Merci pour votre commentaire.

Les fonctionnalités de sécurité offrent une protection contre les menaces, notamment les menaces relatives à l’identité du téléphone et aux données. Ces fonctionnalités établissent et maintiennent des flux de communication authentifiés entre le téléphone et le serveur Cisco Unified Communications Manager. De plus, elles veillent à ce que le téléphone utilise uniquement des fichiers à signature numérique.

Les versions 8.5(1) et ultérieures de Cisco Unified Communications Manager incluent Security par défaut, qui permet aux fonctionnalités de sécurité pour les téléphones IP Cisco d'être utilisées sans le client CTL :

• Signature des fichiers de configuration du téléphone

• Chiffrement des fichiers de configuration du téléphone

• HTTPS avec Tomcat et d'autres services Web

Implémenter la sécurité dans le système Cisco Unified Communications Manager permet de prévenir les usurpations d'identité pour le téléphone et le serveur Cisco Unified Communications Manager, la falsification des données ainsi que la falsification du signalement des appels et des flux multimédia.

Pour se protéger contre ces menaces, le réseau de téléphonie IP Cisco Unified établit et maintient des flux de communication sécurisés (chiffrés) entre un téléphone et le serveur, signe numériquement les fichiers avant leur transfert vers un téléphone et crypte les flux multimédia ainsi que le signalement des appels entre les téléphones IP Cisco Unified.

Lorsque vous effectuez les tâches nécessaires associées au CAPF (fonction proxy de l'autorité de certification), un LSC (certificat valable localement) est installé sur les téléphones. Vous pouvez utiliser Cisco Unified Communications Manager Administration pour configurer un LSC, comme décrit dans le Guide de sécurité Cisco Unified Communications Manager. Vous pouvez également lancer l'installation d'un LSC à partir du menu Sécurité du téléphone. Vous pouvez aussi effectuer dans ce menu la mise à jour ou la suppression du certificat LSC.

Les téléphones utilisent le profil de sécurité du téléphone, qui détermine si le périphérique est sécurisé ou non. Pour plus d'informations sur l'application du profil de sécurité au téléphone, consultez la documentation relative à votre version particulière de Cisco Unified Communications Manager.

Si vous configurez des paramètres de sécurité dans Cisco Unified Communications Manager Administration, sachez que le fichier de configuration du téléphone contient des informations sensibles. Pour garantir la confidentialité d'un fichier de configuration, vous devez configurer son chiffrement. Pour plus d'informations, reportez-vous à la documentation relative à votre version particulière de Cisco Unified Communications Manager.

Le tableau suivant fournit une vue d'ensemble des fonctionnalités de sécurité prises en charge par le téléphone. Pour obtenir plus d’informations, reportez-vous à la documentation de votre version de Cisco Unified Communications Manager.

Le tableau suivant contient les différents messages d'alerte de mise à jour de la liste de confiance ainsi que leur signification. Pour plus d'informations, reportez-vous à la documentation de Cisco Unified Communications Manager.

Lorsque la sécurité est appliquée à un téléphone, une icône s'affiche à l’écran du téléphone. Une tonalité de sécurité est également émise au début des appels lorsque le téléphone connecté est sécurisé et protégé.

Lors d’un appel sécurisé, tous les flux de signalisation d’appel et multimédia sont chiffrés. Les appels sécurisé offrent un niveau élevé de sécurité, ce qui assure leur intégrité et leur confidentialité. Lorsqu'un appel en cours est chiffré, l'icône de sécurité apparaît Sur la ligne.

Dans Cisco Unified Communications Manager, les téléphones configurés comme sécurisés (chiffrés et approuvés) peuvent se voir attribuer un état protégé. Une fois protégés, ces appareils peuvent être configurés pour émettre une tonalité de sécurité au début de chaque appel.

• Dispositif protégé :

  Pour remplacer l'état d'un téléphone sécurisé par protégé :

  1. Dans Cisco Unified Communications Manager Administration, sélectionnez Périphérique > Téléphone.
  2. Localisez le téléphone à configurer.
  3. Dans la fenêtre Configuration du téléphone, activez la case à cocher Périphérique protégé.
  4. Cliquez sur Enregistrer.

• Play Secure Indication Tone (Émettre la tonalité de sécurisation) :

  Pour que le téléphone protégé émette une tonalité indiquant que le téléphone protégé émet une tonalité de sécurisation ou de non-sécurisation :

  1. Dans Cisco Unified Communications Manager Administration, sélectionnez Paramètres système >Service.
  2. Sélectionnez le serveur, puis le service Cisco CallManager .
  3. Dans la zone Paramètres pour tout le cluster (fonctionnalité - tonalité de sécurité), définissez le paramètre Tonalité de lecture pour indiquer l'état de l'appel sécurisé/non sécurisé sur Vrai.
  4. Cliquez sur Enregistrer.

