Merci pour votre commentaire.

Les fonctions de sécurité protègent contre les menaces, notamment celles qui portent atteinte à l'identité du téléphone et aux données. Ces fonctionnalités établissent et maintiennent des flux de communication authentifiés entre le téléphone et le serveur Cisco Unified Communications Manager, et garantissent que le téléphone utilise uniquement des fichiers signés numériquement.

Cisco Unified Communications Manager version 8.5(1) et ultérieures inclut la sécurité par défaut, qui fournit les fonctionnalités de sécurité suivantes pour les téléphones IP Cisco sans exécuter le client CTL :

• Signature des fichiers de configuration téléphoniques

• chiffrement du fichier de configuration du téléphone

• HTTPS avec Tomcat et d'autres services Web

La mise en œuvre de mesures de sécurité dans le système Cisco Unified Communications Manager empêche l'usurpation d'identité du téléphone et du serveur Cisco Unified Communications Manager, empêche la falsification des données et empêche la falsification de la signalisation des appels et des flux multimédias.

Pour atténuer ces menaces, le réseau de téléphonie IP Cisco établit et maintient des flux de communication sécurisés (cryptés) entre un téléphone et le serveur, signe numériquement les fichiers avant leur transfert vers un téléphone et crypte les flux multimédias et la signalisation d'appel entre les téléphones IP Cisco.

Un certificat à signification locale (LSC) s'installe sur les téléphones après que vous ayez effectué les tâches nécessaires associées à la fonction de proxy d'autorité de certification (CAPF). Vous pouvez utiliser l'interface d'administration de Cisco Unified Communications Manager pour configurer un LSC, comme décrit dans le guide de sécurité de Cisco Unified Communications Manager. Vous pouvez également lancer l'installation d'un LSC depuis le menu des paramètres de sécurité du téléphone. Ce menu vous permet également de mettre à jour ou de supprimer un LSC.

Les téléphones utilisent le profil de sécurité du téléphone, qui définit si l'appareil est non sécurisé ou sécurisé. Pour plus d'informations sur l'application du profil de sécurité au téléphone, consultez la documentation relative à votre version spécifique de Cisco Unified Communications Manager.

Si vous configurez des paramètres liés à la sécurité dans l'administration de Cisco Unified Communications Manager, le fichier de configuration du téléphone contient des informations sensibles. Pour garantir la confidentialité d'un fichier de configuration, vous devez le configurer pour le chiffrement. Pour plus d'informations, consultez la documentation relative à votre version spécifique de Cisco Unified Communications Manager.

Le téléphone est conforme à la norme fédérale de traitement de l'information (FIPS). Pour fonctionner correctement, le mode FIPS nécessite une taille de clé de 2048 bits ou plus. Si le certificat est inférieur à 2048 bits, le téléphone ne s'enregistrera pas auprès de Cisco Unified Communications Manager et Phone failed to register. Cert key size is not FIPS compliant s'affichera sur le téléphone.

Si le téléphone possède un LSC, vous devez mettre à jour la taille de la clé LSC à 2048 bits ou plus avant d'activer FIPS.

Le tableau suivant présente un aperçu des fonctionnalités de sécurité prises en charge par les téléphones. Pour plus d'informations, consultez la documentation relative à votre version spécifique de Cisco Unified Communications Manager.

Pour afficher le mode Sécurité, appuyez sur Paramètres et accédez à Réseau et services > Paramètres de sécurité.

Le tableau suivant contient les messages d'alarme de mise à jour de la liste de confiance et leur signification. Pour plus d'informations, consultez la documentation de Cisco Unified Communications Manager.

Le menu « Configuration de sécurité » fournit des informations sur différents paramètres de sécurité. Le menu permet également d'accéder au menu Liste de confiance et indique si le fichier CTL ou ITL est installé sur le téléphone.

Le tableau suivant décrit les options du menu Configuration de sécurité.

Les téléphones IP Cisco prennent en charge l'authentification 802.1X.

