Réseau d’instance dédié et exigences de sécurité

Sécurité physique

Il est important d’assurer la sécurité physique aux emplacements de la salle Equinix Meet-Me et aux installations du Centre de données d’instance Dédié Cisco . Lorsque la sécurité physique est compromise, des attaques simples comme une interruption du service en fermant l’alimentation sur les commutateurs d’un client peuvent être initiées. Grâce à l’accès physique, les attaques peuvent avoir accès aux périphériques des serveurs, réinitialiser des mots de passe et accéder aux commutateurs. L’accès physique facilite également des attaques plus sophistiquées telles que les attaques d’attaques d’attaques intermédiaires, d’où la raison pour laquelle la seconde couche de sécurité, la sécurité du réseau, est essentielle.

Les lecteurs auto-cryptés sont utilisés dans les centres de données d’instance dédiés qui hébergent les applications de communications un peu plus récentes.

Pour plus d’informations sur les pratiques générales de sécurité, reportez-vous à la documentation à l’adresse suivante : https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Sécurité du réseau

Les partenaires doivent s’assurer que tous les éléments réseau sont sécurisés dans l’infrastructure d’instance dédiée (qui se connecte via Equinix). Le partenaire a la responsabilité d’assurer les meilleures pratiques de sécurité telles que :

• Séparer le VLAN pour la voix et les données

• Activez Sécurité des ports qui limite le nombre d’adresses MAC autorisées par port, par rapport au tableau de caméra

• Protection de source IP contre les adresses IP

• L’inspection dynamique ARP (NEC) examine le protocole de résolution d’adresse (ARP) et l’ARP gratuit (GARP) pour les violations (contre l’usurpation d’adresse ARP)

• 802. limite l’accès1x au réseau pour authentifier les périphériques attribués sur les réseaux fixes (les téléphones sont en charge 802.1x)

• Configuration de la qualité de service (QoS) pour le marquage approprié des paquets vocaux

• Configurations des ports du pare-feu pour bloquer tout autre trafic

Sécurité des terminaux

Les points de terminaison Cisco supportent les fonctionnalités de sécurité par défaut telles que les microprogrammes signés, le démarrage sécurisé (modèles sélectionnés), le certificat installé par le fabricant (MIC) et les fichiers de configuration signés, qui fournissent un certain niveau de sécurité pour les points de terminaison.

De plus, un partenaire ou un client peut activer une sécurité supplémentaire, telle que :

• Chiffrement des services téléphoniques IP (via HTTPS) pour les services tels que la Mobilité d’extension

• Émettre des certificats localement significatifs (LSCS) à partir de la fonction de proxy de l’autorité de certification (CAPF) ou d’une autorité de certification publique (AC)

• Crypter les fichiers de configuration

• Chiffrement du média et de la signalisation

• Désactivez ces paramètres s’ils ne sont pas utilisés : Port PC, Accès VLAN vocal PC, ARP gratuit, Accès Web, Bouton Paramètres, SSH, console

La mise en place de mécanismes de sécurité dans l’instance dédiée empêche l’usurpation d’identité des téléphones et du serveur Unified CM, la falsification des données et la signalisation d’appel/falsification des flux média.

Instance dédiée sur le réseau :

• Établit et maintient des flux de communication authentifiés

• Signe des fichiers numériquement avant de transférer le fichier sur le téléphone

• Crypte les flux média et la signalisation des appels entre les Cisco Unified IP téléphoniques

La sécurité par défaut offre les fonctionnalités automatiques de sécurité suivantes Cisco Unified les téléphones IP suivants :

• Signature des fichiers de configuration téléphoniques

• Prise en charge du cryptage du fichier de configuration téléphonique

• HTTPS avec Tomcat et autres services Web (MIDlets)

Pour Unified CM version 8.0 plus tard, ces fonctionnalités de sécurité sont fournies par défaut sans que le client Liste de confiance des certificats (CTL) ne soit en cours d’exécution.

