Merci pour votre commentaire.

Services et composants principaux de Webex Meetings

• Webex Meetings fait partie de la suite Webex et propose audio/video visioconférence avec partage de contenu et fonctionnalités de webconférence.
• La plateforme comprend de multiples microservices tels que le service de réunions, le service de webinaires, le service d'identité, le service d'enregistrement, le service d'assistant IA, le service d'analyse, le service d'administration et le service multimédia.
• Webex Meetings prend en charge les applications et les appareils enregistrés dans le cloud, permettant aux utilisateurs de rejoindre des réunions depuis différentes plateformes et appareils. Les utilisateurs peuvent également participer à des réunions via le réseau téléphonique public commuté (RTPC) et avec des terminaux SIP.

Architecture et déploiement

• Les services Webex Meetings sont régionalisés et répliqués sur plusieurs centres de données indépendants afin de garantir la redondance et une haute disponibilité.
• Les services multimédias sont distribués à l'échelle mondiale grâce à des clusters de serveurs multimédias dans chaque centre de données, assurant une redondance locale et géographique.
• Les serveurs multimédias gèrent la voix, la vidéo et le partage de contenu, les médias étant généralement cryptés à l'aide d'AES-256-GCM.
• L'architecture prend en charge la signalisation chiffrée sur TLS/HTTPS et les flux multimédias cryptés.

Webex permet de rejoindre des réunions depuis plusieurs plateformes et appareils, notamment :

• Application de bureau Webex disponible sur Windows, Mac et Linux.
• Application mobile Webex sur Android et iOS.
• Application Webex compatible avec Chrome, Edge, Safari, Firefox et autres navigateurs.
• Dispositifs de salle et de bureau Cisco.
• Terminaux audio et vidéo tiers basés sur les normes SIP.
• Appareils du réseau téléphonique public commuté (RTPC).

Souveraineté du client Webex

Pour répondre à la demande croissante en matière de résidence des données, Webex a introduit des fonctionnalités de souveraineté améliorées. Grâce à l'enregistrement, et avec la prise en charge d'autres services à venir, les organisations peuvent désormais garder le contrôle sur le contenu de leurs réunions grâce à :

• Traitement localisé— Traitement du contenu des réunions, tel que les enregistrements, au sein de leur propre infrastructure.
• Stockage sur site— Utilisation de leurs propres services de stockage de fichiers pour héberger les ressources sensibles des réunions, garantissant que les données restent dans des limites géographiques ou organisationnelles spécifiées.

Réunions Webex ultra sécurisées

Historiquement, les fonctionnalités « ultra sécurisées », telles que le chiffrement de bout en bout Zero Trust (E2EE), nécessitaient souvent un compromis dans la fonctionnalité des réunions, car les services à valeur ajoutée basés sur le cloud exigeaient l'accès aux clés de chiffrement, et seul un nombre limité de types de terminaux pouvaient participer à ces réunions. Webex a éliminé ce compromis grâce à :

• Zero Trust riche en fonctionnalités— Webex a transformé les réunions Zero Trust chiffrées de bout en bout (E2EE), en ajoutant des fonctionnalités qui rendent les réunions Zero Trust riches en fonctionnalités. La prise en charge d'un plus grand nombre de types de terminaux offre une expérience fluide sans sacrifier les outils nécessaires à la collaboration moderne.
• Zero Trust pour les réunions standard— Webex a intégré les capacités Zero Trust E2EE directement dans les réunions standard. Cela garantit que même la collaboration quotidienne puisse bénéficier des plus hauts niveaux de sécurité, assurant une protection constante dans l'ensemble de l'écosystème Webex.

Une approche unifiée de la collaboration

En intégrant la souveraineté client à ces fonctionnalités avancées de chiffrement de bout en bout Zero Trust, Webex permet aux organisations d'atteindre un double objectif : Organiser des réunions hautement sécurisées (Zero Trust) dans le cloud Webex tout en conservant un contrôle total sur le traitement et le stockage sur site du contenu critique des réunions. Cette synergie offre la flexibilité et la sécurité nécessaires aux environnements d'entreprise modernes, axés sur la conformité.

Extension du périmètre de sécurité avec un nœud de maillage vidéo

L'ajout d'un nœud Video Mesh à une organisation permet aux clients de fournir des services de réunion sur site et permet à leurs terminaux sur site de rejoindre n'importe quelle réunion Webex. Du point de vue de la sécurité, l'intégration d'un nœud Video Mesh maintient le principe de confiance zéro au sein du cloud Webex tout en offrant des fonctionnalités quasi identiques à celles des réunions Webex standard. Les clients bénéficient également de la souveraineté des données, car des services tels que les enregistrements des réunions Video Mesh Node sont traités et stockés sur site.

L'utilisation du chiffrement de bout en bout Zero Trust peut ajouter quelques secondes à l'accès à une réunion, mais elle offre une garantie de sécurité claire : seuls les participants à la réunion ont accès aux clés de chiffrement, de sorte que le contenu de la réunion ne peut pas être déchiffré par le fournisseur de services ou d'autres intermédiaires.

Résumé : Réunions Webex et modèles de déploiement hybrides

Comme le montre la comparaison ci-dessus, le déploiement de Video Mesh Node (VMN) permet aux réunions Webex Zero Trust d'atteindre une quasi-parité fonctionnelle avec les réunions Webex standard. Bien que les réunions Zero Trust ne prennent pas en charge les participants du réseau téléphonique public commuté (RTPC), l'application Webex constitue une alternative largement disponible pour un accès chiffré de bout en bout. De plus, VMN permet aux employés de bureau utilisant des téléphones fixes de participer facilement à des réunions Zero Trust.

