Aperçu

Un client TLS standard vérifie la validité du certificat du serveur TLS pendant la négociation TLS. Cependant, cette configuration pourrait être vulnérable à une attaque d'homme du milieu, lorsque Jabber est déployé sur Internet. Pendant la connexion, si un pirate présente à Jabber son propre serveur avec un certificat TLS valide au lieu de l'expressway, alors Jabber, en l'absence de contrôle supplémentaire, accepte ce certificat et l'utilisateur peut être connecté à un système malveillant. Pour éviter ce problème, Jabber effectue une étape de validation supplémentaire qui ne fait pas partie du TLS standard, il vérifie que le domaine saisi pendant le processus de connexion par l'utilisateur correspond aux noms alternatifs des sujets (SAN) inclus dans le certificat. Jabber essaie de se connecter à l'Expressway uniquement s'il correspond. Toute entrée SAN effectuée dans le certificat doit être signée par l'autorité de certification (AC), ce qui signifie que seule la société propriétaire du domaine pourra obtenir un certificat signé par l'autorité de certification.

Tout SAN saisi dans le certificat est soumis à la validation de l'autorité de certification (AC), de sorte que seule la société propriétaire du domaine est en mesure d'obtenir un certificat signé par l'autorité de certification. Cela rend beaucoup plus difficile de voler l'identité de l'Expressway.

Dans l'instance dédiée, Cisco gère les certificats pour les applications UC et donc les certificats sont signés avec le domaine fourni par Cisco uniquement, par exemple customer.amer.wxc-di.webex.com. Cependant, pour qu'un utilisateur final se connecte au client Jabber avec l'adresse électronique du client, les options suivantes peuvent être obtenues :

Option 1 - Connexion initiale de l'utilisateur final Jabber

La connexion initiale de l'utilisateur final Jabber est l'approche la plus simple, et les étapes sont données en détail :

  1. Saisissez le domaine du service vocal fourni par Cisco, par exemple, user@customer.amer.wxc-di.webex.com dans l'écran de connexion Jabber initial.


     

    Cisco partage le domaine du service vocal du client pour chaque région après l’activation du service. Ces informations font partie du document des détails d’accès partagé dans l’espace de l’application Webex. Pour plus de détails, voir Activation du service d’instance dédiée.

  2. Saisissez le nom d'utilisateur ou l'adresse électronique de la société ainsi que le mot de passe pour l'authentification.


     

    Si la SSO est activée, l’IdP effectue l’opération similaire.


     
    Les connexions suivantes ne nécessitent pas d'effectuer l'étape 1, à moins que le client Jabber ne soit réinitialisé.

Option 2 : Utiliser le domaine du service vocal

Grâce à cette approche, le client Jabber peut faire la différence entre le domaine du client saisi par l'utilisateur et le domaine de découverte de services. Dans le programme d'installation si le domaine du service vocal est défini sur customer.amer.wxc-di.webex.com, l'utilisateur peut se connecter au client Jabber en utilisant l'adresse électronique de son entreprise et Jabber peut toujours effectuer la détection du service en fonction de la valeur définie dans le domaine du service vocal. Cela supprime la nécessité de fournir un domaine de service vocal dans la connexion Jabber initiale conformément à l'option ci-dessus.

Pour Windows :

Des outils tels que Microsoft Orca peuvent être utilisés pour créer des installateurs Jabber personnalisés, qui peuvent inclure le domaine du service vocal. Les utilisateurs peuvent être informés d'utiliser ces installateurs pour le client Jabber.

Pour MAC, iOS, Android :

Des outils tels que MDM peuvent être utilisés pour créer des installateurs Jabber personnalisés qui peuvent inclure le domaine du service vocal.

Option 3 : Utiliser l'URL de configuration

Une URL de configuration est utilisée pour définir les paramètres Jabber avant la connexion initiale, tels que le domaine des services vocaux. Exemple d'URL de configuration : ciscojabber://provision?ServicesDomain=customer.com&VoiceServicesDomain=customer.amer.wxc-di.webex.com

En cliquant sur le lien ci-dessus, le domaine du service vocal peut être défini dans le client Jabber fonctionnant sur des périphériques MAC, Android ou iOS.


 

Cette configuration n'est pas permanente, l'utilisateur doit cliquer à nouveau sur le lien si le client Jabber est réinitialisé.

L’application Webex n’a pas l’exigence ci-dessus, le client effectue la vérification du domaine, mais il est possible de fournir le domaine du service vocal dans le Control Hub. Lorsque l’application Webex se connecte à Webex, elle obtient le domaine des services vocaux et l’enregistre. Pour plus d’informations sur la configuration de l’appel dans l’application Webex, voir Intégration de l’application Webex avec instance dédiée pour l’appel dans l’application.

Lien utile : Déploiement sur site pour Cisco Jabber 14.0