Du fait qu’il y a beaucoup de téléphones dans un réseau et que la mémoire est limitée, Cisco Unified CM agit comme un magasin de confiance à distance via le Service de vérification de la confiance (Trust Verification Service (TVS) afin qu’un magasin de certificats de confiance n’a pas à être placé sur chaque téléphone. Les téléphones IP Cisco contactent le serveur TVS pour vérification car ils ne peuvent pas vérifier une signature ou un certificat via les fichiers CTL ou ITL. Avoir un magasin de confiance central est plus facile à gérer que d’avoir la boutique de confiance sur Cisco Unified téléphone IP.

TVS permet aux Cisco Unified IP d’authentifier les serveurs d’applications, tels que les services EM, le répertoire et MIDlet, pendant l’installation HTTPS.

Le fichier de la liste de confiance initiale (ITL) est utilisé pour la sécurité initiale, afin que les points de terminaison peuvent faire confiance Cisco Unified CM. ItL n’a pas besoin de fonctionnalités de sécurité pour être activée explicitement. Le fichier ITL est automatiquement créé lorsque le cluster est installé. La clé privée du serveur Unified CM Trivial File Transfer Protocol (TFTP) est utilisée pour signer le fichier ITL.

Lorsque le cluster Cisco Unified CM ou le serveur est en mode non sécurisé, le fichier ITL est téléchargé sur tous les téléphones IP Cisco pris en charge. Un partenaire peut afficher le contenu d’un fichier ITL à l’aide de la commande CLI admin : afficher itl.

Les téléphones IP Cisco doivent avoir le fichier ITL pour effectuer les tâches suivantes :

• Communiquez en toute sécurité au CAPF, un prérequis pour la prise en charge du chiffrement des fichiers de configuration

• Authentifier la signature du fichier de configuration

• Authentifier les serveurs d’applications, tels que les services EM, le répertoire et MIDlet au cours de l’installation HTTPS avec TVS

L’authentification du périphérique, du fichier et de la signalisation se base sur la création du fichier Liste de confiance des certificats (CTL), qui est créé lorsque le partenaire ou le client installe et configure le client liste de confiance des certificats Cisco.

Le fichier CTL contient les entrées pour les serveurs ou les jetons de sécurité suivants :

• Jeton de sécurité de l’administrateur du système (SAST)

• Cisco CallManager et les services Cisco TFTP qui sont en cours d’exécution sur le même serveur

• Fonction du proxy de l’autorité de certification (CAPF)

• Serveur(s) TFTP

• Pare-feu ASA

Le fichier CTL contient un certificat de serveur, une clé publique, un numéro de série, une signature, le nom de l’émetteur, le nom du sujet, la fonction du serveur, le nom DNS et l’adresse IP de chaque serveur.

La sécurité téléphonique avec la CTL offre les fonctions suivantes :

• Identification des fichiers téléchargés TFTP (configuration, paramètres locaux, liste de sonneries, et ainsi de suite) à l’aide d’une clé de signature

• Cryptage des fichiers de configuration TFTP en utilisant une clé de signature

• Signalisation d’appel chiffrée pour les téléphones IP

• Audio des appels chiffrés (média) pour les téléphones IP

L’instance dédiée fournit l’inscription des points de terminaison et le traitement des appels. La signalisation entre Cisco Unified CM et les points de terminaison est basée sur secure Skinny Client Control Protocol (SCCP) ou Protocole d’initiation de session (SIP) et peut être cryptée en utilisant Transport Layer Security (TLS). Le média de/vers les points de terminaison est basé sur le protocole de transport en temps réel (RTP) et peut également être crypté en utilisant le protocole Secure RTP (SRTP).

Activer le mode mixte sur Unified CM active le chiffrement de la signalisation et du trafic média à partir et vers les points de terminaison Cisco.

Applications UC sécurisées

Le mode mixte est activé par défaut dans l’instance dédiée.

Activer le mode mixte dans l’instance dédiée active la possibilité d’effectuer le chiffrement du trafic de signalisation et des médias à partir et vers les points de terminaison Cisco.