Video Mesh Node garantit également la souveraineté des données pour le contenu critique des réunions, y compris les enregistrements et, dans un avenir proche, les transcriptions, les résumés et les points d'action. En traitant et en stockant ces données sur site, VMN offre à ses clients un contrôle total sur leurs informations tout en maintenant une architecture Zero Trust au sein du cloud Webex.

Signalisation Webex chiffrée

Les services Webex prennent en charge les versions TLS 1.2 et 1.3, la version TLS 1.3 étant privilégiée lorsqu'elle est prise en charge par le point de terminaison de connexion. Si un client ne prend en charge que TLS 1.2, le serveur Webex sélectionne la suite de chiffrement courante la plus robuste proposée par le client. Contrairement à TLS 1.2, TLS 1.3 n'utilise pas la sélection de suites de chiffrement préférées du serveur car il repose sur un ensemble plus restreint et soigneusement sélectionné de chiffrements modernes. Cette conception simplifie le processus de sélection, en mettant davantage l'accent sur les améliorations de performance telles que la réduction de la longueur globale de la poignée de main, tout en maintenant une sécurité élevée. Les suites de chiffrement TLS 1.2 et 1.3 utilisées par Webex sont bien définies et priorisées afin de garantir une communication sécurisée.

Suites de chiffrement TLS

Suites de chiffrement TLS 1.3 (les serveurs TLS 1.3 n'utilisent pas d'ordre de préférence pour la sélection des suites)

Suites de chiffrement TLS 1.2 (suites dans l'ordre de préférence du serveur)

Les algorithmes de chiffrement AES_- 256_CBC et AES_- 128_CBC sont pris en charge afin de garantir la compatibilité avec les systèmes existants, les navigateurs anciens et les appareils embarqués ne prenant pas en charge les algorithmes AEAD (Authenticated Encryption with Associated Data) modernes tels que AES-GCM (par exemple, Internet Explorer 11 sous Windows 7 et Windows 8.1, Safari). 6/7/8 Les premières versions d'iOS et de MacOS utilisaient des chiffrements basés sur CBC.

Le CHACHA20_POLY1305 est un chiffrement de flux qui a une faible dépendance au matériel, ce qui en fait un chiffrement supérieur à utiliser sur des appareils mobiles ou des appareils dotés de processeurs à faible consommation.

Normes de chiffrement des médias pour Webex

Les réunions et les appels Webex utilisent un chiffrement AES robuste pour tous les paquets multimédias. La suite de chiffrement spécifique dépend du type de terminal, AES-256-GCM étant la norme privilégiée pour une sécurité optimale.

Considérations clés en matière de sécurité

• Norme préférée— AES-256-GCM est le chiffrement recommandé pour tous les déploiements afin de garantir le plus haut niveau d'intégrité et de confidentialité des données.
• Interopérabilité— Bien que Webex conserve la prise en charge des anciens chiffrements (tels que AES-CM-128-HMAC-SHA1) pour assurer l'interopérabilité avec les systèmes SIP et H.323 tiers, les organisations qui privilégient une architecture zéro confiance devraient appliquer AES-256-GCM lorsque la compatibilité des appareils le permet.

Protocoles de transport de médias

Webex prend en charge le transport multimédia via UDP, TCP ou TLS. Pour des performances optimales en matière de voix et de vidéo, Cisco recommande fortement UDP.

Considérations relatives aux performances :

• Efficacité en temps réel— L'UDP est le transport préféré pour les médias en temps réel car il minimise la latence et la gigue en évitant les mécanismes de retransmission et de mise en mémoire tampon inhérents aux protocoles orientés connexion.
• Impact de TCP/TLS— Alors que TCP et TLS assurent une livraison de données fiable et ordonnée, ce comportement est contre-productif pour les médias en temps réel. Les retransmissions de paquets et la mise en mémoire tampon du flux qui en résultent introduisent de la latence et de la gigue, ce qui peut dégrader considérablement la qualité de l'expérience des participants.

Webex utilise SRTP et SFrame pour les médias

Pour maintenir les normes de sécurité élevées requises pour les environnements WebexZero Trust, il est important de faire la distinction entre la sécurité au niveau du transport (SRTP) et le chiffrement de bout en bout au niveau de l'application (SFrame).

Principales distinctions techniques — SRTP & SFrame

1. SRTP (Secure Real-time Transport Protocol)

   SRTP est la norme du secteur pour la sécurisation des flux multimédias en transit.

   • Portée— Il assure la confidentialité, l'authentification des messages et la protection contre la relecture pour la charge utile RTP.
   • Contexte opérationnel— Dans de nombreuses architectures, le serveur multimédia/passerelle multimédia (unité de transfert sélectif (SFU)) met fin à la connexion SRTP pour effectuer le traitement multimédia (par exemple, le mixage, la composition de la mise en page ou le transcodage). Étant donné que l'unité SFU décrypte le support pour le traiter, ce dernier est techniquement vulnérable au niveau de l'unité SFU.
2. SFrame (Cadre sécurisé)

   SFrame est une norme IETF. RFC 9605 est conçu spécifiquement pour faciliter un véritable chiffrement de bout en bout dans un environnement de conférence multipartite.

