Merci pour votre commentaire.

Les dispositifs de sécurité protègent contre les menaces, y compris les menaces visant l'identité du téléphone et les données. Ces fonctionnalités établissent et gèrent des flux de communication authentifiés entre le téléphone et le Cisco Unified Communications Manager serveur, et garantissent que le téléphone utilise uniquement des fichiers signés numériquement.

Cisco Unified Communications ManagerLes versions 8.5 (1) et ultérieures incluent la sécurité par défaut, qui fournit les fonctionnalités de sécurité suivantes pour les téléphones IP Cisco sans utiliser le client CTL :

• Signature des fichiers de configuration du téléphone

• Chiffrement des fichiers de configuration du téléphone

• HTTPS avec Tomcat et d'autres services Web

La mise en place de mesures de sécurité dans le Cisco Unified Communications Manager système empêche l' usurpation d'identité du téléphone et Cisco Unified Communications Manager du serveur, empêche la falsification des données, la signalisation des appels et la falsification des flux multimédia.

Pour atténuer ces menaces, le réseau de téléphonie IP Cisco établit et gère des flux de communication sécurisés (cryptés) entre un téléphone et le serveur, signe numériquement les fichiers avant qu'ils ne soient transférés sur un téléphone et crypte les flux multimédia et la signalisation des appels entre les téléphones IP Cisco.

Un certificat d'importance locale (LSC) s'installe sur les téléphones une fois que vous avez effectué les tâches nécessaires associées à la fonction Certificate Authority proxy (CAPF). Vous pouvez l'utiliser Cisco Unified Communications Manager Administration pour configurer un LSC, comme décrit dans le Guide Cisco Unified Communications Manager de sécurité. Vous pouvez également lancer l'installation d'un LSC depuis le menu des paramètres de sécurité du téléphone. Ce menu vous permet également de mettre à jour ou de supprimer un LSC.

Les téléphones utilisent le profil de sécurité du téléphone, qui définit si l'appareil n'est pas sécurisé ou non. Pour plus d'informations sur l'application du profil de sécurité au téléphone, consultez la documentation relative à votre Cisco Unified Communications Manager version en question.

Si vous configurez les paramètres de sécurité dansCisco Unified Communications Manager Administration, le fichier de configuration du téléphone contient des informations sensibles. Pour garantir la confidentialité d' un fichier de configuration, vous devez le configurer pour le chiffrer. Pour plus d'informations, consultez la documentation de votre Cisco Unified Communications Manager version en question.

Le téléphone est conforme à la norme fédérale de traitement de l'information (FIPS). Pour fonctionner correctement, le mode FIPS nécessite une taille de clé de 2 048 bits ou plus. Si le certificat est inférieur à 2 048 bits, le téléphone ne s'enregistrera pas Cisco Unified Communications Manager et le téléphone ne s'est pas enregistré. La taille de la clé de certificat n'est pas conforme à la norme FIPS affichée sur le téléphone.

Si le téléphone est équipé d'un LSC, vous devez mettre à jour la taille de la clé LSC à 2 048 bits ou plus avant d'activer le FIPS.

Le tableau suivant donne un aperçu des fonctionnalités de sécurité prises en charge par les téléphones. Pour plus d'informations, consultez la documentation de votre Cisco Unified Communications Manager version en question.

Pour accéder au mode sécurité, appuyez sur Paramètres et accédez à Réseau et service > Paramètres de sécurité.

Le tableau suivant contient les messages d'alarme relatifs à la mise à jour de la liste de confiance et leur signification. Pour plus d'informations, consultez la Cisco Unified Communications Manager documentation.

Le menu Configuration de la sécurité fournit des informations sur les différents paramètres de sécurité. Le menu donne également accès au menu Trust List et indique si le fichier CTL ou ITL est installé sur le téléphone.

Le tableau suivant décrit les options du menu Configuration de la sécurité.

Les téléphones IP Cisco prennent en charge l'authentification 802.1X.