Les téléphones IP Cisco et les commutateurs Cisco Catalyst utilisent traditionnellement le protocole Cisco Discovery Protocol (CDP) pour s'identifier mutuellement et déterminer des paramètres tels que l'allocation VLAN et les exigences d'alimentation en ligne. CDP n'identifie pas les postes de travail connectés localement. Les téléphones IP Cisco offrent un mécanisme de transmission EAPOL. Ce mécanisme permet à un poste de travail connecté au téléphone IP Cisco de transmettre des messages EAPOL à l'authentificateur 802.1X du commutateur LAN. Le mécanisme de transmission directe garantit que le téléphone IP ne fait pas office de commutateur LAN pour authentifier un point de terminaison de données avant d'accéder au réseau.

Les téléphones IP Cisco offrent également un mécanisme de déconnexion EAPOL par proxy. Si l'ordinateur connecté localement se déconnecte du téléphone IP, le commutateur LAN ne détecte pas la défaillance de la liaison physique, car la liaison entre le commutateur LAN et le téléphone IP est maintenue. Pour éviter de compromettre l'intégrité du réseau, le téléphone IP envoie un message EAPOL-Logoff au commutateur au nom du PC en aval, ce qui déclenche la suppression par le commutateur LAN de l'entrée d'authentification du PC en aval.

La prise en charge de l'authentification 802.1X nécessite plusieurs composants :

• Téléphone IP Cisco : Le téléphone initie la demande d'accès au réseau. Les téléphones IP Cisco intègrent un module supplicant 802.1X. Ce module permet aux administrateurs réseau de contrôler la connectivité des téléphones IP aux ports du commutateur LAN. La version actuelle du client 802.1X pour téléphones utilise les options EAP-FAST et EAP-TLS pour l'authentification réseau.

• Serveur d'authentification : Le serveur d'authentification et le commutateur doivent tous deux être configurés avec un secret partagé permettant d'authentifier le téléphone.

• Changer: Le commutateur doit prendre en charge la norme 802.1X afin de pouvoir servir d'authentificateur et transmettre les messages entre le téléphone et le serveur d'authentification. Une fois l'échange terminé, le commutateur autorise ou refuse l'accès du téléphone au réseau.

Vous devez effectuer les actions suivantes pour configurer le protocole 802.1X.

• Configurez les autres composants avant d'activer l'authentification 802.1X sur le téléphone.

• Configurer le port du PC : La norme 802.1X ne prend pas en compte les VLAN et recommande donc qu'un seul périphérique soit authentifié sur un port de commutateur spécifique. Cependant, certains commutateurs prennent en charge l'authentification multidomaine. La configuration du commutateur détermine si vous pouvez connecter un PC au port PC du téléphone.

  • Activé : Si vous utilisez un commutateur prenant en charge l'authentification multidomaine, vous pouvez activer le port PC et y connecter un PC. Dans ce cas, les téléphones IP Cisco prennent en charge le proxy EAPOL-Logoff pour surveiller les échanges d'authentification entre le commutateur et le PC connecté.

    Pour plus d'informations sur la prise en charge de la norme IEEE 802.1X sur les commutateurs Cisco Catalyst, consultez les guides de configuration des commutateurs Cisco Catalyst à l'adresse suivante :

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Désactivé : Si le commutateur ne prend pas en charge plusieurs périphériques compatibles 802.1X sur le même port, vous devez désactiver le port PC lorsque l'authentification 802.1X est activée. Si vous ne désactivez pas ce port et que vous tentez ensuite d'y connecter un PC, le commutateur refusera l'accès au réseau aussi bien au téléphone qu'au PC.

