Cisco IP Phone sécurité

Les fonctionnalités de sécurité offrent une protection contre les menaces, notamment les menaces relatives à l’identité du téléphone et aux données. Ces fonctionnalités établissent et maintiennent des flux de communication authentifiés entre le téléphone et le serveur Cisco Unified Communications Manager. De plus, elles veillent à ce que le téléphone utilise uniquement des fichiers à signature numérique.

Les versions 8.5(1) et ultérieures de Cisco Unified Communications Manager incluent Security par défaut, qui permet aux fonctionnalités de sécurité pour les téléphones IP Cisco d'être utilisées sans le client CTL :

• Signature des fichiers de configuration du téléphone

• Chiffrement des fichiers de configuration du téléphone

• HTTPS avec Tomcat et d'autres services Web

Implémenter la sécurité dans le système Cisco Unified Communications Manager permet de prévenir les usurpations d'identité pour le téléphone et le serveur Cisco Unified Communications Manager, la falsification des données ainsi que la falsification du signalement des appels et des flux multimédia.

Pour se protéger contre ces menaces, le réseau de téléphonie IP Cisco Unified établit et maintient des flux de communication sécurisés (chiffrés) entre un téléphone et le serveur, signe numériquement les fichiers avant leur transfert vers un téléphone et crypte les flux multimédia ainsi que le signalement des appels entre les téléphones IP Cisco Unified.

Lorsque vous effectuez les tâches nécessaires associées au CAPF (fonction proxy de l'autorité de certification), un LSC (certificat valable localement) est installé sur les téléphones. Vous pouvez utiliser Cisco Unified Communications Manager Administration pour configurer un LSC, comme indiqué dans le guide de sécurité de Cisco Unified Communications Manager. Vous pouvez aussi lancer l'installation d'un LSC à partir du menu Paramètres de sécurité du téléphone. Vous pouvez aussi effectuer dans ce menu la mise à jour ou la suppression du certificat LSC.

Un certificat valable localement ne peut être utilisé comme certificat utilisateur pour EAP-TLS avec l'authentification de réseau WLAN.

Les téléphones utilisent le profil de sécurité du téléphone, qui détermine si le périphérique est sécurisé ou non. Pour plus d'informations sur l'application du profil de sécurité au téléphone, consultez la documentation relative à votre version particulière de Cisco Unified Communications Manager.

Si vous configurez des paramètres de sécurité dans Cisco Unified Communications Manager Administration, sachez que le fichier de configuration du téléphone contient des informations sensibles. Pour garantir la confidentialité d'un fichier de configuration, vous devez configurer son chiffrement. Pour plus d'informations, reportez-vous à la documentation relative à votre version particulière de Cisco Unified Communications Manager.

Le téléphone est conforme à la norme FIPS (Federal Information Processing Standards). Pour fonctionner correctement, le mode FIPS exige une taille de clé de 2048 bits ou supérieure. Si le certificat est d'une taille inférieure à 2048 bits, le téléphone ne s'enregistre pas auprès de Cisco Unified Communications Manager et le message Le téléphone n'a pas pu être enregistré. La taille de la clé de certificat n'est pas conforme à FIPS s'affiche sur le téléphone.

Si le téléphone comporte un LSC (certificat valable localement), vous devez mettre à jour la taille de clé du LSC à 2048 bits ou plus avant d'activer FIPS.

Le tableau suivant fournit une vue d'ensemble des fonctionnalités de sécurité prises en charge par le téléphone. Pour obtenir plus d'informations, reportez-vous à la documentation de votre version de Cisco Unified Communications Manager.

Pour afficher le mode de sécurité, appuyez sur Paramètres Et accédez à Paramètres réseau et service > sécurité.

Le tableau suivant contient les différents messages d'alerte de mise à jour de la liste de confiance ainsi que leur signification. Pour plus d'informations, reportez-vous à la documentation de Cisco Unified Communications Manager.