   • Portée— Il chiffre les trames multimédias en paquets avant qu'elles ne soient encapsulées dans des paquets RTP. Webex ajoute une couche de chiffrement supplémentaire grâce au protocole SRTP.
   • Architecture Zero Trust— Parce que le média est chiffré au niveau de l'application, le SFU agit uniquement comme un relais « aveugle ». Il achemine les paquets chiffrés vers d'autres participants sans jamais avoir accès aux clés de déchiffrement.
   • Indépendance— SFrame est indépendant du transport. Il reste sécurisé même si le transport sous-jacent (UDP/TCP/TLS) est compromise, car le contexte de sécurité est lié aux points de terminaison des participants plutôt qu'à la connexion de transport.

SFrame est le mécanisme essentiel qui permet le chiffrement de bout en bout. Alors que SRTP garantit le chiffrement des données lors de leur transit sur le réseau, SFrame garantit que les médias restent chiffrés tout au long du cycle de vie de la réunion, y compris lorsqu'ils résident sur l'infrastructure de Cisco (le SFU), supprimant ainsi le fournisseur de services de la limite de confiance.

Contenu des réunions Webex

Le contenu de la réunion est constitué de données créées par les participants ou générées par les services Webex pour le compte de l'organisateur de la réunion. Ces modifications sont les suivantes :

• Contenu lié aux médias— Enregistrements, transcriptions, résumés et points d'action.
• Données de collaboration— Messages de chat, shared/transferred fichiers, tableaux blancs et annotations.

Sécurité du contenu des réunions Webex — Chiffrement de bout en bout Webex

Webex sécurise le contenu des réunions généré par les participants grâce à un cadre de chiffrement de bout en bout (E2EE) robuste. Au cœur de cette architecture se trouve le Webex Key Management Service (KMS), qui est responsable de la génération, de la distribution et de la gestion des clés de chiffrement pour tout le contenu généré par l'utilisateur.

Couches de sécurité du contenu des réunions

• Données en transit— L'application Webex et les périphériques vidéo Cisco utilisent le chiffrement de bout en bout Webex (E2EE) avec AES-256-GCM pour chiffrer le contenu de réunion généré par l'utilisateur, tel que les fichiers d'enregistrement, les fichiers de résumé IA, les messages de chat, etc. Ce système est en outre intégré au protocole TLS (Transport Layer Security) afin de fournir une protection à double couche lors de la transmission.
• Données au repos— Une fois stockées dans le cloud Webex, les données chiffrées sont en outre protégées par le chiffrement de disque AES-256-GCM.
• Profil de protection— Cette approche protège le contenu contre l'interception TLS pendant le transit et garantit que les données stockées restent inaccessibles aux acteurs non autorisés dans l'environnement cloud.

Chiffrement de bout en bout Webex avec accès au contenu géré pour les services principaux

Contrairement au chiffrement de bout en bout Zero Trust, où Webex n'a pas accès aux clés de chiffrement des médias ou du contenu, le chiffrement de bout en bout de Webex permet à la plateforme d'utiliser les clés générées par Webex KMS pour déchiffrer les données des services essentiels. Cet accès géré permet :

• Recherche et indexation— Permet aux utilisateurs de rechercher dans l'historique du contenu.
• Conformité et gouvernance— Permet la prévention des pertes de données (DLP), la découverte électronique et l'archivage des données.
• Optimisation des médias— Prend en charge le transcodage des fichiers pour une compatibilité multi-appareils.
• Sécurité— Facilite l'analyse des logiciels malveillants à l'aide du pack de sécurité étendu.

Métadonnées des réunions Webex

Les métadonnées des réunions consistent en les informations administratives et techniques générées par le système pour faciliter, suivre et gérer une réunion, et non en le contenu proprement dit (audio, vidéo ou fichiers partagés) de la réunion elle-même. Les métadonnées peuvent être divisées en plusieurs catégories :

• Informations sur la session— Titre de la réunion, ID de la réunion, heures de début et de fin prévues et durée réelle de la réunion.
• Données des participants— Une liste des invités et des participants effectifs, leurs adresses IP, leurs types d'appareils (tels que Windows, iPhone, Cisco Room Kit) et leurs join/leave horodatage.
• Métriques d'utilisation et de qualité— Données utilisées pour le dépannage, telles que la perte de paquets, la gigue, la latence et la résolution du flux vidéo.

Comment les métadonnées sont utilisées

1. Analyses et rapports— Les administrateurs utilisent les métadonnées de WebexControl Hub pour voir combien de réunions ont lieu, quels départements sont les plus actifs et la qualité globale de l'expérience.
2. Dépannage— Le centre d'assistance technique Cisco (TAC) utilise des métadonnées pour identifier et résoudre les problèmes de réunion.
3. Conformité et eDiscovery— Les responsables de la conformité peuvent rechercher des métadonnées pour prouver qu'une réunion a eu lieu, qui y était et si elle a été enregistrée, même s'ils ne peuvent pas voir le contenu chiffré de la réunion.
4. Sécurité— Les métadonnées aident à identifier les tentatives d'accès non autorisées ou les schémas inhabituels qui pourraient indiquer une menace pour la sécurité.

Sécurité et confidentialité des métadonnées

• Chiffrement— Bien que les métadonnées ne soient pas « chiffrées de bout en bout », elles sont toujours chiffrées en transit (à l'aide de TLS) et au repos dans les centres de données sécurisés de Cisco.
• Contrôle d'accès— Les politiques de confidentialité de Cisco limitent strictement qui peut accéder à ces métadonnées, et elles sont utilisées pour fournir et améliorer le service.