• Configurer le VLAN voix : Étant donné que la norme 802.1X ne prend pas en compte les VLAN, vous devez configurer ce paramètre en fonction de la prise en charge du commutateur.
  • Activé : Si vous utilisez un commutateur prenant en charge l'authentification multidomaine, vous pouvez continuer à l'utiliser pour le VLAN voix.
  • Désactivé : Si le commutateur ne prend pas en charge l'authentification multidomaine, désactivez le VLAN voix et envisagez d'attribuer le port au VLAN natif.
• (Uniquement pour les téléphones de bureau Cisco série 9800)

  Les téléphones de bureau Cisco de la série 9800 possèdent un préfixe différent dans leur identifiant de périphérique (PID) par rapport aux autres téléphones Cisco. Pour permettre à votre téléphone de passer l'authentification 802.1X, définissez le paramètre Radius·User-Name pour inclure votre Cisco Desk Phone série 9800.

  Par exemple, le PID du téléphone 9841 est DP-9841 ; vous pouvez définir Radius·User-Name sur Start with DP ou Contains DP. Vous pouvez le paramétrer dans les deux sections suivantes :

  • Politique > Conditions > Conditions de la bibliothèque

  • Politique > Ensembles de politiques > Politique d'autorisation > Règle d'autorisation 1

Lorsqu'un système de sécurité est mis en place pour un téléphone, les appels sécurisés sont identifiables grâce à des icônes affichées sur l'écran. Vous pouvez également déterminer si le téléphone connecté est sécurisé et protégé si une tonalité de sécurité retentit au début de l'appel.

Lors d'un appel sécurisé, tous les flux de signalisation et multimédias sont cryptés. Un appel sécurisé offre un niveau de sécurité élevé, garantissant l'intégrité et la confidentialité de l'appel. Lorsqu'un appel en cours est chiffré, vous pouvez voir l'icône de sécurité sur la ligne. Pour un téléphone sécurisé, vous pouvez également consulter l'icône d'authentification ou l'icône de chiffrement à côté du serveur connecté dans le menu du téléphone (Paramètres > À propos de cet appareil).

Lors d'un appel sécurisé, une tonalité de sécurité retentit au début de l'appel pour indiquer que l'autre téléphone connecté reçoit et transmet également un son sécurisé. Si votre appel aboutit vers un téléphone non sécurisé, la tonalité de sécurité ne retentit pas.

Lorsqu'un téléphone est configuré comme sécurisé (crypté et approuvé) dans Cisco Unified Communications Manager, il peut recevoir un statut protégé. Ensuite, si vous le souhaitez, le téléphone protégé peut être configuré pour émettre une tonalité d'indication au début d'un appel :

• Dispositif protégé : Pour modifier le statut d'un téléphone sécurisé en « protégé », cochez la case « Périphérique protégé » dans la fenêtre « Configuration du téléphone » de l'administration de Cisco Unified Communications Manager (Périphérique > Téléphone).

• Émettre le signal sonore de sécurité : Pour permettre au téléphone protégé d'émettre une tonalité d'indication sécurisée ou non sécurisée, définissez le paramètre « Émettre une tonalité d'indication sécurisée » sur « Vrai ». Par défaut, la tonalité d'indication de lecture sécurisée est désactivée. Vous configurez cette option dans l'administration de Cisco Unified Communications Manager (Système > Paramètres de service). Sélectionnez le serveur, puis le service Unified Communications Manager. Dans la fenêtre Configuration des paramètres de service, sélectionnez l'option dans la zone Fonctionnalité - Tonalité sécurisée. La valeur par défaut est False.

Étant donné que tous les appareils WLAN situés à portée peuvent recevoir tout le trafic WLAN, la sécurisation des communications vocales est essentielle dans les réseaux WLAN. Pour garantir que les intrus ne manipulent ni n'interceptent le trafic vocal, l'architecture de sécurité Cisco SAFE prend en charge le téléphone. Pour plus d'informations sur la sécurité des réseaux, consultez http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

La solution de téléphonie IP sans fil Cisco assure la sécurité du réseau sans fil en empêchant les connexions non autorisées et les communications compromises grâce aux méthodes d'authentification suivantes prises en charge par le téléphone :

• Authentification ouverte: Tout appareil sans fil peut demander une authentification dans un système ouvert. Le point d'accès qui reçoit la requête peut accorder l'authentification à tout demandeur ou uniquement aux demandeurs figurant sur une liste d'utilisateurs. La communication entre le périphérique sans fil et le point d'accès (AP) pourrait ne pas être cryptée.