Les téléphones IP Cisco et les commutateurs Cisco Catalyst utilisent Cisco Discovery Protocol traditionnellement le CDP pour s'identifier et déterminer des paramètres tels que l'allocation du VLAN et les besoins en alimentation en ligne. Le CDP n'identifie pas les postes de travail connectés localement. Les téléphones IP Cisco proposent un mécanisme d'échange EAPOL. Ce mécanisme permet à une station de travail connectée au téléphone IP Cisco de transmettre des messages EAPOL à l'authentificateur 802.1X du commutateur LAN. Le mécanisme de transmission garantit que le téléphone IP ne fait pas office de commutateur LAN pour authentifier un point de terminaison de données avant d'accéder au réseau.

Les téléphones IP Cisco proposent également un mécanisme de déconnexion EAPOL par proxy. Si le PC connecté localement se déconnecte du téléphone IP, le commutateur LAN ne voit pas la liaison physique échouer, car la liaison entre le commutateur LAN et le téléphone IP est maintenue. Pour ne pas compromettre l'intégrité du réseau, le téléphone IP envoie un message de déconnexion EAPOL au commutateur au nom du PC en aval, ce qui déclenche l'effacement de l'entrée d'authentification du PC en aval par le commutateur LAN.

La prise en charge de l'authentification 802.1X nécessite plusieurs composants :

• Téléphone IP Cisco : C'est le téléphone qui lance la demande d'accès au réseau. Les téléphones IP Cisco contiennent un implorant 802.1X. Ce suppliant permet aux administrateurs réseau de contrôler la connectivité des téléphones IP aux ports du commutateur LAN. La version actuelle du téléphone 802.1X supplicant utilise les options EAP-FAST et EAP-TLS pour l'authentification réseau.

• Serveur d'authentification : Le serveur d'authentification et le switch doivent tous deux être configurés avec un secret partagé qui authentifie le téléphone.

• Switch : Le switch doit prendre en charge la norme 802.1X pour pouvoir faire office d'authentificateur et transmettre les messages entre le téléphone et le serveur d'authentification. Une fois l'échange terminé, le commutateur accorde ou refuse l'accès téléphonique au réseau.

Vous devez effectuer les actions suivantes pour configurer le 802.1X.

• Configurez les autres composants avant d'activer l'authentification 802.1X sur le téléphone.

• Configurer le port du PC : La norme 802.1X ne prend pas en compte les VLAN et recommande donc qu'un seul appareil soit authentifié sur un port de commutateur spécifique. Cependant, certains commutateurs prennent en charge l'authentification multidomaine. La configuration du switch détermine si vous pouvez connecter un PC au port PC du téléphone.

  • Activé : si vous utilisez un commutateur qui prend en charge l'authentification multidomaine, vous pouvez activer le port PC et y connecter un PC. Dans ce cas, les téléphones IP Cisco prennent en charge le proxy EAPOL-Logoff pour surveiller les échanges d'authentification entre le switch et le PC connecté.

    Pour plus d'informations sur la prise en charge de la norme IEEE 802.1X sur les commutateurs Cisco Catalyst, consultez les guides de configuration des commutateurs Cisco Catalyst à l'adresse suivante :

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Désactivé : si le commutateur ne prend pas en charge plusieurs appareils conformes à la norme 802.1X sur le même port, vous devez désactiver le port PC lorsque l'authentification 802.1X est activée. Si vous ne désactivez pas ce port pour essayer d'y connecter un PC, le switch refuse l'accès réseau au téléphone et à l'ordinateur.