Dans Cisco Unified CM version 12.5(1), une nouvelle option pour activer le chiffrement de la signalisation et des médias basés sur SIP OAuth au lieu du mode mixte/CTL a été ajoutée pour les clients Jabber et Webex. Par conséquent, dans Unified CM version 12.5(1), SIP OAuth et SRTP peuvent être utilisés pour activer le chiffrement pour la signalisation et les médias pour les clients Jabber et Webex. L’activation du mode mixte continue d’être requise pour les téléphones IP Cisco et autres points de terminaison Cisco pour le moment. Il existe un plan pour ajouter la prise en charge de SIP OAuth dans les points de terminaison 7800/8800 dans une prochaine version.

Cisco Unity Connection connecte à Unified CM via le port TLS. Lorsque le mode de sécurité du périphérique est non sécurisé, l Cisco Unity Connection connecte à Unified CM via le port SCCP.

Pour configurer la sécurité pour les ports de messagerie vocale Unified CM et les périphériques Cisco Unity qui exécutent SCCP ou Cisco Unity Connection périphériques qui exécutent SCCP, un partenaire peut choisir un mode de sécurité de périphérique sécurisé pour le port. Si vous choisissez un port de messagerie vocale authentifié, une connexion TLS s’ouvre, qui authentifier les périphériques en utilisant un échange de certificat mutuel (chaque périphérique accepte le certificat de l’autre périphérique). Si vous choisissez un port de messagerie vocale crypté, le système authentifier les périphériques, puis envoie les flux vocaux chiffrés entre les périphériques.

Pour plus d’informations sur la sécurité des ports de messagerie vocale, voir : https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/cucm/security/12_5_1_SU1/cucm_b_security-guide-125SU1/cucm_b_security-guide-for-cisco-unified125SU1_chapter_010001.html

Sécuriser les communications entre Cisco Unified CM et CUBE

Pour des communications sécurisées entre Cisco Unified CM et CUBE, les partenaires/clients doivent utiliser un certificat auto-signé ou des certificats signés par une AC.

Pour les certificats auto-signés :

1. CUBE et Cisco Unified CM génèrent des certificats auto-signés

2. CUBE exporte le certificat dans Cisco Unified CM

3. Cisco Unified CM exporte le certificat dans CUBE

Pour les certificats signés par une AC :

1. Le client génère un pair de clé et envoie une demande de signature de certificat (CSR) à l’autorité de certification (AC)

2. L’AC le signe avec sa clé privée, créant un certificat d’identité

3. Le client installe la liste des certificats racines et intermédiaires des AC de confiance et le certificat d’identité

Résumé du protocole

Le tableau suivant montre les protocoles et les services associés utilisés dans la solution Unified CM.

Pour plus d’informations sur la configuration MRA, voir : https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

Sécuriser Jabber et Webex avec SIP OAuth

Les clients Jabber et Webex sont authentifiés via un jeton OAuth au lieu d’un certificat local significatif (LSC), qui ne nécessite pas l’activer la fonction de proxy d’autorité de certification (CAPF) (également pour MRA). SIP OAuth travaillant avec ou sans le mode mixte a été introduit dans Cisco Unified CM 12.5(1), Jabber 12.5 et Expressway X12.5.

Dans Cisco Unified CM 12.5, nous avons une nouvelle option dans Profil de sécurité téléphonique qui permet le chiffrement sans LSC/CAPF, en utilisant le jeton TLS (Transport Layer Security) + OAuth dans L’ENREGISTREMENT SIP. Expressway-C utilisent l’API administrative du service Web XML (AXL) pour informer Cisco Unified CM du SN/SAN dans leur certificat. Cisco Unified CM utilise ces informations pour valider le cert Exp-C lors de l’établissement d’une authentification TLS mutuelle connexion.

SIP OAuth active le chiffrement média et de signalisation sans certificat de point de terminaison (LSC).

Cisco Jabber utilise des ports éphémères et des ports sécurisés ports 6971 et 6972 via la connexion HTTPS sur le serveur TFTP pour télécharger les fichiers de configuration. Le port 6970 est un port non sécurisé pour le téléchargement via HTTP.

Plus de détails sur la configuration OAuth SIP : Mode OAuth SIP.