• Protocole d'authentification extensible - Authentification flexible via tunnel sécurisé (EAP-FAST): Cette architecture de sécurité client-serveur chiffre les transactions EAP dans un tunnel de sécurité au niveau transport (TLS) entre le point d'accès et le serveur RADIUS, tel que Identity Services Engine (ISE).

  Le tunnel TLS utilise des identifiants d'accès protégés (PAC) pour l'authentification entre le client (téléphone) et le serveur RADIUS. Le serveur envoie un identifiant d'autorité (AID) au client (téléphone), qui à son tour sélectionne le PAC approprié. Le client (téléphone) renvoie un PAC-Opaque au serveur RADIUS. Le serveur déchiffre le PAC avec la clé primaire. Les deux points de terminaison contiennent désormais la clé PAC et un tunnel TLS est créé. EAP-FAST prend en charge le provisionnement automatique des PAC, mais vous devez l'activer sur le serveur RADIUS.

  Dans ISE, par défaut, le PAC expire au bout d'une semaine. Si le code PAC du téléphone est expiré, l'authentification auprès du serveur RADIUS prendra plus de temps le temps que le téléphone obtienne un nouveau code PAC. Pour éviter les retards de provisionnement des PAC, définissez la période d'expiration des PAC à 90 jours ou plus sur le serveur ISE ou RADIUS.

• Authentification EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) : EAP-TLS requiert un certificat client pour l'authentification et l'accès au réseau. Pour le protocole EAP-TLS sans fil, le certificat client peut être un certificat MIC, LSC ou un certificat installé par l'utilisateur.

• Protocole d'authentification extensible protégé (PEAP): Système d'authentification mutuelle par mot de passe propriétaire de Cisco entre le client (téléphone) et un serveur RADIUS. Le téléphone peut utiliser PEAP pour l'authentification auprès du réseau sans fil. Les deux méthodes d'authentification PEAP-MSCHAPV2 et PEAP-GTC sont prises en charge.

• Clé pré-partagée (PSK): Le téléphone prend en charge le format ASCII. Vous devez utiliser ce format lors de la configuration d'un WPA/WPA2/SAE Clé pré-partagée :

  ASCII: une chaîne de caractères ASCII de 8 à 63 caractères (0-9, minuscules et majuscules AZ et caractères spéciaux)

  Exemple: GREG123567@9ZX & W

Les schémas d'authentification suivants utilisent le serveur RADIUS pour gérer les clés d'authentification :

• WPA/WPA2/WPA3: Utilise les informations du serveur RADIUS pour générer des clés uniques d'authentification. Ces clés étant générées par le serveur RADIUS centralisé, WPA2/WPA3 offre une sécurité supérieure aux clés pré-partagées WPA stockées sur le point d'accès et le téléphone.

• Itinérance rapide et sécurisée : Utilise un serveur RADIUS et les informations d'un serveur de domaine sans fil (WDS) pour gérer et authentifier les clés. Le WDS crée un cache d'informations d'identification de sécurité pour les appareils clients compatibles FT afin de permettre une réauthentification rapide et sécurisée. Les téléphones de bureau Cisco 9861 et 9871 et le téléphone vidéo Cisco 8875 prennent en charge la norme 802.11r (FT). La connexion sans fil et via le DS est prise en charge pour permettre une itinérance rapide et sécurisée. Mais nous recommandons fortement d'utiliser la méthode 802.11r (FT) par voie aérienne.

Avec WPA/WPA2/WPA3, Les clés de chiffrement ne sont pas saisies sur le téléphone, mais sont automatiquement générées entre le point d'accès et le téléphone. Mais le nom d'utilisateur et le mot de passe EAP utilisés pour l'authentification doivent être saisis sur chaque téléphone.

