Sécurité physique

Il est important de garantir la sécurité physique des salles de réunion Equinix et des centres de données dédiés Cisco. Lorsque la sécurité physique est compromise, des attaques simples, telles qu'une interruption de service en coupant l'alimentation des commutateurs d'un client, peuvent être lancées. Avec un accès physique, les attaquants pouvaient accéder aux serveurs, réinitialiser les mots de passe et accéder aux commutateurs. L'accès physique facilite également des attaques plus sophistiquées, telles que les attaques de type « man-in-the-middle ». C'est pourquoi la deuxième couche de sécurité, la sécurité du réseau, est essentielle.

Les lecteurs à chiffrement automatique sont utilisés dans les data centers d'instance dédiés qui hébergent des applications UC.

Pour plus d'informations sur les pratiques générales de sécurité, consultez la documentation à l'adresse suivante : https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Sécurité du réseau

Les partenaires doivent s'assurer que tous les éléments du réseau sont sécurisés dans l'infrastructure d'instance dédiée (qui se connecte via Equinix). Il est de la responsabilité du partenaire de garantir les meilleures pratiques en matière de sécurité, telles que :

• VLAN séparé pour la voix et les données

• Activez la sécurité des ports, qui limite le nombre d'adresses MAC autorisées par port, pour éviter d'inonder les tables CAM

• IP Source Guard contre les adresses IP usurpées

• Dynamic ARP Inspection (DAI) examine le protocole de résolution d'adresses (ARP) et l'ARP gratuit (GARP) pour détecter les violations (contre l'usurpation d'ARP)

• La norme 802.1x limite l'accès au réseau pour authentifier les appareils sur les réseaux locaux virtuels attribués (les téléphones sont compatibles avec la norme 802.1x)

• Configuration de la qualité de service (QoS) pour un marquage approprié des paquets vocaux

• Configurations des ports de pare-feu pour bloquer tout autre trafic

Sécurité des terminaux

Les terminaux Cisco prennent en charge les fonctionnalités de sécurité par défaut, telles que le microprogramme signé, le démarrage sécurisé (certains modèles), le certificat installé par le fabricant (MIC) et les fichiers de configuration signés, qui fournissent un certain niveau de sécurité aux terminaux.

En outre, un partenaire ou un client peut activer des mesures de sécurité supplémentaires, telles que :

• Chiffrez les services téléphoniques IP (via HTTPS) pour des services tels que Extension Mobility

• Émettre des certificats d'importance locale (LSC) à partir de la fonction proxy de l'autorité de certification (CAPF) ou d'une autorité de certification publique (CA)

• Chiffrer les fichiers de configuration

• Chiffrez les médias et la signalisation

• Désactivez ces paramètres s'ils ne sont pas utilisés : port PC, accès vocal au VLAN sur PC, ARP gratuit, accès Web, bouton Paramètres, SSH, console

La mise en œuvre de mécanismes de sécurité dans l'instance dédiée empêche l'usurpation d'identité des téléphones et du Unified CM serveur, la falsification des données et la falsification de la signalisation des appels et du flux multimédia.

Instance dédiée sur le réseau :

• Etablit et gère des flux de communication authentifiés

• Signe numériquement les fichiers avant de les transférer sur le téléphone

• Chiffre les flux multimédia et la signalisation des appels entre les téléphones IP Cisco Unified

La sécurité par défaut fournit les fonctionnalités de sécurité automatiques suivantes pour les téléphones IP unifiés Cisco :

• Signature des fichiers de configuration du téléphone

• Support pour le cryptage des fichiers de configuration du téléphone

• HTTPS avec Tomcat et d'autres services Web (MIDlets)

Pour la Unified CM version 8.0 ultérieure, ces fonctionnalités de sécurité sont fournies par défaut sans lancer le client Certificate Trust List (CTL).

Comme il y a un grand nombre de téléphones sur un réseau et que les téléphones IP ont une mémoire limitée, ils font Cisco Unified CM office de magasin de confiance à distance par le biais du Trust Verification Service (TVS), de sorte qu'il n'est pas nécessaire de placer un certificat de confiance sur chaque téléphone. Les téléphones IP Cisco contactent le serveur TVS pour vérification car ils ne peuvent pas vérifier une signature ou un certificat via des fichiers CTL ou ITL. Il est plus facile de gérer un Trust Store central que d'en avoir un sur chaque téléphone IP Cisco Unified.

TVS permet aux téléphones IP unifiés Cisco d'authentifier les serveurs d'applications, tels que les services EM, l'annuaire et le MIDlet, lors de la mise en place du HTTPS.

Le fichier Initial Trust List (ITL) est utilisé pour la sécurité initiale, afin que les terminaux puissent être fiables. Cisco Unified CM ITL n'a besoin d'aucun dispositif de sécurité pour être activé explicitement. Le fichier ITL est automatiquement créé lors de l'installation du cluster. La clé privée du serveur TFTP (Unified CMTrivial File Transfer Protocol) est utilisée pour signer le fichier ITL.

Lorsque le Cisco Unified CM cluster ou le serveur est en mode non sécurisé, le fichier ITL est téléchargé sur tous les téléphones IP Cisco compatibles. Un partenaire peut consulter le contenu d'un fichier ITL à l'aide de la commande CLI admin:show itl.