Pour plus d'informations sur le contenu et les métadonnées des réunions Webex, consultez la Déclaration de l'offre Webex Meetings.

Attribution des types de sessions de réunion aux utilisateurs

Les administrateurs de Webex Control Hub peuvent attribuer un ou plusieurs types de réunions que leurs utilisateurs peuvent utiliser pour les réunions planifiées. Par défaut, tous les utilisateurs se voient attribuer les types de réunion Pro Meeting et Pro-End to End Encryption_VoIPonly.

Planifier une réunion — Sélectionnez le type de réunion

Les utilisateurs peuvent sélectionner le type de réunion qu'ils souhaitent utiliser lors de la planification d'une réunion depuis l'application Webex, la page utilisateur Webex et le module complémentaire de messagerie Webex pour Microsoft Outlook.

Planifiez une réunion — Sélectionnez le type de réunion dans l'application Webex

Planifiez une réunion — Sélectionnez le type de réunion sur la page utilisateur Webex

Définir un type de réunion par défaut

Les utilisateurs peuvent définir leur type de réunion par défaut dans Réunions > Paramètres sur leur page utilisateur Webex.

Définissez le type de réunion par défaut depuis la page utilisateur Webex

Identité de bout en bout et prévention des deepfakes selon le modèle Zero Trust

Les certificats d'identité des utilisateurs finaux fournis par le client constituent une pierre angulaire de la prévention de l'usurpation d'identité dans les réunions Webex chiffrées de bout en bout (E2EE). Contrairement aux mécanismes traditionnels de blocage des deepfakes qui reposent sur l'analyse des flux audio et vidéo, cette approche fournit une validation d'identité cryptographique au point d'admission. Ce statut vérifié est affiché directement dans la liste des participants à la réunion, assurant ainsi la transparence pour tous les participants.

Webex a étendu la prise en charge des certificats gérés par le client (précédemment disponibles sur les appareils RoomOS) à l'application Webex dans le cadre de sa fonctionnalité « Prévention des deepfakes ». Les organisations peuvent fournir et gérer leurs propres certificats numériques, émis par des autorités de certification externes de confiance (AC) utilisant des protocoles standard de l'industrie comme ACME. Ces certificats, basés sur les normes X.509 et les paires de clés ECDSA P-256, fournissent une preuve cryptographique de l'identité des participants lors des réunions E2EE.

Identité vérifiée de bout en bout et protocole MLS

Le protocole Messaging Layer Security (MLS) utilise des certificats X.509 standard pour authentifier les participants à la réunion. Un certificat est une déclaration signée numériquement par une autorité de certification de confiance qui vérifie l'identité du détenteur de la clé de signature. Les participants obtiennent ces certificats par deux méthodes principales :

• Appareils gérés (Certificats fournis par le client)— Pour les clients de bureau et mobiles gérés par l'organisation, un certificat d'identité provenant d'une autorité de certification de confiance peut être installé sur l'appareil. Lorsqu'un utilisateur se connecte via l'authentification unique (SSO), l'application Webex récupère ce certificat depuis le magasin de certificats de confiance du système d'exploitation pour présenter l'identité vérifiée de l'utilisateur. Ce processus est également pris en charge pour les périphériques vidéo Cisco enregistrés sur le cloud Webex.
• Par défaut (Certificats fournis par Webex)— Si aucun certificat fourni par le client n'est disponible, le client ou l'appareil Webex utilise automatiquement un certificat émis par l'autorité de certification Webex, qui reflète une identité vérifiée par Cisco.

Partage d'identité et mécanisme de repli

Lors d'une réunion, chaque participant partage son certificat d'identité Webex et, le cas échéant, son certificat d'identité fourni par le client avec tous les autres participants. Pour garantir une connectivité sans faille, le point de terminaison Webex suit une hiérarchie stricte : Il privilégie le certificat fourni par le client pour la vérification ; si ce certificat est manquant ou échoue à la validation, le système utilise automatiquement le certificat d’identité fourni par Webex.

Affichage de l'état de vérification de l'identité de l'utilisateur

Lorsque des participants rejoignent une réunion à l'aide de l'application Webex ou d'appareils RoomOS dotés de certificats fournis par le client, leur identité est vérifiée par les autres membres de la réunion auprès de l'autorité de certification émettrice. Cela garantit que seuls les utilisateurs autorisés sont reconnus, empêchant ainsi les attaquants d'usurper l'identité de participants légitimes, car ces certificats sont liés de manière unique à des identités vérifiées et ne peuvent pas être falsifiés par Cisco ou des intermédiaires.

La liste des participants à une réunion chiffrée de bout en bout affiche le statut de vérification d'identité de chaque utilisateur :

• Zero-Trust E2E Vérifié ( domain.com )—Lorsqu'un certificat d'identité fourni par le client est utilisé, le domaine du participant est affiché en texte bleu. Cela indique une véritable identité vérifiée de bout en bout que Cisco ne peut pas falsifier. Par exemple, dans la liste des participants à la réunion, vous pourriez voir que « Kevin » possède une adresse e-mail vérifiée de example.com en bleu.
• Webex-Verified ( domain.com) — Les certificats émis par une autorité de certification Webex offrent un niveau de protection plus limité. Bien que supérieurs à l'absence de protection d'identité, ces participants ne sont pas marqués comme « vérifiés de bout en bout selon le principe de confiance zéro ». Leur statut d'identité est affiché en gris, indiquant que l'identité a été vérifiée par l'autorité de certification Webex.
• Utilisateur invité non vérifié ( (Non vérifié) — Bien que l’identité des participants invités ne soit pas authentifiée (puisqu’il n’y a pas de processus de connexion), ils ont tout de même besoin d’un certificat pour rejoindre le groupe MLS pour un appel ou une réunion. Ce certificat est émis par une autorité de certification Webex et utilise « anonyme » comme nom d'utilisateur.

