Les fonctionnalités de sécurité protègent contre les menaces, notamment contre l'identité du téléphone et contre les données. Ces fonctionnalités établissent et maintiennent des flux de communication authentifiés entre le téléphone et le serveur Cisco Unified Communications Manager, et garantissent que le téléphone n'utilise que des fichiers signés numériquement.

La version 8.5 (1) et ultérieures de Cisco Unified Communications Manager inclut la fonction de sécurité par défaut, qui fournit les fonctionnalités de sécurité suivantes pour les téléphones IP Cisco sans exécuter le client CTL :

• Signature des fichiers de configuration téléphoniques

• Chiffrement du fichier de configuration du téléphone

• HTTPS avec Tomcat et d’autres services web

La mise en œuvre de la sécurité dans le système Cisco Unified Communications Manager empêche l'usurpation d'identité du téléphone et du serveur Cisco Unified Communications Manager, empêche la falsification des données et empêche la signalisation des appels et la falsification du flux de médias.

Pour atténuer ces menaces, le réseau de téléphonie IP Cisco établit et maintient des flux de communication sécurisés (chiffrés) entre un téléphone et le serveur, signe numériquement les fichiers avant leur transfert vers un téléphone, et crypte les flux multimédia et la signalisation d'appel entre les téléphones IP Cisco.

Un certificat localement significatif (LSC) est installé sur les téléphones une fois que vous avez effectué les tâches nécessaires associées à la fonction proxy de l'autorité de certification (CAPF). Vous pouvez utiliser Cisco Unified Communications Manager Administration pour configurer un LSC, comme décrit dans le Guide de sécurité de Cisco Unified Communications Manager. Vous pouvez également lancer l'installation d'un certificat valable localement à partir du menu Paramètres de sécurité du téléphone. Ce menu vous permet également de mettre à jour ou de supprimer un certificat valable localement.

Un certificat valable localement ne peut pas être utilisé comme certificat utilisateur pour EAP-TLS avec authentification WLAN.

Les téléphones utilisent le profil de sécurité du téléphone, qui définit si le périphérique est sécurisé ou non. Pour plus d'informations sur l'application du profil de sécurité au téléphone, consultez la documentation relative à votre version particulière de Cisco Unified Communications Manager.

Si vous configurez des paramètres de sécurité dans Cisco Unified Communications Manager Administration, le fichier de configuration du téléphone contient des informations sensibles. Pour garantir la confidentialité d'un fichier de configuration, vous devez le configurer pour le chiffrement. Pour obtenir des informations détaillées, reportez-vous à la documentation relative à votre version particulière de Cisco Unified Communications Manager.

Le téléphone est conforme à la norme FIPS (Federal Information Processing Standard). Pour fonctionner correctement, le mode FIPS nécessite une taille de clé de 2048 bits ou plus. Si le certificat est inférieur à 2048 bits, le téléphone ne s'enregistre pas auprès de Cisco Unified Communications Manager et Le téléphone n'a pas pu être enregistré. La taille de la clé de certificat n'est pas conforme à FIPS s'affiche sur le téléphone.

Si le téléphone dispose d'un certificat valable localement, vous devez mettre à jour la taille de clé du certificat valable localement à 2048 bits ou plus avant d'activer FIPS.

Le tableau suivant présente une vue d'ensemble des fonctionnalités de sécurité prises en charge par les téléphones. Pour plus d'informations, reportez-vous à la documentation relative à votre version particulière de Cisco Unified Communications Manager.

Pour afficher le mode de sécurité, appuyez sur Paramètres et allez dans Réseau et service > Paramètres de sécurité.

Le tableau suivant contient les messages d'alarme de mise à jour de la liste de confiance et leur signification. Pour plus d'informations, reportez-vous à la documentation de Cisco Unified Communications Manager.

Le menu Paramétrage de sécurité fournit des informations sur les différents paramètres de sécurité. Le menu permet également d'accéder au menu Liste de confiance et indique si le fichier CTL ou ITL est installé sur le téléphone.

Le tableau suivant décrit les options du menu Paramétrage de sécurité.

Les téléphones IP Cisco prennent en charge l'authentification 802.1X.