Le menu Paramétrage de sécurité fournit des informations sur les différents paramètres de sécurité. Il permet également d'accéder au menu Liste de confiance et indique si les fichiers CTL ou ITL sont installés sur le téléphone.

Le tableau suivant décrit les options disponibles dans le menu Paramétrage de sécurité.

Les téléphones IP Cisco prennent en charge l’authentification 802.1X.

Les téléphones IP Cisco et les commutateurs Catalyst Cisco utilisent généralement le protocole de découverte Cisco (CDP) pour s’identifier entre eux et pour déterminer des paramètres tels que l’allocation d’un réseau VLAN et les exigences relatives à l'alimentation en ligne. CDP n’identifie pas localement les postes de travail raccordés. Les téléphones IP Cisco fournissent un mécanisme de connexion directe à EAPOL. Grâce à ce mécanisme, un poste de travail raccordé au téléphone IP Cisco peut faire passer des messages EAPOL à l’authentifiant 802.1X et au commutateur LAN. Le mécanisme de connexion directe assure que le téléphone IP n’agisse pas en tant que commutateur LAN pour authentifier un terminal de données avant d'accéder au réseau.

Les téléphones IP Cisco fournissent également un mécanisme de déconnexion d’EAPOL par proxy. Si l’ordinateur raccordé localement est déconnecté du téléphone IP, le commutateur LAN ne détecte pas l’interruption de la liaison physique, car la liaison entre le commutateur LAN et le téléphone IP est maintenue. Pour éviter de compromettre l’intégrité du réseau, le téléphone IP envoie au commutateur un message EAPOL-Logoff au nom de l’ordinateur en aval, pour que le commutateur LAN efface la valeur d’authentification correspondant à l'ordinateur en aval.

La prise en charge de l’authentification 802.1X requiert plusieurs composants :

• Téléphone IP Cisco : le téléphone envoie la requête d'accès au réseau. Les téléphones IP Cisco contiennent un demandeur 802.1X. Ce demandeur permet aux autoriser de contrôler la connectivité des téléphones IP aux ports de commutation LAN. La version actuelle du demandeur 802.1X du téléphone utilise les options EAP-FAST et EAP-TLS pour l’authentification réseau.

• Serveur d'authentification : le serveur d'authentification et le commutateur doivent tous deux être configurés avec un secret partagé qui authentifie le téléphone.

• Commutateur : le commutateur doit prendre en charge la norme 802.1X, afin de pouvoir agir comme authentifiant et transmettre les messages entre le téléphone et le serveur d'authentification. Une fois l’échange terminé, le commutateur accorde ou refuse au téléphone l’autorisation d’accéder au réseau.

Vous devez effectuer les actions suivantes pour configurer 802.1X.

• Configurez les autres composants avant d'activer l’authentification 802.1X sur le téléphone.

• Configure PC Port (Configurer le port PC) : La norme 802.1X ne tenant pas compte des VLAN, il est recommandé qu’un seul périphérique soit authentifié pour un port de commutation donné. Toutefois, certains commutateurs prennent en charge l’authentification sur plusieurs domaines. La configuration du commutateur détermine si vous pouvez brancher un ordinateur dans le port PC du téléphone.

  • Activé : si vous utilisez un commutateur qui prend en charge l'authentification multi-domaine, vous pouvez activer le port PC et y connecter un ordinateur. Dans ce cas, les téléphones IP Cisco prennent en charge la déconnexion d’EAPOL par proxy pour surveiller les échanges d’authentification entre le commutateur et l’ordinateur relié.

    Pour obtenir plus d’informations sur la prise en charge de la norme IEEE 802.1X sur les commutateurs Catalyst Cisco, reportez-vous aux guides de configuration des commutateurs Catalyst Cisco, disponibles à l'adresse :

    Http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Désactivé : si le commutateur ne prend pas en charge plusieurs périphériques conformes à 802.1x sur le même port, vous devez désactiver le port PC lorsque l'authentification 802.1x est activée. Si vous ne désactivez pas ce port et tentez ensuite d’y raccorder un ordinateur, le commutateur refusera l'accès réseau au téléphone et à l’ordinateur.