Pour garantir la sécurité du trafic vocal, le téléphone prend en charge le protocole TKIP et le chiffrement AES. Lorsque ces mécanismes sont utilisés pour le chiffrement, les paquets SIP de signalisation et les paquets RTP (Real-Time Transport Protocol) vocaux sont chiffrés entre le point d'accès et le téléphone.

TKIP

Le WPA utilise le chiffrement TKIP qui présente plusieurs améliorations par rapport au WEP. TKIP fournit un chiffrement par paquet et des vecteurs d'initialisation (IV) plus longs qui renforcent le chiffrement. De plus, un contrôle d'intégrité des messages (MIC) garantit que les paquets chiffrés ne sont pas altérés. TKIP supprime la prévisibilité du WEP qui aide les intrus à déchiffrer la clé WEP.

AES

Une méthode de chiffrement utilisée pour WPA2/WPA3 authentification. Cette norme nationale de chiffrement utilise un algorithme symétrique qui emploie la même clé pour le chiffrement et le déchiffrement. L'AES utilise un chiffrement CBC (Cipher Blocking Chain) de 128 bits, prenant en charge des tailles de clé de 128 bits, 192 bits et 256 bits au minimum. Le téléphone prend en charge une taille de clé de 256 bits.

Des systèmes d'authentification et de chiffrement sont mis en place au sein du réseau local sans fil. Les VLAN sont configurés sur le réseau et sur les points d'accès et spécifient différentes combinaisons d'authentification et de chiffrement. Un SSID est associé à un VLAN et à un système d'authentification et de chiffrement spécifique. Pour que les appareils clients sans fil s'authentifient correctement, vous devez configurer les mêmes SSID avec leurs schémas d'authentification et de chiffrement sur les points d'accès et sur le téléphone.

Certains systèmes d'authentification requièrent des types de chiffrement spécifiques.

Les schémas d'authentification et de chiffrement du tableau suivant indiquent les options de configuration réseau du téléphone correspondant à la configuration AP.

Assured Services SIP (AS-SIP) est un ensemble de fonctionnalités et de protocoles qui offrent un flux d'appels hautement sécurisé pour les téléphones IP Cisco et les téléphones tiers. Les fonctionnalités suivantes sont collectivement connues sous le nom d'AS-SIP :

• Priorité et préemption à plusieurs niveaux (MLPP)
• Point de code de services différenciés (DSCP)
• Sécurité de la couche transport (TLS) et protocole de transport sécurisé en temps réel (SRTP)
• Protocole Internet version 6 (IPv6)

AS-SIP est souvent utilisé avec la priorité et la préemption multiniveaux (MLPP) pour prioriser les appels en cas d'urgence. Avec MLPP, vous attribuez un niveau de priorité à vos appels sortants, du niveau 1 (faible) au niveau 5 (élevé). Lorsque vous recevez un appel, une icône de niveau de priorité s'affiche sur le téléphone, indiquant la priorité de l'appel.

Pour configurer AS-SIP, effectuez les tâches suivantes sur Cisco Unified Communications Manager :

• Configurer un utilisateur Digest — Configurez l’utilisateur final pour utiliser l’authentification Digest pour les requêtes SIP.
• Configurer le port sécurisé du téléphone SIP — Cisco Unified Communications Manager utilise ce port pour écouter les téléphones SIP à la recherche d’enregistrements de lignes SIP via TLS.
• Redémarrage des services — Après avoir configuré le port sécurisé, redémarrez les services Cisco Unified Communications Manager et Cisco CTL Provider. Configurer le profil SIP pour AS-SIP - Configurez un profil SIP avec des paramètres SIP pour vos points de terminaison AS-SIP et pour vos liaisons SIP. Les paramètres spécifiques au téléphone ne sont pas téléchargés sur un téléphone AS-SIP tiers. Ils sont utilisés uniquement par Cisco Unified Manager. Les téléphones tiers doivent configurer localement les mêmes paramètres.
• Configurer le profil de sécurité du téléphone pour AS-SIP — Vous pouvez utiliser le profil de sécurité du téléphone pour attribuer des paramètres de sécurité tels que TLS, SRTP et l’authentification Digest.
• Configurer un terminal AS-SIP — Configurez un téléphone IP Cisco ou un terminal tiers prenant en charge AS-SIP.
• Associer un appareil à un utilisateur final — Associer le terminal à un utilisateur.
• Configurer le profil de sécurité de la jonction SIP pour AS-SIP — Vous pouvez utiliser le profil de sécurité de la jonction SIP pour attribuer des fonctionnalités de sécurité telles que l’authentification TLS ou Digest à une jonction SIP.
• Configurer une jonction SIP pour AS-SIP — Configurer une jonction SIP avec prise en charge AS-SIP.
• Configurer les fonctionnalités AS-SIP — Configurez les fonctionnalités AS-SIP supplémentaires telles que MLPP, TLS, V.150 et IPv6.