De plus, un code de sécurité de réunion dérivé de l'état cryptographique de tous les participants permet de détecter les attaques de type « personne du milieu » en permettant aux participants de vérifier que chacun partage le même contexte de réunion sécurisé. En combinant la vérification d'identité cryptographique avec le chiffrement de bout en bout, cette fonctionnalité de « prévention des deepfakes » offre une défense robuste contre les menaces d'usurpation d'identité et de médias synthétiques, préservant l'intégrité et la confidentialité des réunions sur les appareils Webex App et RoomOS.

Gestion du déploiement des certificats

Les organisations peuvent simplifier le déploiement et la gestion de ces certificats d'identité d'utilisateur final fournis par le client en les installant dans des appareils gérés par l'entreprise à l'aide d'applications de gestion des appareils mobiles (MDM), de gestion des applications mobiles (MAM) ou de gestion de la mobilité d'entreprise (EMM). Ces plateformes de gestion permettent aux administrateurs informatiques de provisionner, configurer et contrôler de manière centralisée les certificats et les politiques de sécurité associées sur un large éventail d'appareils, qu'ils appartiennent à l'entreprise ou à des particuliers. Par exemple, Microsoft Intune prend en charge les fonctionnalités MDM et MAM qui permettent aux organisations de déployer et de gérer l'application Webex et ses configurations de sécurité, y compris les certificats d'identité, sur les appareils gérés. De même, Cisco Meraki Systems Manager offre des fonctionnalités MDM permettant d'inscrire les appareils, de déployer des profils de configuration et de mettre en place des certificats afin de garantir un statut de confiance pour les appareils. L'utilisation de ces solutions de gestion réduit les frais administratifs, simplifie la gestion du cycle de vie des certificats et renforce la sécurité des réunions Webex E2EE grâce à des fonctionnalités de « prévention des deepfakes ».

Les trois piliers de l'identité

Une gestion efficace des identités et des accès (IAM) pour Webex repose sur :

• Provisionnement (CRUD) — Gestion des cycles de vie des utilisateurs (Création, Lecture, Mise à jour, Suppression) pour garantir que la « Source de vérité » corresponde à la plateforme de collaboration.
• Authentification (AuthN) — Vérification de l'identité de l'utilisateur via des identifiants ou des jetons sécurisés.
• Autorisation (AuthZ) — Définition des permissions granulaires et des niveaux d'accès à l'API après l'authentification.

Provisionnement & Gestion du cycle de vie

Webex prend en charge plusieurs méthodes de synchronisation des utilisateurs et des groupes :

• SCIM 2.0— La norme cloud préférée. Il automatise le cycle de vie de l'utilisateur, garantissant que la désactivation dans le fournisseur d'identité révoque automatiquement l'accès à Webex.
• Directory Connector— Un outil Cisco pour les environnements hybrides, reliant Active Directory (AD) sur site au cloud Webex.
• Provisionnement basé sur l'API— Utilise l'API « People » de Webex pour la création programmatique d'utilisateurs et l'attribution de licences dans des environnements complexes.
• LDAP hérité— Pris en charge pour les annuaires sur site (par exemple, CUCM), bien que moins optimisé pour le trafic cloud moderne.

Authentification & Cadres d'autorisation

• Authentification (AuthN) :

• SAML 2.0— La norme d'entreprise pour l'authentification unique (SSO). Webex agit en tant que fournisseur de services (SP), validant les assertions XML provenant du fournisseur d'identité d'entreprise.
• OIDC (OpenID Connect)— Une couche d'identité moderne et légère construite sur OAuth 2.0 utilisant des jetons Web JSON (JWT). Il prend en charge les « URL de découverte » pour la configuration automatisée.

• Autorisation (AuthZ) :

• OAuth 2.0— Gère l'accès à l'API via des jetons d'accès à courte durée de vie (définissant les étendues) et des jetons d'actualisation à longue durée de vie. Il assure la sécurité via PKCE (Proof Key for Code Exchange) pour les clients publics.

Intégration & Stratégies multi-IdP

Webex propose des solutions spécialisées pour une intégration transparente :

• Assistant d'identification d'entrée— Chemin recommandé pour les environnements Microsoft. Il utilise l'API Microsoft Graph pour la synchronisation avancée des attributs (avatars, hiérarchies) et automatise OIDC/SAML configuration.
• Duo Security—Ajoute une « sécurité d'identité continue » en vérifiant la posture de l'appareil et en activant l'authentification multifacteur résistante au phishing.

Prise en charge de plusieurs fournisseurs d'identité :Webex permet aux organisations de fédérer plusieurs fournisseurs d'identité indépendants au sein d'un seul hub de contrôle.