• Configure Voice VLAN (Configurer le VLAN voix) : la norme 802.1X ne tenant pas compte des VLAN, vous devez configurer ce paramètre en fonction de la prise en charge du commutateur.
  • Activé : si vous utilisez un commutateur qui prend en charge l’authentification sur plusieurs domaines, vous pouvez continuer à utiliser le VLAN voix.
  • Désactivé : si le commutateur ne prend pas en charge l’authentification sur plusieurs domaines, désactivez le VLAN voix et envisagez d’affecter le port à un VLAN natif.
• (Pour téléphone de bureau Cisco série 9800 uniquement)

  Le PID du téléphone de bureau Cisco 9800 Series comporte un préfixe différent de celui des autres téléphones Cisco. Pour activer votre téléphone avec succès l'authentification 802.1x, définissez le Rayon· Nom d'utilisateur pour inclure votre téléphone de bureau Cisco série 9800.

  Par exemple, le PID du téléphone 9841 est DP-9841 ; vous pouvez définir Radius· Nom d'utilisateur commençant par DP ou contient DP. Vous pouvez le définir dans les deux sections suivantes :

  • Stratégie > Conditions > Conditions de la bibliothèque

  • Stratégie > Ensembles de stratégies > Autorisation Stratégie > Règle d'autorisation 1

Lorsque la sécurité est appliquée à un téléphone, une icône s'affiche à l’écran du téléphone. Une tonalité de sécurité est également émise au début des appels lorsque le téléphone connecté est sécurisé et protégé.

Lors d’un appel sécurisé, tous les flux de signalisation d’appel et multimédia sont chiffrés. Les appels sécurisé offrent un niveau élevé de sécurité, ce qui assure leur intégrité et leur confidentialité. Lorsqu'un appel en cours est chiffré, l'icône de sécurité apparaît Sur la ligne. Dans le cas d'un téléphone sécurisé, vous pouvez également afficher l'icône authentifiée Ou l'icône chiffrée En regard du serveur connecté dans le menu du téléphone (Paramètres > À propos de ce périphérique).

Lors d’un appel sécurisé, une tonalité de sécurité est émise au début de l’appel pour indiquer que l’autre téléphone connecté reçoit et émet aussi de l’audio sécurisé. Si l'appel se connecte à un téléphone non sécurisé, la tonalité de sécurité n’est pas émise.

Lorsqu'un téléphone est configuré comme sécurisé (chiffré et fiable) dans Cisco Unified Communications Manager, il peut recevoir protégé statut. Ensuite, si vous le souhaitez, le téléphone protégé peut être configuré pour émettre une tonalité indicative au début de l'appel :

• Protected Device (Périphérique protégé) : pour remplacer l’état d’un téléphone sécurisé par l’état protégé, cochez la case Protected Device (Périphérique protégé) dans la fenêtre Phone Configuration (Configuration du téléphone) de Cisco Unified Communications Manager Administration (Périphérique > Téléphone).

• Play Secure Indication Tone (Émettre la tonalité de sécurisation) : pour que le téléphone protégé émette une tonalité indiquant que le téléphone est sécurisé ou non, définissez cette option par True. Par défaut, l’option Play Secure Indication Tone (Émettre la tonalité de sécurisation) est définie par False. Vous pouvez régler cette option dans Cisco Unified Communications Manager Administration (Système > Paramètres de service). Sélectionnez le serveur, puis le service Unified Communications Manager. Dans la fenêtre Service Parameter Configuration (Configuration des paramètres de service), sélectionnez l’option dans la zone Fonction - Tonalité de sécurité. La valeur par défaut est False.

Cette section s'applique uniquement aux modèles de téléphones équipés de la fonctionnalité Wi-Fi.

