdollistaa Ciscon päätepisteiden signalo inti- ja medialiikenteen salauksen.

Julkais Cisco Unified CM usta 12.5 (1) lähtien Jabber- ja Webex-asiakkaille lisättiin uusi vaihtoehto, jolla salataan SIP OAuthin perusteella signaloinnin ja median salaus sekoitetun tilan/CTL sijasta. Siksi Unified CM julkais ussa 12.5 (1) SIP OAuthia ja SRTP: tä voidaan käyttää salaamaan signaalin ja median salaus Jabber- tai Webex-asiakkaille. Sekoitet un tilan käyttöönotto vaaditaan edelleen Ciscon IP-puhelimissa ja muissa Ciscon päätepisteissä tällä hetkellä. Suunnitelmissa on lisätä SIP OAuthin tuki 7800/8800 -päätepisteissä tulevassa julkaisussa.

Viestinnän turvaaminen CUBECisco Unified CM: n välillä

Suojattu viestintä CUBE: n Cisco Unified CM ja CUBE: n välillä kumppaneiden/asiakkaiden on käytettävä joko itse allekirjoitettua varmentetta tai CA-allekirjoitettuja varmenteita.

Itse allekirjoitettujen varmenteiden osalta:

1. CUBE ja Cisco Unified CM luo itse allekirjoitettuja varmenteita

2. CUBE vie todistuksen osoitteeseen Cisco Unified CM

3. Cisco Unified CMvientitodistus CUBE:hen

CA-allekirjoitetut varmenteet:

1. Asiakas luo avainparin ja lähettää varmenteen allekirjoituspyynnön (CSR) (CA) Certificate Authority

2. CA allekirjoittaa sen yksityisellä avaimellaan ja luo henkilöllisyystodistuksen

3. Asiakas asentaa luotettujen CA-päävarmenteiden ja välittäjävarmenteiden luettelon sekä henkilöllisyystodistuksen

Protokollan yhteenveto

Seuraavassa taulukossa on esitetty Unified CM ratkaisussa käytetyt protokollat ja niihin liittyvät palvelut.

Lisätietoja MRA-määrityksistä on kohdassa Mobiili- ja käyttöönotto- oppaan MRA-käyttöönot toskenaari ot -osi Remote Access ossa Cisco Expressway .

Jabberin ja Webexin suojaaminen SIP OAuthin avulla

Jabber- ja Webex-asiakkaat todennetaan OAuth-tunnuksella paikallisesti merkittävän varmenteen (LSC) sijasta, joka ei vaadi varmenteen myöntäjän välityspalvelintoiminnon (CAPF) käyttöönottoa (myös MRA). SIP OAuth, joka toimii sekoitetun tilan kanssa tai ilman, otettiin käyttöön versioissa Cisco Unified CM 12.5 (1) ja uudemmissa, Jabber 12.5: ssä ja uudemmissa sekä Express way X12.5: ssä.

Cisco Unified CM12.5: ssä ja uudemmissa versioissa meillä on uusi vaihtoehto puhelimen suojausprofiilissa, joka mahdollistaa salauksen ilman LSC/CAPF: tä käyttämällä yhden Transport Layer Security (TLS) + OAuth-tunnuksen SIP REGISTERissä. Expressway-C-solmut käyttävät AXL (Administrative XML Web Service) -sovellusliittymää ilmoittaakseen SN/SAN-tiedostosta Cisco Unified CM varmenteessaan. Cisco Unified CMkäyttää näitä tietoja Exp-C-sertifikaatin vahvistamiseen keskinäisen TLS-yhteyden muodostam isessa.

SIP OAuth mahdollistaa median ja signaloinnin salauksen ilman päätepistetodistusta (LSC).

Cisco Jabberkäyttää Ephemeral-portteja ja suojattuja portteja 6971 ja 6972 HTTPS-yhteyden kautta TFTP-palvelimeen asetustiedostojen lataamiseen. Portti 6970 on suojaamaton portti ladattavaksi HTTP: n kautta.

Lisätietoja SIP OAuth -kokoonpanosta: SIP O Auth -tila.