• Configurer le VLAN vocal : comme la norme 802.1X ne prend pas en compte les VLAN, vous devez configurer ce paramètre en fonction de la prise en charge des commutateurs.
  • Activé : si vous utilisez un commutateur qui prend en charge l'authentification multidomaine, vous pouvez continuer à utiliser le VLAN vocal.
  • Désactivé : si le commutateur ne prend pas en charge l'authentification multidomaine, désactivez le VLAN vocal et envisagez d'attribuer le port au VLAN natif.
• (Pour les téléphones de bureau Cisco de la gamme 9800 uniquement)

  Les téléphones de bureau Cisco de la série 9800 ont un préfixe PID différent de celui des autres téléphones Cisco. Pour permettre à votre téléphone de passer l'authentification 802.1X, définissez le paramètre Radius·User-Name pour inclure votre téléphone de bureau Cisco de la gamme 9800.

  Par exemple, le PID du téléphone 9841 est DP-9841 ; vous pouvez définir Radius·User-Name sur Start by DP ou Contains DP. Vous pouvez le configurer dans les deux sections suivantes :

  • Politique > Conditions > Conditions de la bibliothèque

  • Politique > Ensembles de politiques > Politique d'autorisation > Règle d'autorisation 1

Lorsque la sécurité est mise en place pour un téléphone, vous pouvez identifier les appels téléphoniques sécurisés grâce à des icônes sur l'écran du téléphone. Vous pouvez également déterminer si le téléphone connecté est sécurisé et protégé si une tonalité de sécurité retentit au début de l'appel.

Lors d'un appel sécurisé, tous les signaux d'appel et les flux multimédia sont cryptés. Un appel sécurisé offre un haut niveau de sécurité, garantissant intégrité et confidentialité. Lorsqu'un appel en cours est crypté, vous pouvez voir l'icône sécurisée sur la ligne. Pour un téléphone sécurisé, vous pouvez également voir l'icône authentifiée ou cryptée à côté du serveur connecté dans le menu du téléphone (Réglages > À propos de cet appareil).

Lors d'un appel sécurisé, une tonalité de sécurité retentit au début de l'appel pour indiquer que l'autre téléphone connecté reçoit et transmet également du son sécurisé. Si votre appel est lié à un téléphone non sécurisé, la tonalité de sécurité ne passe pas.

Lorsqu'un téléphone est configuré comme sécurisé (crypté et fiable)Cisco Unified Communications Manager, il peut recevoir le statut de protection. Ensuite, si vous le souhaitez, le téléphone protégé peut être configuré pour émettre une tonalité d'indication au début d'un appel :

• Appareil protégé : pour passer du statut d'un téléphone sécurisé à protégé, cochez la case Appareil protégé dans la fenêtre de configuration du téléphone dans Cisco Unified Communications Manager Administration (Appareil > Téléphone).

• Play Secure Indication Tone : Pour permettre au téléphone protégé d'émettre une tonalité sécurisée ou non sécurisée, réglez le réglage Play Secure Indication Tone sur True. Par défaut, la tonalité d'indication Play Secure est réglée sur False. Vous définissez cette option dans Cisco Unified Communications Manager Administration (Système > Paramètres de service). Sélectionnez le serveur, puis le service Unified Communications Manager. Dans la fenêtre Configuration des paramètres de service, sélectionnez l'option dans la zone Fonctionnalité - Secure Tone. La valeur par défaut est False.

Comme tous les appareils WLAN à portée peuvent recevoir tout autre trafic WLAN, la sécurisation des communications vocales est essentielle sur les réseaux locaux sans fil. Pour s'assurer que les intrus ne manipulent ni n'interceptent le trafic vocal, l'architecture Cisco SAFE Security prend en charge le téléphone. Pour plus d'informations sur la sécurité des réseaux, rendez-vous sur http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

La solution de téléphonie IP sans fil Cisco assure la sécurité du réseau sans fil qui empêche les connexions non autorisées et les communications compromises en utilisant les méthodes d'authentification suivantes prises en charge par le téléphone :

• Authentification ouverte : n'importe quel appareil sans fil peut demander une authentification dans un système ouvert. L'AP qui reçoit la demande peut authentifier n'importe quel demandeur ou uniquement aux demandeurs figurant sur une liste d'utilisateurs. La communication entre l'appareil sans fil et le point d'accès (AP) n'est peut-être pas cryptée.