Assured Services SIP(AS-SIP) (Services garantis SIP) est un ensemble de fonctions et de protocoles qui offrent un flux d'appels hautement sécurisé pour les téléphones IP Cisco et les téléphones tiers. Les fonctionnalités suivantes sont collectivement dénommées AS-SIP :

• Préséance et préemption à plusieurs niveaux (MLPP, Multilevel Precedence and Preemption)
• Marquage DSCP (Differentiated Services Code Point)
• Sécurité de la couche transport (TLS, Transport Layer Security) et protocole de transport sécurisé en temps réel (SRTP, Secure Real-time Transport Protocol)
• Protocole IP version 6 (IPv6)

AS-SIP est souvent utilisé avec la fonction préséance et préemption à plusieurs niveaux (MLPP) pour classer les appels en cas d'urgence. Avec MLPP, vous affectez un niveau de priorité à vos appels sortants, à partir du niveau 1 (faible) au niveau 5 (élevé). Lorsque vous recevez un appel, une icône de niveau de priorité s'affiche sur le téléphone qui indique la priorité d'appel.

Pour configurer AS-SIP, effectuez les tâches suivantes sur Cisco Unified Communications Manager :

• Configurer un utilisateur Digest : configurez l'utilisateur final pour utiliser l'authentification digest pour les requêtes SIP entrantes.
• Configurer le Port sécurisé SIP du téléphone : Cisco Unified Communications Manager utilise ce port pour écouter les téléphones SIP pour les enregistrements de lignes SIP sur TLS.
• Redémarrer les Services : après avoir configuré le port sécurisé, redémarrer les services du fournisseur Cisco Unified Communications Manager et Cisco CTL. Configurer le profil SIP pour AS-SIP : configurer un profil SIP avec des paramètres SIP pour vos terminaux AS-SIP et vos lignes principales SIP. Les paramètres spécifiques au téléphone ne sont pas téléchargés dans le cas d'un téléphone AS-SIP de fabricant tiers. Ils sont uniquement utilisés par Cisco Unified Manager. Les téléphones de fabricants tiers doivent configurer localement les mêmes paramètres.
• Configurer le profil de sécurité pour AS-SIP : vous pouvez utiliser le profil de sécurité du téléphone pour attribuer des paramètres de sécurité tels que TLS, SRTP et l'authentification digest.
• Configurer le point de terminaison AS-SIP : configurer un point de terminaison de téléphone IP Cisco ou un point de terminaison tiers avec prise en charge AS-SIP.
• Associer le périphérique à l'utilisateur final : associez le point de terminaison à un utilisateur.
• Configurer un profil de sécurité de ligne principale SIP pour AS-SIP : vous pouvez utiliser le profil de sécurité de ligne principale sip pour affecter des fonctionnalités de sécurité telles que l'authentification TLS ou digest à une ligne principale SIP.
• Configurez la ligne principale SIP pour AS-SIP : configurez une ligne principale SIP avec prise en charge AS-SIP.
• Configurer les fonctionnalités AS-SIP : configurer des fonctionnalités AS-SIP supplémentaires telles que MLPP, TLS, V.150 et IPv6.

Pour plus d'informations sur la configuration d'AS-SIP, reportez-vous au chapitre "Configurer les terminaux AS-SIP" du Guide de configuration des fonctions pour Cisco Unified Communications Manager.

Lorsque les codes d'autorisation forcée (FAC) ou les codes d'affaire client (CMC), ou les deux, sont configurés sur le téléphone, les utilisateurs doivent saisir un numéro par mot de passe requis.

Pour plus d'informations sur la configuration des FAC et des CMC dans Cisco Unified Communications Manager, reportez-vous au chapitre «  Codes d'affaire client et codes d'autorisation forcée" du Guide de configuration des fonctionnalités de Cisco Unified Communications Manager, version 12.5 (1) ou ultérieure.