Tout périphérique WLAN étant à portée peut recevoir n'importe quel trafic WLAN : en conséquence, la sécurisation des communications voix est un élément essentiel des réseaux WLAN. Pour s'assurer que les intrus ne manipulent ni n'interceptent le trafic vocal, l'architecture Cisco SAFE Security prend en charge le téléphone. Pour plus d'informations sur la sécurité dans les réseaux, reportez-vous à http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

La solution de téléphonie Cisco Wireless IP assure la sécurité des réseaux sans fil, empêchant les connexions non autorisées et les communications dangereuses à l'aide des méthodes d'authentification suivantes prises en charge par le téléphone.

• Authentification ouverte : tout périphérique sans fil peut demander une authentification dans un système ouvert. Le point d'accès qui reçoit la requête peut accorder l'authentification à n'importe quel demandeur ou seulement aux demandeurs présents sur une liste d'utilisateurs. Les communications entre le périphérique sans fil et le point d'accès (AP) peuvent être non chiffrées.

• Authentification EAP-FAST (Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling) : cette architecture de sécurité client-serveur chiffre les transactions EAP dans un tunnel de sécurité de niveau de transport (TLS) entre le point d'accès et le serveur RADIUS, tel que Identity Services Engine (ISE).

  Le tunnel TLS utilise des identifiants PAC (Protected Access Credentials) lors de l'authentification du client (téléphone) avec le serveur RADIUS. Le serveur envoie un identifiant AID (Authority ID) au client (téléphone), qui sélectionne ensuite le PAC approprié. Le client (téléphone) renvoie un champ PAC-Opaque au serveur RADIUS. Le serveur déchiffre le PAC grâce à la clé principale. Les deux terminaux détiennent alors la clé PAC et un tunnel TLS est créé. EAP-FAST prend en charge le provisionnement automatique de PAC, mais vous devez activer cette option sur le serveur RADIUS.

  Dans ISE, par défaut, le PAC expire au bout d'une semaine. Si le téléphone détient un PAC qui a expiré, l'authentification avec le serveur RADIUS prend plus de temps, car le téléphone doit obtenir un nouveau PAC. Pour éviter les délais de provisionnement de PAC, configurez la durée de vie du PAC à 90 jours ou plus sur le serveur ISE ou RADIUS.

• L'authentification Extensible Authentication Protocol-Transport Layer Security (EAP-TLS)  : EAP-TLS requiert un certificat client pour l'authentification et l'accès au réseau. Pour le sans fil EAP-TLS, le certificat client peut être un certificat MIC, LSC, ou installé par l'utilisateur.

• Protocole PEAP (Protected Extensible Authentication Protocol) : modèle propriétaire Cisco d'authentification mutuelle via mot de passe entre le client (téléphone) et un serveur RADIUS. Le téléphone peut utiliser PEAP pour s'authentifier auprès du réseau sans fil. Les méthodes d'authentification PEAP-MSCHAPv2 et PEAP-GTC sont prises en charge.

• Pre-Shared Key (PSK) : le téléphone prend en charge les formats ASCII et hexadécimal (HEX). Vous devez utiliser ces formats lorsque vous configurez une clé pré-partagée WPA2/SAE.

  ASCII : chaîne de caractères ASCII de 8 à 63 caractères (0 à 9, lettres a-z minuscules, lettres A-Z majuscules et caractères spéciaux). Par exemple, GREG123567@9ZX&W.

  HEX : chaîne de caractères hexadécimaux comportant 64 chiffres hexadécimaux (0 à 9, a-f ou A à F).

Les modèles d'authentification suivants utilisent le serveur RADIUS pour gérer les clés d'authentification :

• WPA2/WPA3 : utilise les informations du serveur RADIUS pour générer des clés d'authentification uniques. Ces clés étant générées par le serveur RADIUS centralisé, WPA2/WPA3 assure une sécurité renforcée par rapport aux clés WPA pré-partagées stockées par le point d'accès et le téléphone.

• Itinérance sécurisée rapide : utilise le serveur RADIUS et les informations d'un serveur de domaine sans fil (WDS) pour gérer et authentifier les clés. Le serveur WDS crée un cache d'informations d'identification pour les périphériques clients compatibles FT, permettant ainsi une ré-authentification rapide et sécurisée.

Avec WPA2/WPA3, les clés de chiffrement ne sont pas saisies sur le téléphone, mais sont automatiquement dérivées entre le point d'accès et le téléphone. Toutefois, les nom d'utilisateur et mot de passe EAP utilisés pour l'authentification doivent être saisis sur chaque téléphone.