• Cas d'utilisation — Fusions, acquisitions ou services informatiques décentralisés.
• Routage — Les demandes d'authentification sont acheminées en fonction des domaines ou des groupes d'utilisateurs.
• À prendre en considération — Une coordination stricte est nécessaire pour maintenir des politiques de sécurité cohérentes entre toutes les sources fédérées.

Exemples d'intégrations d'identité IdP les plus courantes avec Webex :

Meilleures pratiques et résilience

• Récupération SSO — Utilisez toujours le lien « Récupération SSO » intégré dans Control Hub pour contourner l’authentification unique (SSO) via un mot de passe à usage unique (OTP) si la configuration IdP échoue.
• Gestion des certificats — Surveiller l'expiration des certificats SAML. L'assistant SSO automatise l'échange de métadonnées, réduisant ainsi les erreurs manuelles.
• Dépannage — Utilisez l’outil SAML Tracer pour inspecter les assertions XML et valider les formats NameID en cas de problèmes d’authentification.
• Posture de sécurité — Déprécier régulièrement les types d’autorisation hérités et s’assurer que PKCE est implémenté pour toutes les intégrations de clients publics.

Conclusion — Identité pour les réunions Webex

Une stratégie d'identité robuste est un processus continu tout au long de son cycle de vie. En combinant SCIM pour le provisionnement, OIDC/SAML Pour l'authentification, et OAuth pour l'autorisation, les organisations peuvent garantir une expérience sécurisée et fluide aux utilisateurs tout en conservant un contrôle administratif strict.

Cycle de vie du développement sécurisé Cisco

Chez Cisco, la sécurité n'est pas une question secondaire. Il s'agit d'une approche rigoureuse pour concevoir et fournir des produits et services de classe mondiale, en partant de zéro. Toutes les équipes de développement de produits Cisco^® sont tenues de suivre le cycle de vie de développement sécurisé de Cisco. Il s'agit d'un processus reproductible et mesurable conçu pour accroître la résilience et la fiabilité des produits Cisco. La combinaison d'outils, de processus et de formations de sensibilisation introduites à toutes les phases du cycle de vie du développement contribue à garantir une défense en profondeur. Elle offre également une approche holistique de la résilience des produits. L'équipe de développement produit de Webex suit avec passion ce cycle de vie dans chaque aspect du développement produit.

En savoir plus sur le Cycle de vie du développement sécurisé.

Outils de sécurité fondamentaux de Cisco

L'organisation de sécurité et de confiance de Cisco fournit le processus et les outils nécessaires qui permettent à chaque développeur d'adopter une position cohérente face à une décision de sécurité.

Le fait de disposer d'équipes dédiées à la conception et à la fourniture de tels outils permet d'éliminer l'incertitude liée au processus de développement de produits.

Voici quelques exemples d'outils :

• Exigences de base en matière de sécurité des produits (PSB) auxquelles les produits doivent se conformer
• Outils de modélisation des menaces utilisés lors de la modélisation des menaces
• Règles de codage
• Bibliothèques validées ou certifiées que les développeurs peuvent utiliser au lieu d'écrire leur propre code de sécurité
• Outils de test de vulnérabilité de sécurité (pour l'analyse statique et dynamique) utilisés après le développement pour tester la présence de défauts de sécurité
• Système de suivi logiciel qui surveille les bibliothèques Cisco et tierces et notifie les équipes produit lorsqu'une vulnérabilité est identifiée.

Structure organisationnelle qui intègre la sécurité dans les processus Cisco

Cisco dispose de départements dédiés à la mise en place et à la gestion des processus de sécurité dans toute l'entreprise. Pour rester constamment au fait des menaces et des défis en matière de sécurité, Cisco s'appuie sur :

• Équipe Cloud de la sécurité de l'information (InfoSec) de Cisco
• Équipe de réponse aux incidents de sécurité du produit Cisco (PSIRT)
• Responsabilité partagée en matière de sécurité

Cisco InfoSec Cloud

Dirigée par le responsable de la sécurité du cloud, cette équipe est chargée de fournir un environnement Webex sécurisé à nos clients. InfoSec y parvient en définissant et en appliquant des processus et des outils de sécurité pour toutes les fonctions impliquées dans la mise à disposition de Webex à nos clients.

De plus, Cisco InfoSec Cloud collabore avec d'autres équipes au sein de Cisco pour répondre à toute menace de sécurité pesant sur le service Webex.

Cisco InfoSec est également responsable de l'amélioration continue de la sécurité de Webex.

Équipe de réponse aux incidents de sécurité du produit Cisco (PSIRT)

L'équipe Cisco PSIRT est une équipe mondiale dédiée à la gestion, à l'investigation et au signalement des problèmes de sécurité liés aux produits et services Cisco. Le PSIRT utilise différents supports de diffusion d'informations, en fonction de la gravité du problème de sécurité. Le type de rapport varie selon les conditions suivantes :

• Des correctifs logiciels ou des solutions de contournement existent pour remédier à cette vulnérabilité, ou une publication publique ultérieure de correctifs de code est prévue pour corriger les vulnérabilités critiques.
• L'équipe PSIRT a observé une exploitation active d'une vulnérabilité qui pourrait entraîner un risque accru pour les clients de Cisco. Le PSIRT pourrait accélérer la publication d'un communiqué de sécurité décrivant la vulnérabilité dans ce cas, même sans que tous les correctifs soient disponibles.
• La prise de conscience publique d'une vulnérabilité affectant les produits Cisco pourrait entraîner un risque accru pour les clients de Cisco. Là encore, PSIRT peut alerter les clients, même sans que tous les correctifs soient disponibles.