• Protocole d'authentification extensible : authentification flexible via un tunnel sécurisé (EAP-FAST) Authentification : Cette architecture de sécurité client-serveur chiffre les transactions EAP dans un tunnel TLS (Transport Level Security) entre l'AP et le serveur RADIUS, tel que Identity Services Engine (ISE).

  Le tunnel TLS utilise des informations d'accès protégées (PAC) pour l'authentification entre le client (téléphone) et le serveur RADIUS. Le serveur envoie un identifiant d'autorité (AID) au client (téléphone), qui sélectionne à son tour le PAC approprié. Le client (téléphone) renvoie un PAC-opaque au serveur RADIUS. Le serveur déchiffre le PAC à l'aide de la clé primaire. Les deux points de terminaison contiennent désormais la clé PAC et un tunnel TLS est créé. EAP-FAST prend en charge le provisionnement automatique des PAC, mais vous devez l'activer sur le serveur RADIUS.

  Dans ISE, par défaut, le PAC expire dans une semaine. Si le PAC du téléphone est expiré, l'authentification auprès du serveur RADIUS prend plus de temps tant que le téléphone reçoit un nouveau PAC. Pour éviter les retards d'approvisionnement du PAC, définissez la période d'expiration du PAC à 90 jours ou plus sur le serveur ISE ou RADIUS.

• Authentification EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) : L'EAP-TLS nécessite un certificat client pour l'authentification et l'accès au réseau. Pour l'EAP-TLS sans fil, le certificat client peut être un MIC, un LSC ou un certificat installé par l'utilisateur.

• Protocole d'authentification extensible protégé (PEAP) : système d'authentification mutuelle basé sur un mot de passe propriétaire de Cisco entre le client (téléphone) et un serveur RADIUS. Le téléphone peut utiliser le protocole PEAP pour s'authentifier sur le réseau sans fil. Les méthodes d'authentification PEAP-MSCHAPV2 et PEAP-GTC sont prises en charge.

• Clé pré-partagée (PSK) : le téléphone prend en charge le format ASCII. Vous devez utiliser ce format pour configurer une clé prépartagée WPA/WPA2/SAE :

  ASCII : chaîne de caractères ASCII de 8 à 63 caractères (0 à 9, minuscules et majuscules de A à Z, caractères spéciaux)

  Exemple : GREG123567 @9ZX &W

Les schémas d'authentification suivants utilisent le serveur RADIUS pour gérer les clés d'authentification :

• WPA/WPA2/WPA3 : utilise les informations du serveur RADIUS pour générer des clés uniques d'authentification. Comme ces clés sont générées sur le serveur RADIUS centralisé, le WPA2/WPA3 offre plus de sécurité que les clés prépartagées WPA stockées sur l'AP et le téléphone.

• Roaming rapide et sécurisé : utilise les informations du serveur RADIUS et d'un serveur de domaine sans fil (WDS) pour gérer et authentifier les clés. Le WDS crée un cache contenant les informations de sécurité pour les appareils clients compatibles FT afin de permettre une réauthentification rapide et sécurisée. Les téléphones de bureau Cisco 9861 et 9871 et le visiophone Cisco 8875 sont compatibles avec la norme 802.11r (FT). La diffusion en direct et la DS sont prises en charge pour permettre une itinérance rapide et sécurisée. Mais nous vous recommandons vivement d'utiliser la méthode en direct 802.11r (FT).

Avec le WPA/WPA2/WPA3, les clés de cryptage ne sont pas saisies sur le téléphone, mais sont automatiquement dérivées entre l'AP et le téléphone. Mais le nom d'utilisateur et le mot de passe EAP utilisés pour l'authentification doivent être saisis sur chaque téléphone.

Pour garantir la sécurité du trafic vocal, le téléphone est compatible avec le TKIP et l'AES pour le cryptage. Lorsque ces mécanismes sont utilisés pour le cryptage, les paquets SIP de signalisation et les paquets vocaux RTP sont chiffrés entre le point d'accès et le téléphone.