Les téléphones IP Cisco et les commutateurs Catalyst Cisco utilisent généralement le protocole CDP (Cisco Discovery Protocol) pour s’identifier les uns les autres et déterminer des paramètres tels que l’allocation VLAN et les besoins en alimentation en ligne. CDP n’identifie pas localement les postes de travail raccordés. Les téléphones IP Cisco fournissent un mécanisme de transmission EAPOL. Ce mécanisme permet à un poste de travail raccordé au téléphone IP Cisco de transmettre des messages EAPOL à l’authentificateur 802.1X au niveau du commutateur LAN. Le mécanisme de transmission directe garantit que le téléphone IP n'agit pas en tant que commutateur LAN pour authentifier un point de terminaison de données avant d'accéder au réseau.

Les téléphones IP Cisco fournissent également un mécanisme de déconnexion EAPOL par proxy. Si l’ordinateur connecté localement se déconnecte du téléphone IP, le commutateur LAN ne voit pas la connexion physique en panne, car la liaison entre le commutateur LAN et le téléphone IP est maintenue. Pour éviter de compromettre l'intégrité du réseau, le téléphone IP envoie un message EAPOL-Logoff au commutateur pour le compte de l'ordinateur en aval, ce qui déclenche le commutateur LAN pour effacer l'entrée d'authentification de l'ordinateur en aval.

La prise en charge de l'authentification 802.1X nécessite plusieurs composants :

• Téléphone IP Cisco : Le téléphone lance la demande d'accès au réseau. Les téléphones IP Cisco contiennent un demandeur 802.1X. Ce demandeur permet aux administrateurs réseau de contrôler la connectivité des téléphones IP aux ports de commutation LAN. La version actuelle du demandeur 802.1X du téléphone utilise les options EAP-FAST et EAP-TLS pour l'authentification réseau.

• Serveur d’authentification : Le serveur d'authentification et le commutateur doivent tous deux être configurés avec un secret partagé qui authentifie le téléphone.

• Commuter : Le commutateur doit prendre en charge 802.1X, afin qu'il puisse agir en tant qu'authentificateur et transmettre les messages entre le téléphone et le serveur d'authentification. Une fois l'échange terminé, le commutateur accorde ou refuse au téléphone l'accès au réseau.

Vous devez effectuer les actions suivantes pour configurer 802.1X.

• Configurez les autres composants avant d'activer l'authentification 802.1X sur le téléphone.

• Configurer le port PC : La norme 802.1X ne prend pas en compte les VLAN et recommande donc qu'un seul périphérique soit authentifié sur un port de commutation spécifique. Cependant, certains commutateurs prennent en charge l'authentification sur plusieurs domaines. La configuration du commutateur détermine si vous pouvez connecter un PC au port PC du téléphone.

  • Activé : Si vous utilisez un commutateur qui prend en charge l'authentification sur plusieurs domaines, vous pouvez activer le port PC et y connecter un ordinateur. Dans ce cas, les téléphones IP Cisco prennent en charge le déconnexion de l'EAPOL par proxy pour surveiller les échanges d'authentification entre le commutateur et l'ordinateur connecté.

    Pour plus d'informations sur la prise en charge de la norme IEEE 802.1X sur les commutateurs Catalyst Cisco, reportez-vous aux guides de configuration des commutateurs Catalyst Cisco à l'adresse :

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Désactivé : Si le commutateur ne prend pas en charge plusieurs périphériques compatibles 802.1X sur le même port, vous devez désactiver le port PC lorsque l'authentification 802.1X est activée. Si vous ne désactivez pas ce port et que vous tentez ensuite d’y brancher un ordinateur, le commutateur refuse l’accès réseau au téléphone et à l’ordinateur.

• Configurer le VLAN voix : Étant donné que la norme 802.1X ne prend pas en compte les VLAN, vous devez configurer ce paramètre en fonction de la prise en charge du commutateur.
  • Activé : Si vous utilisez un commutateur qui prend en charge l’authentification sur plusieurs domaines, vous pouvez continuer à utiliser le VLAN voix.
  • Désactivé : Si le commutateur ne prend pas en charge l’authentification sur plusieurs domaines, désactivez le VLAN voix et envisagez d’affecter le port au VLAN natif.
• (Pour les téléphones Cisco Desk Phone série 9800 uniquement)

  Le PID du téléphone de bureau Cisco série 9800 comporte un préfixe différent de celui des autres téléphones Cisco. Pour permettre à votre téléphone de passer l'authentification 802.1X, configurez le paramètre Radius·Nom d'utilisateur pour inclure votre téléphone de bureau Cisco série 9800.

