Vaadittava toimenpide: eMUDHRA-varmenteen myöntäjän suojauspäivitys Webex Calling Local Gateways -järjestelmälle

Lokakuussa 2026 tapahtuneen eMUDHRA-varmenneviranomaisen (CA) tietoturvatapahtuman jälkeen luottamus neljään Webex Calling päävaltuutukseen poistettiin. Jos varmentepohjainen paikallisen yhdyskäytävän runko on riippuvainen jostakin näistä viranomaisista, korvaa kyseinen varmenne tai ketju varmistaaksesi suojatun TLS-yhteyden. Jos kyseessä oleva runko on offline-tilassa, saapuvat ja lähtevät PSTN-puhelut ja siitä riippuvat paikalliset integraatiot eivät ehkä ole käytettävissä.

Asianomaiset juurivarmenteet ovat:

emSign Root TLS-CA - G3
EmSign ECC Root CA - G3
emSign Root CS CA - G3
AAA-sertifikaattipalvelut (Comodo AAA Services root)

AAA-sertifikaattipalvelut eivät vaarantuneet. Se kuitenkin ristiallekirjoitti kyseiset eMUDHRA-välitustodistukset tarjoamalla vaihtoehtoisen luottamuspolun vaarantuneille varmenteille.

Tämä vaikuttaa asiakkaisiin, jotka käyttävät varmentepohjaisia paikallisia yhdyskäytäviä (LGW), joiden varmenteketjut ovat riippuvaisia näistä viranomaisista. Tämä sisältää Sectigon myöntämät varmenteet, jotka ketjuvat AAA-sertifikaattipalveluihin UserTrustin kautta.

Webex Callinghylkää nyt TLS-yhteydet asianomaisista paikallisista yhdyskäytävistä. Saapuvat ja lähtevät PSTN-puhelut ja paikalliset puheluintegraatiot, jotka perustuvat näihin yhdyskäytäviin, epäonnistuvat.

Suorita sovellettava komento valtuutetulta tietokoneelta, joka pääsee yhdyskäytävän SIP TLS-porttiin. Korvaa lgw.example.com ja 5061 yhdyskäytävän isäntänimellä ja TLS-portilla. Jos ulkoinen käyttö on rajoitettu, suorita komento valtuutetulta sisäiseltä hallintaisännältä.

Linux tai macOS:

openssl s_client -connect lgw.example.com:5061 -showcerts </dev/null

Windowsin komentokehote:

openssl s_client -connect lgw.example.com:5061 -showcerts <NUL

Ennen kuin aloitat

Tarvitset käyttöoikeuden Control Hubiin, jolla on oikeus tarkastella organisaation runkoja.
Yhdyskäytävän isäntänimi ja SIP TLS-portti jokaiselle ensisijaiselle, redundanttille ja varmuuskopiointiyhdyskäytävälle.
Pääsy valtuutettuun tietokoneeseen, jossa on OpenSSL, joka voi saavuttaa jokaisen yhdyskäytävän päätepisteen.

Tunnista paikalliset yhdyskäytävän rungot.

Valitse Ohjauskeskuksessa Palvelut > PSTN ja reititys > Yh dyskäytävän kokoonpan ot > Runko.
Cisco-puhelupakettia käyttäville asiakkaille runkoluettelo on saatavana myös kohdasta Palvelu > So ittaminen > Puhelun reititys > Runko.
Tunnista varmentepohjaiset rungot ja tallenna määritetty FQDN- tai SRV-osoite, yhdyskäytävän isäntänimi ja SIP TLS-portti. Toista redundanttien ja varmuuskopiointiyhdyskäytävien osalta.

Tarkasta kunkin yhdyskäytävän varmenteketju.

Suorita sovellettava OpenSSL-komento. Tulostus näyttää paikallisen yhdyskäytävän esittämät varmenteet; se ei varmista itsenäisesti koko ketjua Webex Calling luottamusvarastoon nähden.
TLS-kädenpuristusvirhe tai epäonnistunut OpenSSL-vahvistus ei osoita, että tämä luottamuspäivitys vaikuttaa yhdyskäytävään.