TKIP

Le WPA utilise le cryptage TKIP qui présente plusieurs améliorations par rapport au WEP. Le TKIP fournit un chiffrement par clé par paquet et des vecteurs d'initialisation (IV) plus longs qui renforcent le chiffrement. De plus, un contrôle d'intégrité des messages (MIC) garantit que les paquets cryptés ne sont pas modifiés. Le TKIP supprime la prévisibilité du WEP qui aide les intrus à déchiffrer la clé WEP.

AES

Méthode de cryptage utilisée pour l'authentification WPA2/WPA3. Cette norme nationale de cryptage utilise un algorithme symétrique qui possède la même clé pour le cryptage et le déchiffrement. AES utilise le cryptage CBC (Cipher Blocking Chain) de 128 bits, qui prend en charge des tailles de clé de 128 bits, 192 bits et 256 bits au minimum. Le téléphone prend en charge une taille de clé de 256 bits.

Les systèmes d'authentification et de cryptage sont configurés sur le réseau sans fil. Les VLAN sont configurés sur le réseau et sur les points d'accès et proposent différentes combinaisons d'authentification et de cryptage. Un SSID est associé à un VLAN et à un schéma d'authentification et de cryptage spécifique. Pour que les appareils clients sans fil s'authentifient correctement, vous devez configurer les mêmes SSID avec leurs schémas d'authentification et de cryptage sur les points d'accès et sur le téléphone.

Certains systèmes d'authentification nécessitent des types de cryptage spécifiques.

Les schémas d'authentification et de cryptage du tableau suivant indiquent les options de configuration réseau du téléphone qui correspondent à la configuration du point d'accès.

Assured Services SIP (AS-SIP) est un ensemble de fonctionnalités et de protocoles qui offrent un flux d'appels hautement sécurisé pour les téléphones IP Cisco et les téléphones tiers. Les fonctionnalités suivantes sont collectivement connues sous le nom d'AS-SIP :

• Priorité et préemption à plusieurs niveaux (MLPP)
• Point de code de services différenciés (DSCP)
• Transport Layer Security (TLS) et Secure Real-Time Transport Protocol (SRTP)
• Protocole Internet version 6 (IPv6)

L'AS-SIP est souvent utilisé avec la priorité et la préemption multiniveaux (MLPP) pour hiérarchiser les appels en cas d'urgence. Avec MLPP, vous attribuez un niveau de priorité à vos appels sortants, du niveau 1 (faible) au niveau 5 (élevé). Lorsque vous recevez un appel, une icône de niveau de priorité s'affiche sur le téléphone pour indiquer la priorité de l'appel.

Pour configurer AS-SIP, effectuez les tâches suivantes sur Cisco Unified Communications Manager :

• Configurer un utilisateur Digest : configurez l'utilisateur final pour qu'il utilise l'authentification Digest pour les requêtes SIP.
• Configurer le port sécurisé du téléphone SIP : Cisco Unified Communications Manager utilise ce port pour écouter les téléphones SIP pour les enregistrements de lignes SIP via TLS.
• Services de redémarrage : Après avoir configuré le port sécurisé, redémarrez les services Cisco Unified Communications Manager et ceux du fournisseur Cisco CTL. Configurer le profil SIP pour AS-SIP Configurez un profil SIP avec des paramètres SIP pour vos points de terminaison AS-SIP et pour vos lignes SIP. Les paramètres spécifiques au téléphone ne sont pas téléchargés sur un téléphone AS-SIP tiers. Ils ne sont utilisés que par Cisco Unified Manager. Les téléphones tiers doivent configurer les mêmes paramètres localement.
• Configurer le profil de sécurité du téléphone pour AS-SIP. Vous pouvez utiliser le profil de sécurité du téléphone pour attribuer des paramètres de sécurité tels que TLS, SRTP et l'authentification Digest.
• Configurer le point de terminaison AS-SIP : configurez un téléphone IP Cisco ou un terminal tiers avec le support AS-SIP.
• Associer l'appareil à l'utilisateur final : associez le terminal à un utilisateur.
• Configurez le profil de sécurité du tronc SIP pour AS-SIP. Vous pouvez utiliser le profil de sécurité du tronc SIP pour attribuer des fonctionnalités de sécurité telles que le TLS ou l'authentification par résumé à une liaison SIP.
• Configurer une liaison SIP pour l'AS-SIP : configurez une liaison SIP avec le support AS-SIP.
• Configurer les fonctionnalités AS-SIP : configurez des fonctionnalités AS-SIP supplémentaires telles que MLPP, TLS, V.150 et IPv6.