  Par exemple, le PID du téléphone 9841 est DP-9841 ; vous pouvez configurer Radius.Nom d'utilisateur sur Démarrer avec DP ou Contient DP. Vous pouvez le configurer dans les deux sections suivantes :

  • Politique > Conditions > Conditions de la bibliothèque

  • Politique > Ensembles de politiques > Politique d'autorisation > Règle d'autorisation 1

Lorsque la sécurité est mise en œuvre pour un téléphone, vous pouvez identifier les appels téléphoniques sécurisés par des icônes sur l'écran du téléphone. Vous pouvez également déterminer si le téléphone connecté est sécurisé et protégé si une tonalité de sécurité est émise au début de l'appel.

Lors d'un appel sécurisé, tous les flux de signalisation d'appel et de média sont chiffrés. Un appel sécurisé offre un niveau élevé de sécurité, assurant son intégrité et sa confidentialité. Lorsqu’un appel en cours est chiffré, vous pouvez voir l’icône sécurisée sur la ligne. Pour un téléphone sécurisé, vous pouvez également afficher l'icône authentifiée ou l'icône chiffrée à côté du serveur connecté dans le menu du téléphone (Paramètres > À propos de ce périphérique).

Lors d'un appel sécurisé, une tonalité de sécurité est émise au début d'un appel pour indiquer que l'autre téléphone connecté reçoit et transmet également un son sécurisé. Si votre appel est connecté à un téléphone non sécurisé, la tonalité de sécurité n'est pas émise.

Lorsqu'un téléphone est configuré comme sécurisé (chiffré et approuvé) dans Cisco Unified Communications Manager, il peut recevoir un statut protégé . Ensuite, si vous le souhaitez, le téléphone protégé peut être configuré pour émettre une tonalité d'indication au début d'un appel :

• Périphérique protégé : Pour remplacer l'état d'un téléphone sécurisé par protégé, cochez la case Protected Device (Périphérique protégé) dans la fenêtre Phone Configuration (Configuration du téléphone) de Cisco Unified Communications Manager Administration (Périphérique > Téléphone).

• Diffuser la tonalité de sécurisation : Pour permettre au téléphone protégé de diffuser une tonalité d'indication sécurisée ou non, définissez le paramètre Play Secure Indication Tone sur True (Lire la tonalité d'indication sécurisée). Par défaut, Play Secure Indication Tone (Émettre la tonalité de sécurisation) est défini sur False (Faux). Vous configurez cette option dans Cisco Unified Communications Manager Administration (Système > Paramètres du service). Sélectionnez le serveur, puis le service Unified Communications Manager. Dans la fenêtre Service Parameter Configuration (Configuration des paramètres de service), sélectionnez l'option dans la zone Fonctionnalité - Tonalité de sécurité. La valeur par défaut est Faux.

Étant donné que tous les périphériques WLAN qui sont à portée peuvent recevoir tout le trafic WLAN, la sécurisation des communications vocales est essentielle dans les réseaux WLAN. Pour garantir que les intrus ne manipulent pas et n'interceptent pas le trafic vocal, l'architecture de sécurité SAFE de Cisco prend en charge le téléphone. Pour plus d'informations sur la sécurité dans les réseaux, voir http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

La solution de téléphonie IP sans fil Cisco assure la sécurité des réseaux sans fil, empêchant les connexions non autorisées et les communications dangereuses, à l'aide des méthodes d'authentification suivantes prises en charge par le téléphone :

• Ouvrir l'authentification : Tout périphérique sans fil peut demander une authentification dans un système ouvert. Le point d'accès qui reçoit la demande peut accorder l'authentification à n'importe quel demandeur ou uniquement aux demandeurs figurant sur une liste d'utilisateurs. La communication entre le périphérique sans fil et le point d'accès (AP) peut être non chiffrée.

• Authentification EAP-FAST (Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling) : Cette architecture de sécurité client-serveur chiffre les transactions EAP au sein d'un tunnel de sécurité de niveau de transport (TLS) entre le point d'accès et le serveur RADIUS, tel que le moteur de services d'identité (ISE).

  Le tunnel TLS utilise des informations d'authentification protégées (PAC) pour l'authentification entre le client (téléphone) et le serveur RADIUS. Le serveur envoie un ID d'autorité (AID) au client (téléphone), qui à son tour sélectionne le PAC approprié. Le client (téléphone) renvoie un PAC-Opaque au serveur RADIUS. Le serveur déchiffre le PAC avec la clé principale. Les deux terminaux contiennent maintenant la clé PAC et un tunnel TLS est créé. EAP-FAST prend en charge la mise à disposition automatique de PAC, mais vous devez l'activer sur le serveur RADIUS.