Pour protéger le trafic vocal sur la liaison sans fil, le téléphone prend en charge le chiffrement AES pour l'authentification WPA2/WPA3. AES est un chiffrement par bloc symétrique standardisé par le NIST. AES utilise une taille de bloc fixe de 128 bits et prend en charge les tailles de clé de 128 bits, 192 bits et 256 bits. Dans les réseaux Wi-Fi, AES est utilisé par des suites de chiffrement telles que CCMP ou GCMP, tandis que l'authentification est fournie séparément par PSK, SAE ou 802.1X/EAP, selon le mode de sécurité WLAN configuré. La suite de chiffrement prise en charge et la taille de la clé dépendent du modèle du téléphone et de la configuration WLAN.

Lorsque le téléphone utilise le chiffrement AES, les paquets de signalisation SIP et les paquets vocaux du protocole de transport en temps réel (RTP) sont chiffrés entre le point d'accès et le téléphone.

Les modèles d'authentification et de chiffrement sont configurés dans le LAN sans fil. Les VLAN sont configurés dans le réseau et sur les points d'accès. Ils spécifient différentes combinaisons d'authentification et de chiffrement. Un SSID s'associe avec un VLAN et avec un modèle spécifique d'authentification et de chiffrement. Pour que les périphériques clients sans fil réussissent à s'authentifier, vous devez configurer les mêmes SSID avec leurs modèles d'authentification et de chiffrement sur les points d'accès et le téléphone.

Certains modèles d'authentification nécessitent des types de chiffrement spécifiques.

Les modèles d'authentification et de chiffrement dans le tableau suivant montrent les options de configuration réseau pour le téléphone sans fil Cisco 9821 qui correspond à la configuration du point d'accès.

Cisco Le téléphone sans fil 9821 prend en charge l'authentification 802.1X pour les réseaux filaires. Ce paramètre est généralement utilisé lors de la mise à disposition automatique lorsque le téléphone est connecté au chargeur de bureau via un adaptateur USB-Ethernet pris en charge.

La prise en charge de l'authentification 802.1X sur les réseaux câblés requiert plusieurs composants :

• Téléphone IP Cisco : le téléphone envoie la requête d'accès au réseau. Les téléphones IP Cisco contiennent un demandeur 802.1X. Ce demandeur permet aux autoriser de contrôler la connectivité des téléphones IP aux ports de commutation LAN. La version actuelle du demandeur 802.1X du téléphone utilise les options EAP-FAST et EAP-TLS pour l’authentification réseau.

• Serveur d'authentification : le serveur d'authentification et le commutateur doivent tous deux être configurés avec un secret partagé RADIUS.

• Commutateur : le commutateur doit prendre en charge 802.1X, de sorte qu'il peut agir en tant qu'authentifiant et relayer les messages EAP entre le téléphone et le serveur d'authentification. Une fois l’échange terminé, le commutateur accorde ou refuse au téléphone l’autorisation d’accéder au réseau.

Les téléphones IP Cisco et les commutateurs Catalyst Cisco utilisent généralement le protocole de découverte Cisco (CDP) pour s’identifier entre eux et pour déterminer des paramètres tels que l’allocation d’un réseau VLAN et les exigences relatives à l'alimentation en ligne.

Vous devez effectuer les actions suivantes pour configurer 802.1X.

• Configurez le contournement CDP/LLDP voice VLAN.

• Configurez le serveur d'authentification et le commutateur avant d'activer l'authentification 802.1X pour les réseaux câblés sur le téléphone.

• Configure Voice VLAN (Configurer le VLAN voix) : la norme 802.1X ne tenant pas compte des VLAN, vous devez configurer ce paramètre en fonction de la prise en charge du commutateur.

  • Activé : Si vous utilisez un commutateur qui prend en charge l'authentification sur plusieurs domaines, vous pouvez le configurer pour utiliser la voix VLAN.
  • Désactivé : si le commutateur ne prend pas en charge l’authentification sur plusieurs domaines, désactivez le VLAN voix et envisagez d’affecter le port à un VLAN natif.

• Cisco Le téléphone sans fil 9821 a un préfixe différent dans le PID de celui des autres téléphones Cisco. Pour activer votre téléphone avec succès l'authentification 802.1x, définissez le Rayon· Paramètre Nom d'utilisateur pour inclure votre téléphone sans fil Cisco 9821.

  Par exemple, le PID du téléphone sans fil Cisco 9821 est WP-9821. Vous pouvez définir Radius· Nom d'utilisateur pour commencer par WP ou contient WP dans les deux sections suivantes :

  • Stratégie > Conditions > Conditions de la bibliothèque

  • Stratégie > Ensembles de stratégies > Autorisation Stratégie > Règle d'autorisation 1