Pour des informations détaillées sur la configuration de l'AS-SIP, consultez le chapitre « Configurer les points de terminaison AS-SIP » du Guide de configuration des fonctionnalités pour. Cisco Unified Communications Manager

Lorsque les codes d'autorisation forcée (FAC) ou les codes client (CMC), ou les deux, sont configurés sur le téléphone, les utilisateurs doivent saisir les mots de passe requis pour composer un numéro.

Pour plus d'informations sur la façon de configurer FAC et CMC dansCisco Unified Communications Manager, consultez le chapitre « Codes clients et codes d'autorisation forcée » du Guide de configuration des fonctionnalités pour Cisco Unified Communications Manager la version 12.5 (1) ou ultérieure.

La fonction VPN Cisco vous aide à préserver la sécurité du réseau tout en offrant aux utilisateurs une méthode sûre et fiable pour se connecter au réseau de votre entreprise. Utilisez cette fonctionnalité lorsque :

• Un téléphone se trouve en dehors d'un réseau fiable
• Trafic réseau entre le téléphone et Cisco Unified Communications Manager un réseau non fiable

Avec un VPN, il existe trois approches courantes pour authentifier les clients :

• Certificats numériques
• Mots de passe
• Nom d'utilisateur et mot de passe

Chaque méthode a ses avantages. Mais si la politique de sécurité de votre entreprise le permet, nous vous recommandons d'adopter une approche basée sur les certificats, car les certificats permettent une connexion fluide sans aucune intervention de l'utilisateur. Les certificats LSC et MIC sont pris en charge.

Pour configurer l'une des fonctionnalités du VPN, configurez d'abord l'appareil sur site, puis vous pouvez le déployer hors site.

Pour plus d'informations sur l'authentification par certification et l'utilisation d'un réseau VPN, voir Configurer le AnyConnect VPN téléphone avec l'authentification par certificat sur un ASA.

Avec un mot de passe, ou une approche nom d'utilisateur et mot de passe, l'utilisateur est invité à saisir ses informations de connexion. Définissez les informations de connexion de l'utilisateur conformément à la politique de sécurité de votre entreprise. Vous pouvez également configurer le paramètre Activer la persistance du mot de passe pour que le mot de passe utilisateur soit enregistré sur le téléphone. Le mot de passe utilisateur est enregistré jusqu'à ce qu'une tentative de connexion échoue, que l'utilisateur efface le mot de passe manuellement, que le téléphone soit réinitialisé ou qu'il soit coupé de l'alimentation.

Un autre outil utile est le réglage Activer la détection automatique du réseau. Lorsque vous activez cette case à cocher, le client VPN ne peut fonctionner que s'il détecte qu'il se trouve en dehors du réseau de l'entreprise. Ce réglage est désactivé par défaut.

Votre téléphone Cisco prend en charge le client IP Cisco SVC v1.0 en tant que type de client.

Pour plus d'informations sur la façon de configurer le VPNUnified CM, consultez le Guide de configuration des fonctionnalités pour Cisco Unified Communications Manager.

La fonction VPN Cisco utilise le protocole SSL (Secure Sockets Layer) pour préserver la sécurité du réseau.