  Dans ISE, par défaut, le PAC expire dans une semaine. Si le téléphone a un PAC expiré, l'authentification avec le serveur RADIUS prend plus de temps pendant que le téléphone obtient un nouveau PAC. Pour éviter les délais de mise à disposition de PAC, définissez la période d'expiration de PAC à 90 jours ou plus sur le serveur ISE ou RADIUS.

• Authentification Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) : EAP-TLS nécessite un certificat client pour l'authentification et l'accès au réseau. Pour EAP-TLS sans fil, le certificat client peut être MIC, LSC ou certificat installé par l'utilisateur.

• Protected Extensible Authentication Protocol (PEAP) : Schéma d'authentification mutuelle propriétaire par mot de passe entre le client (téléphone) et un serveur RADIUS. Le téléphone peut utiliser PEAP pour l'authentification avec le réseau sans fil. Les méthodes d'authentification PEAP-MSCHAPV2 et PEAP-GTC sont prises en charge.

• Clé pré-partagée (PSK) : Le téléphone prend en charge le format ASCII. Vous devez utiliser ce format lorsque vous configurez une clé pré-partagée WPA/WPA2/SAE :

  ASCII : une chaîne de caractères ASCII de 8 à 63 caractères (0 à 9, A à Z minuscule et majuscule, et caractères spéciaux)

  Exemple: GREG123567@9ZX&W

Les modèles d'authentification suivants utilisent le serveur RADIUS pour gérer les clés d'authentification :

• wpa/wpa2/wpa3 : Utilise les informations du serveur RADIUS pour générer des clés uniques d'authentification. Ces clés étant générées par le serveur RADIUS centralisé, WPA2/WPA3 offre plus de sécurité que les clés prépartagées WPA stockées sur le point d'accès et le téléphone.

• Itinérance sécurisée rapide : Utilise les informations du serveur RADIUS et d'un serveur de domaine sans fil (WDS) pour gérer et authentifier les clés. Le WDS crée un cache d'informations d'authentification de sécurité pour les périphériques clients avec FT pour une réauthentification rapide et sécurisée. Les téléphones de bureau Cisco 9861 et 9871 et les téléphones vidéo Cisco 8875 prennent en charge 802.11r (FT). Tant sur l'antenne que sur le DS sont pris en charge pour permettre l'itinérance sécurisée rapide. Mais nous vous recommandons fortement d'utiliser la méthode 802.11r (FT) par rapport à la méthode aérienne.

Avec WPA/WPA2/WPA3, les clés de chiffrement ne sont pas saisies sur le téléphone, mais sont automatiquement dérivées entre le point d'accès et le téléphone. Mais les nom d'utilisateur et mot de passe EAP utilisés pour l'authentification doivent être saisis sur chaque téléphone.

Pour garantir que le trafic voix est sécurisé, le téléphone prend en charge TKIP et AES pour le chiffrement. Lorsque ces mécanismes sont utilisés pour le chiffrement, les paquets SIP de signalisation et les paquets RTP (Real-Time Transport Protocol) vocaux sont chiffrés entre le point d'accès et le téléphone.

kip (tkip)

WPA utilise un chiffrement TKIP qui a plusieurs améliorations par rapport à WEP. TKIP fournit un chiffrement de clé par paquet et des vecteurs d'initialisation (IV) plus longs qui renforcent le chiffrement. De plus, une vérification de l’intégrité des messages (MIC, Message Integrity Check) garantit que les paquets chiffrés ne sont pas modifiés. TKIP supprime la prévisibilité de WEP qui aide les intrus à déchiffrer la clé WEP.

aes

Une méthode de chiffrement utilisée pour l'authentification WPA2/WPA3. Cette norme nationale de chiffrement utilise un algorithme symétrique qui possède la même clé pour le chiffrement et le déchiffrement. AES utilise un chiffrement CBC (Cipher Blocking Chain) d'une taille de 128 bits, qui prend en charge les tailles de clés de 128 bits, 192 bits et 256 bits au minimum. Le téléphone prend en charge une taille de clé de 256 bits.