Pour des informations détaillées sur la configuration d'AS-SIP, consultez le chapitre « Configurer les points de terminaison AS-SIP » dans le Guide de configuration des fonctionnalités pour Cisco Unified Communications Manager.

Lorsque les codes d'autorisation forcée (FAC) ou les codes relatifs aux affaires du client (CMC), ou les deux, sont configurés sur le téléphone, les utilisateurs doivent saisir les mots de passe requis pour composer un numéro.

Pour plus d'informations sur la configuration de FAC et CMC dans Cisco Unified Communications Manager, consultez le chapitre «  Codes de données client et codes d'autorisation forcée » du Guide de configuration des fonctionnalités pour Cisco Unified Communications Manager, version 12.5(1) ou ultérieure.

La fonctionnalité VPN de Cisco vous aide à préserver la sécurité du réseau tout en offrant aux utilisateurs une méthode sûre et fiable pour se connecter à votre réseau d'entreprise. Utilisez cette fonctionnalité lorsque :

• Un téléphone est situé en dehors d'un réseau de confiance.
• Le trafic réseau entre le téléphone et Cisco Unified Communications Manager traverse un réseau non sécurisé.

Avec un VPN, il existe trois approches courantes pour l'authentification du client :

• Certificats numériques
• Mots de passe
• Nom d'utilisateur et mot de passe

Chaque méthode a ses avantages. Mais si votre politique de sécurité d'entreprise le permet, nous recommandons une approche basée sur les certificats, car ces derniers permettent une connexion transparente sans aucune intervention de l'utilisateur. Les certificats LSC et MIC sont tous deux pris en charge.

Pour configurer l'une des fonctionnalités VPN, provisionnez d'abord l'appareil sur site, puis vous pourrez le déployer hors site.

Pour plus d'informations sur l'authentification par certificat et l'utilisation d'un réseau VPN, consultez Configurer AnyConnect VPN Phone avec l'authentification par certificat sur un ASA.

Avec un mot de passe, ou un nom d'utilisateur et un mot de passe, l'utilisateur est invité à saisir ses identifiants de connexion. Configurez les identifiants de connexion des utilisateurs conformément à la politique de sécurité de votre entreprise. Vous pouvez également configurer l'option « Activer la persistance du mot de passe » afin que le mot de passe de l'utilisateur soit enregistré sur le téléphone. Le mot de passe de l'utilisateur est conservé jusqu'à ce qu'une tentative de connexion infructueuse survienne, que l'utilisateur efface manuellement le mot de passe ou que le téléphone se réinitialise ou soit mis hors tension.

Un autre outil utile est le paramètre « Activer la détection automatique du réseau ». Lorsque vous cochez cette case, le client VPN ne peut fonctionner que lorsqu'il détecte qu'il se trouve en dehors du réseau de l'entreprise. Ce paramètre est désactivé par défaut.

Votre téléphone Cisco prend en charge Cisco SVC IPPhone Client v1.0 comme type de client.

Pour plus d'informations sur la configuration du VPN sur Unified CM, consultez le Guide de configuration des fonctionnalités pour Cisco Unified Communications Manager.

La fonctionnalité VPN de Cisco utilise le protocole SSL (Secure Sockets Layer) pour préserver la sécurité du réseau.