Tarkista todistuksen aiheet ja liikkeeseenlaskijat.

Tarkista Sertifikaattiketju -osiossa kunkin todistuksen aihe (t) ja myöntäjä (i:). Tarkista yleinen nimi (CN) ja jokainen ketjun merkintä yllä lueteltujen epäluottamuksellisten viranomaisten varalta.
Esimerkiksi merkintä, jonka aihe on CN=UserTrust RSA Certification Authority ja myöntäjä CN=AAA Certificate Services, tunnistaa AAA Certificate Servicesin myöntämän varmenteen.

Tulkitse tarkastustulokset.

Todistusketjun tulos	Tila
Mikä tahansa s: tai i: -rivi näyttää AAA-sertifikaattipalvelut tai asianomaisen emSign-viranomaisen	Vaikuttaa. Korjaa nyt.
Yksikään asianomaisista viranomaisista ei ilmesty, ja tavaratila on Online Control Hubissa	Ei vaikuttanut.
Yksikään asianomaisista viranomaisista ei ilmesty, mutta tavaratila on offline-tilassa	Ota yhteyttä yhteistyökumppani Cisco TAC in tai varmista Ciscon asiakasluettelo.
Yhteys katkeaa tai varmenteketjua ei palauteta	Epäselvä. Varmista verkkoyhteys yhdyskäytävän TLS-porttiin ja yritä uudelleen.

Yhdyskäytävään vahvistetaan, että se ei vaikuta vain, jos mikään luetelluista juurista ei näy ja runko on Online Control Hubissa.

Korvaa kyseinen varmenteketju.

Ota yhteyttä varmenteen tarjoajaan saadaksesi korvaavan varmenteen tai vaihtoehtoisen ketjun, joka päättyy luotettuun pääkäyttäjään. Webex Calling Monissa tapauksissa olemassa oleva yhdyskäytävävarmenne voidaan säilyttää ja vain väliketju korvata. Asianomaisten Sectigo-käyttöönottojen osalta tämä voi edellyttää AAA-ristiallekirjoitetun UserTrust-varmenteen korvaamista sopivalla vaihtoehdolla.
Asenna päivitetty varmenteketju paikalliseen yhdyskäytävään ja toista varmenteen tarkistus.
Varmista, että runko näyttää Online Control Hubissa ja testaa saapuvat ja lähtevät puhelut.

Varmista paikallisen yhdyskäytävän yhteys.

Toista OpenSSL-tarkastus ja varmista, että korvaava ketju ei enää riipu epäluuloisista viranomaisista.
Varmista Control Hub -kohdassa, että rungossa näkyy Online.
Testaa saapuvat ja lähtevät PSTN-puhelut ja paikalliset puheluintegraatiot, jotka käyttävät runkoa.
Toista varmennus varmuuskopioinnin ja redundanttien yhdyskäytävien osalta.

Mitä tehdä seuraavaksi

Jos ketju näyttää oikealta, mutta runko pysyy Offline-tilassa, Heikentynyt tai Tuntematon:

Varmista, että varmenne on kelvollinen ja asennettu oikein.
Tarkista koko välivaiheen CA-ketju ja odotettu varmenteen tunnistetiedot.
Tarkista yhdyskäytävän TLS-yhteys- ja varmenteiden vahvistusvirheet.
Ota yhteyttä varmenteiden tarjoajaan, Cisco-kumppani Cisco Technical Assistance Center in tai (TAC), jos ongelma jatkuu. Kun otat yhteyttäCisco Technical Assistance Center, anna organisaatiosi tunnus, kyseiset runko-tiedot, yhdyskäytävän isäntänimi, varmenteketjun tiedot ja asiaankuuluvat TLS-virheilmoitukset.

Aiheeseen liittyvät tiedot:

Cisco AI Assistant

Kiitos palautteestasi.

Pienyritys

Enterprise

Laitteet

Ratkaisut:

Resurssit

Yritys