Dans tous les cas, PSIRT divulgue le minimum d'informations dont les utilisateurs finaux auront besoin pour évaluer l'impact d'une vulnérabilité et prendre les mesures nécessaires pour protéger leur environnement. PSIRT utilise l'échelle du Common Vulnerability Scoring System (CVSS) pour classer la gravité d'un problème divulgué. PSIRT ne fournit pas de détails sur les vulnérabilités qui permettraient à quiconque de concevoir une faille de sécurité.

Pour plus d'informations sur PSIRT, consultez Cisco Product Security Incident Response Team.

Responsabilité en matière de sécurité

Bien que chaque membre du groupe Webex soit responsable de la sécurité, les principales règles sont les suivantes :

• Responsable de la sécurité du cloud
• Vice-président et directeur général des applications de collaboration cloud de Cisco
• Vice-président, Ingénierie, Applications de collaboration cloud Cisco
• Vice-président, Gestion des produits, Applications de collaboration cloud Cisco

Tests de pénétration interne et externe

Le groupe Webex effectue régulièrement des tests d'intrusion rigoureux, en faisant appel à des évaluateurs internes. Au-delà de ses propres procédures internes rigoureuses, Cisco InfoSec fait également appel à plusieurs tiers indépendants pour mener des audits rigoureux par rapport aux politiques, procédures et applications internes de Cisco. Ces audits sont conçus pour valider les exigences de sécurité cruciales pour les applications commerciales et gouvernementales. Cisco fait également appel à des fournisseurs tiers pour réaliser des tests d'intrusion et des évaluations de services continus, approfondis et assistés par le code. Dans le cadre de l’engagement, un tiers effectue les évaluations de sécurité suivantes:

• Identifier les vulnérabilités critiques des applications et des services et proposer des solutions
• Recommandations concernant les domaines généraux d'amélioration architecturale
• Identifier les erreurs de codage et fournir des conseils pour améliorer les pratiques de codage.

Les évaluateurs tiers travaillent directement avec l'équipe d'ingénierie de Webex pour expliquer les résultats et valider les mesures correctives. Consultez le Webex Meetings Letters of Attestation Trust Package pour obtenir des informations sur l'attestation des tests d'intrusion.

Sécurité physique

La sécurité physique du centre de données comprend la vidéosurveillance des installations et des bâtiments ainsi que l'identification à deux facteurs obligatoire pour l'accès. Au sein des centres de données Cisco, l'accès est contrôlé par une combinaison de lecteurs de badges et de contrôles biométriques. De plus, les dispositifs de contrôle environnemental (par exemple, les capteurs de température et les systèmes d'extinction d'incendie) et l'infrastructure de continuité de service (telle que l'alimentation de secours) contribuent à garantir le fonctionnement sans interruption des systèmes.

Les serveurs des centres de données sont segmentés en « zones de confiance », en fonction de la sensibilité de l'infrastructure. Par exemple, les bases de données sont « isolées », l’infrastructure réseau dispose de salles dédiées et toutes les baies d’équipement sont verrouillées. Seuls le personnel de sécurité de Cisco et les visiteurs autorisés accompagnés d'un membre du personnel de Cisco peuvent entrer dans les centres de données.

Le réseau de production de Cisco est un réseau hautement fiable : Seules quelques personnes très peu nombreuses, bénéficiant d'un niveau de confiance élevé, ont accès au réseau.

Sécurité de l'infrastructure et de la plateforme

La sécurité de la plateforme englobe la sécurité du réseau, des systèmes et de l'ensemble du centre de données Webex. Tous les systèmes font l'objet d'un examen de sécurité approfondi et d'une validation d'acceptation avant leur déploiement en production, ainsi que d'un renforcement continu, de correctifs de sécurité et d'une analyse et d'une évaluation régulières des vulnérabilités.

Les serveurs sont renforcés à l'aide des directives techniques de mise en œuvre de la sécurité (STIG) publiées par le National Institute of Standards and Technology (NIST). Les pare-feu protègent le périmètre du réseau. Les listes de contrôle d'accès (ACL) séparent les différentes zones de sécurité. Des systèmes de détection d'intrusion (IDS) sont en place, et les activités sont signalées et surveillées en continu. Des analyses de sécurité internes et externes sont effectuées quotidiennement sur Webex. Tous les systèmes sont renforcés et mis à jour régulièrement dans le cadre de la maintenance. De plus, des analyses et des évaluations de vulnérabilité sont effectuées en continu.

La continuité des services et la reprise après sinistre sont des composantes essentielles de la planification de la sécurité. La conception des centres de données Cisco, avec des sauvegardes globales des sites et une haute disponibilité, contribue à permettre le basculement géographique des services Webex. Il n'existe pas de point de défaillance unique.

données administratives

Informations concernant les employés ou les représentants d'un client ou d'un autre tiers, collectées et utilisées par Cisco afin d'administrer ou de gérer la fourniture de produits ou de services par Cisco, ou d'administrer ou de gérer le compte du client ou du tiers à des fins commerciales propres à Cisco.

Les données administratives peuvent inclure le nom, l'adresse, le numéro de téléphone, l'adresse électronique et des informations sur les engagements contractuels entre Cisco et un tiers, qu'elles soient collectées au moment de l'inscription initiale ou ultérieurement dans le cadre de la gestion ou de l'administration des produits ou services de Cisco.