Les téléphones IP Cisco ont besoin du fichier ITL pour effectuer les tâches suivantes :

• Communiquez en toute sécurité avec le CAPF, condition préalable à la prise en charge du cryptage des fichiers de configuration

• Authentifier la signature du fichier de configuration

• Authentifier les serveurs d'applications, tels que les services EM, l'annuaire et le MIDlet lors de l'établissement du HTTPS à l'aide de TVS

L'authentification des appareils, des fichiers et des signaux repose sur la création du fichier Certificate Trust List (CTL), qui est créé lorsque le partenaire ou le client installe et configure le client Cisco Certificate Trust List.

Le fichier CTL contient des entrées pour les serveurs ou jetons de sécurité suivants :

• Jeton de sécurité pour administrateur système (SAST)

• Cisco CallManageret les services TFTP Cisco qui s'exécutent sur le même serveur

• Certificate AuthorityFonction proxy (CAPF)

• serveur (s) TFTP

• Pare-feu ASA

Le fichier CTL contient un certificat de serveur, une clé publique, un numéro de série, une signature, le nom de l'émetteur, le nom du sujet, la fonction du serveur, le nom DNS et l'adresse IP de chaque serveur.

La sécurité téléphonique avec CTL fournit les fonctions suivantes :

• Authentification des fichiers téléchargés par TFTP (configuration, paramètres régionaux, liste de sonneries, etc.) à l'aide d'une clé de signature

• Chiffrement des fichiers de configuration TFTP à l'aide d'une clé de signature

• Signalisation d'appel cryptée pour téléphones IP

• Appels audio cryptés (médias) pour téléphones IP

L'instance dédiée permet d'enregistrer les terminaux et de traiter les appels. La signalisation entre Cisco Unified CM et les terminaux est basée sur le protocole Secure Skinny Client Control (SCCP) ou le protocole SIP (Session Initiation Protocol) et peut être cryptée à l'aide du protocole Transport Layer Security (TLS). Le contenu multimédia depuis et vers les terminaux est basé sur le protocole de transport en temps réel (RTP) et peut également être crypté à l'aide du protocole RTP sécurisé (SRTP).

L'activation du mode mixte Unified CM permet de chiffrer la signalisation et le trafic multimédia depuis et vers les terminaux Cisco.

Applications de communications unifiées sécurisées

Le mode mixte est activé par défaut dans l'instance dédiée.

L'activation du mode mixte dans une instance dédiée permet de chiffrer la signalisation et le trafic multimédia depuis et vers les terminaux Cisco.

Depuis la Cisco Unified CM version 12.5 (1), une nouvelle option permettant d'activer le cryptage de la signalisation et des médias sur la base du protocole SIP OAuth au lieu du mode mixte/CTL a été ajoutée pour les clients Jabber et Webex. Par conséquent, dans la Unified CM version 12.5 (1), SIP OAuth et SRTP peuvent être utilisés pour activer le cryptage de la signalisation et des médias pour les clients Jabber ou Webex. L'activation du mode mixte est toujours requise pour les téléphones IP Cisco et les autres terminaux Cisco pour le moment. Il est prévu d'ajouter la prise en charge du SIP OAuth sur les terminaux 7800/8800 dans une prochaine version.

Sécurisation des communications entre Cisco Unified CM et CUBE

Pour sécuriser les communications entre Cisco Unified CM et CUBE, les partenaires/clients doivent utiliser un certificat autosigné ou un certificat signé par une autorité de certification.

Pour les certificats autosignés :

1. CUBE et Cisco Unified CM générez des certificats auto-signés

2. CUBE exporte un certificat vers Cisco Unified CM

3. Cisco Unified CMcertificat d'exportation vers CUBE

Pour les certificats signés par une autorité de certification :

1. Le client génère une paire de clés et envoie une demande de signature de certificat (CSR) au Certificate Authority (CA)

2. La CA le signe avec sa clé privée, créant ainsi un certificat d'identité

3. Le client installe la liste des certificats racine et intermédiaires fiables de l'autorité de certification ainsi que le certificat d'identité

Résumé du protocole

Le tableau suivant présente les protocoles et les services associés utilisés dans la Unified CM solution.

Pour plus d'informations sur la configuration de la MRA, consultez la section Scénarios de déploiement de la MRA du Guide de Cisco Expressway déploiement mobile Remote Access et direct.

Sécuriser Jabber et Webex avec SIP OAuth

Les clients Jabber et Webex sont authentifiés par un jeton OAuth au lieu d'un certificat significatif localement (LSC), ce qui ne nécessite pas l'activation de la fonction proxy de l'autorité de certification (CAPF) (pour la MRA également). Le SIP OAuth fonctionnant avec ou sans mode mixte a été introduit dans la version Cisco Unified CM 12.5 (1) et versions ultérieures, Jabber 12.5 et versions ultérieures, et Expressway X12.5.

Dans la version Cisco Unified CM 12.5 et les versions ultérieures, nous avons une nouvelle option dans Phone Security Profile qui permet le cryptage sans LSC/CAPF, en utilisant un seul jeton Transport Layer Security (TLS) et OAuth dans SIP REGISTER. Les nœuds Expressway-C utilisent l'API Administrative XML Web Service (AXL) pour indiquer Cisco Unified CM le SN/SAN sur leur certificat. Cisco Unified CMutilise ces informations pour valider le certificat Exp-C lors de l'établissement d' une connexion TLS mutuelle.

SIP OAuth permet le cryptage des médias et des signaux sans certificat de point de terminaison (LSC).

Cisco Jabberutilise des ports éphémères et des ports sécurisés 6971 et 6972 via une connexion HTTPS au serveur TFTP pour télécharger les fichiers de configuration. Le port 6970 n'est pas sécurisé pour le téléchargement via HTTP.

Plus de détails sur la configuration SIP OAuth : Mode SIP OAuth.