Les modèles d'authentification et de chiffrement sont configurés dans le réseau local sans fil. Les VLAN sont configurés dans le réseau et sur les points d'accès et spécifient différentes combinaisons d'authentification et de chiffrement. Un SSID s'associe à un VLAN et au schéma d'authentification et de chiffrement particulier. Pour que les périphériques clients sans fil puissent s'authentifier avec succès, vous devez configurer les mêmes SSID avec leurs modèles d'authentification et de chiffrement sur les points d'accès et sur le téléphone.

Certains modèles d'authentification nécessitent des types de chiffrement spécifiques.

Les modèles d'authentification et de chiffrement du tableau suivant présentent les options de configuration réseau pour le téléphone qui correspond à la configuration du point d'accès.

Assured Services SIP(AS-SIP) est un ensemble de fonctionnalités et de protocoles qui offrent un flux d'appels hautement sécurisé pour les téléphones IP Cisco et les téléphones tiers. Les fonctionnalités suivantes sont collectivement appelées AS-SIP :

• Préséance et préemption à plusieurs niveaux (MLPP)
• Point de code de services différenciés (DSCP)
• Sécurité de la couche transport (TLS) et protocole de transport sécurisé en temps réel (SRTP)
• Protocole Internet version 6 (IPv6)

AS-SIP est souvent utilisé avec la fonction de préséance et préemption à plusieurs niveaux (MLPP) pour donner la priorité aux appels en cas d'urgence. Avec MLPP, vous attribuez un niveau de priorité à vos appels sortants, du niveau 1 (faible) au niveau 5 (élevé). Lorsque vous recevez un appel, une icône de niveau de priorité s'affiche sur le téléphone qui indique la priorité d'appel.

Pour configurer AS-SIP, effectuez les tâches suivantes sur Cisco Unified Communications Manager :

• Configurer un utilisateur Digest : configurez l'utilisateur final pour utiliser l'authentification digest pour les demandes SIP.
• Configurer le port sécurisé du téléphone SIP : Cisco Unified Communications Manager utilise ce port pour écouter les téléphones SIP pour les enregistrements de lignes SIP sur TLS.
• Redémarrer les services : après avoir configuré le port sécurisé, redémarrez les services du fournisseur Cisco Unified Communications Manager et Cisco CTL. Configurer le profil SIP pour AS-SIP - Configurez un profil SIP avec des paramètres SIP pour vos terminaux AS-SIP et pour vos troncs SIP. Les paramètres spécifiques au téléphone ne sont pas téléchargés sur un téléphone AS-SIP tiers. Ils ne sont utilisés que par Cisco Unified Manager. Les téléphones de fabricants tiers doivent configurer localement les mêmes paramètres.
• Configurer le profil de sécurité du téléphone pour AS-SIP : vous pouvez utiliser le profil de sécurité du téléphone pour affecter des paramètres de sécurité tels que l'authentification TLS, SRTP et digest.
• Configurer le point de terminaison AS-SIP : configurez un point de terminaison de téléphone IP Cisco ou un point de terminaison tiers avec prise en charge AS-SIP.
• Associer le périphérique à l'utilisateur final : associer le terminal à un utilisateur.
• Configurer le profil de sécurité du tronc SIP pour AS-SIP : vous pouvez utiliser le profil de sécurité du tronc sip pour affecter des fonctionnalités de sécurité telles que l'authentification TLS ou digest à un tronc SIP.
• Configurer le tronc SIP pour AS-SIP : configurez un tronc SIP avec prise en charge AS-SIP.
• Configurer les fonctionnalités AS-SIP : configurez des fonctionnalités AS-SIP supplémentaires telles que MLPP, TLS, V.150 et IPv6.

Pour des informations détaillées sur la configuration de AS-SIP, voir le chapitre « Configurer les points de terminaison AS-SIP » dans le Guide de configuration des fonctionnalités pour Cisco Unified Communications Manager.

Lorsque les codes d'autorisation forcée (FAC) ou les codes d'affaire client (CMC), ou les deux, sont configurés sur le téléphone, les utilisateurs doivent saisir les mots de passe requis pour composer un numéro.

Pour plus d'informations sur la configuration de FAC et CMC dans Cisco Unified Communications Manager, voir le chapitre « Codes d'affaire client et codes d'autorisation forcée » dans le Guide de configuration des fonctionnalités pour Cisco Unified Communications Manager, version 12.5(1) ou ultérieure.