Les données administratives peuvent également inclure le titre, l'heure et d'autres attributs des réunions menées sur Webex par des employés ou des représentants d'un client. D'autres exemples de données administratives peuvent inclure le titre de la réunion, l'heure de la réunion et d'autres attributs des réunions organisées sur Webex.

Données client

Cela inclut toutes les données (y compris les fichiers texte, audio, vidéo, image et les enregistrements) qui sont soit fournies à Cisco par un client dans le cadre de l'utilisation par ce dernier des produits ou services Cisco, soit développées par Cisco à la demande spécifique d'un client conformément à un cahier des charges ou à un contrat.

Les données client comprennent également les fichiers journaux, de configuration ou de firmware, ainsi que les fichiers de vidage mémoire.

Il s'agit de données extraites d'un produit ou d'un service et fournies à Cisco pour nous aider à résoudre un problème lié à une demande d'assistance. Les données clients n'incluent pas les données administratives, les données de support ni les données de télémétrie.

Données de support

Informations que Cisco recueille lorsqu'un client soumet une demande de services d'assistance ou de dépannage, y compris des informations sur le matériel ou les logiciels. Il comprend des détails relatifs à l'incident de support, tels que des informations d'authentification, des informations sur l'état du produit, du système et des données de registre concernant les installations logicielles et les configurations matérielles, ainsi que des fichiers de suivi des erreurs. Les données d'assistance n'incluent pas les fichiers journaux, de configuration ou de micrologiciel, ni les vidages de mémoire provenant d'un produit et qui nous sont fournis pour nous aider à résoudre un problème lié à une demande d'assistance ; tous ces éléments constituent des exemples de données client.

Données de télémétrie

Informations générées par les systèmes d'instrumentation et d'enregistrement créés lors de l'utilisation et du fonctionnement du produit ou du service.

Toutes les données collectées dans le cloud Webex sont protégées par plusieurs couches de technologies et de processus de sécurité robustes. Vous trouverez ci-dessous des exemples de contrôles mis en place à différents niveaux des opérations Webex pour protéger les données client :

• Contrôle d'accès physique— L'accès physique est contrôlé par la biométrie, les badges et la vidéosurveillance. L'accès au centre de données nécessite des autorisations et est géré par un système de billetterie électronique.
• Contrôle d'accès au réseau— Le périmètre du réseau Webex est protégé par des pare-feu. Tout trafic réseau entrant ou sortant du centre de données Webex est surveillé en permanence à l'aide d'un système de détection d'intrusion (IDS). Le réseau Webex est également segmenté en zones de sécurité distinctes. Le trafic entre les zones est contrôlé par des pare-feu et des listes de contrôle d'accès (ACL).
• Contrôles de surveillance et de gestion de l'infrastructure— Chaque composant de l'infrastructure, y compris les périphériques réseau, les serveurs d'applications et les bases de données, est soumis à des directives strictes. Ils font également l'objet de contrôles réguliers afin d'identifier et de résoudre tout problème de sécurité.
• Contrôles cryptographiques— Comme indiqué précédemment, toutes les données échangées entre le centre de données Webex et les applications Webex et appareils Webex enregistrés dans le cloud sont chiffrées, à l'exception du trafic PSTN et des données non chiffrées. SIP/H323 Dispositifs vidéo lors d'une réunion via le cloud. De plus, les données sensibles stockées dans Webex, telles que les mots de passe, sont chiffrées.

Les employés de Cisco n'accèdent pas aux données des clients, sauf si le client en fait la demande pour des raisons d'assistance. L’accès aux systèmes n’est autorisé par le responsable que conformément au principe de « séparation des tâches ». Elle n'est accordée qu'aux personnes qui en ont besoin et uniquement au niveau d'accès requis pour accomplir leur travail. L'accès des employés à ces systèmes fait également l'objet de contrôles réguliers de conformité. Les employés disposant de tels accès sont tenus de suivre une formation annuelle de sensibilisation à la sécurité de l'information selon la norme ISO 27001 (Organisation internationale de normalisation).

En plus de ces contrôles spécialisés, chaque employé de Cisco fait l'objet d'une vérification des antécédents, signe un accord de non-divulgation (NDA) et suit une formation sur le code de conduite des affaires (COBC).

Health Insurance Portability and Accountability Act (HIPAA)

Cisco peut fournir des informations concernant les fonctionnalités, la technologie et la sécurité de Webex. Une entité soumise à la loi HIPAA devrait consulter son propre conseiller juridique pour déterminer si les fonctionnalités de Webex sont conformes à ses processus métier et prêtes pour le RGPD.

• Conformité au RGPD
• Informations relatives à l'offre Cisco Webex Meetings

Normes et certifications industrielles

En plus de respecter nos normes internes rigoureuses, Webex effectue également des validations tierces en continu afin de démontrer notre engagement en matière de sécurité de l'information. Avantages de Webex :

• Certifié ISO 27001, 27017, 27018 et 27701
• Contrôles de l'organisation de services (SOC) 2 de type II audités
• Certifié SOC 3
• Code de conduite du cloud
• CSTAR
• Attestation du catalogue des contrôles de conformité du cloud computing (C5)
• certifié FedRAMP (visitez cisco.com/go/fedramp Pour plus de détails, la portée et la disponibilité]

Consultez le Cisco Trust Portal pour obtenir un ensemble complet de documents sur la sécurité, la confidentialité et la conformité, y compris des détails sur les normes et certifications ci-dessus.