- בית
- /
- מאמר
תודה על המשוב.
במאמר זה
משוב?סיסקו מסירה אמון ב-CAs שורש מסוימים המשמשים לאימות חיבורי SIP מאובטחים, בעקבות אירוע האבטחה של רשות האישורים eMUdhra (CA) באוקטובר 2026. אכיפה לשילובי SIP Webex Meetings מושפעים מתוכננת להתחיל ב -2 בנובמבר 2026. ההשקה עשויה להתבצע בשלבים. תכנן להשלים את השינויים שלך לפני 2 בנובמבר. לקוחות שרשראות האישורים שלהם תלויים ברשויות חסרות אמון חייבים להחליף את האישור או השרשרת המושפעים. אחרת, חיבור ה- SIP המאובטח המושפע ייכשל באימות TLS, כאשר מדיניות האמון המעודכנת נאכפת עבור חיבור זה.
מה עלול להיות מושפע
אינטגרציות
-
Webex Meetingsשמע קצה: חיוג וחיוג לפגישות באמצעות חיבורי SIP ארגוניים מושפעים יפסיקו לפעול כאשר האכיפה תגיע לחי בורים אלה.
-
חדרי ישיבות לשיתוף פעולה (CMR): הצטרפות התקני וידאו מבוססי SIP באמצעות חיבורי SIP מאובטחים מושפעים תיכשל כאשר האכיפה תגיע לחיבורים אלה.
-
התשתית המנוהלת על ידי הלקוח עשויה לכלול את Cisco CUBE, Expressway-E ובקרי גבול הפעלה אחרים (SBC) . סקור מערכות ראשוניות ומיותרות כאחד.
שינויים אלה מכוונים לשילובי SIP באמצעות שרשראות אישורים מושפעות; שיטות גישה אחרות לפגישות אינן תלויות באותו נתיב אישור SIP המנוהל על ידי הלקוח.
רשויות אישורים
בדוק שרשראות אישורים התלויות באחת מהרשויות הבאות:
-
EmSign שורש TLS CA - G3
-
תעודת סל בסיס ECC של emSign - G3
-
EmSign שורש CS CA - G3
-
שירותי תעודת AAA (שורש שירותי קומודו AAA)
שירותי תעודת AAA לא נפגעו, אך הם חתמו על מתווכים של eMUdhra מושפ עים ונכללים בתגובת אבטחה זו. חלק מהאישורים שהונפקו ב- Sectigo עשויים להשתמש בנתיב הסמכה חתום צולב AAA למרות שאישורי הלקוחות של Sectigo עצמם לא נפגעו.
EmSign Root CA - G1 אינו נכלל בשינוי חוסר אמון זה. אין להחליף או להסיר אי שורים אך ורק בגלל שהם משתמשים ב- G1.
בדוק והחליף אישורים או שרשראות מושפעים
| 1 |
זהה את ה- CUBE, Expressway-E או SBC המשמשים לשילוב פגישות מבוססות ה- Edge Audio או SIP המושפעות. הקלט את שם המארח בפועל ואת יציאת ה- SIP TLS שהוגדרה. לאחר מכן, בדוק את אישור הזהות של TLS המותקן במערכת זו ואת כל אישורי CA הביניים הנלווים אליו . ב- Expressway-E, ניתן להציג את אישור השרת המותקן תחת תח . עבור CUBE ו- SBC אחרים, השתמש בהליך בדיקת אישור הספק הרלוונטי. חזור על הפעולה עבור גיבוי ומערכות מיותרות. |
| 2 |
ממחשב עם OpenSSL מותקן וגישה לרשת למאשיב SIP TLS, הפעל את הדוגמה הרלוונטית:
החלף את שם המארח והיציאה לדוגמה בנקודת הקצה של SIP TLS בפועל; היציאה עשויה להיות שונה בהתאם לפ ריסה. אם הגישה הנכנסת ל- TLS מוגבלת, הפעל את הבדיקה ממערכת ניהול מורשית. ב- Expressway-E, יציאת ה- SIP TLS המשמשת עם Webex עשויה לדרוש אישור לקוח. הפקודה עשויה להסתיים בשגיאה, אך שרשרת האישורים עדיין מוצגת. עיין בערכי שרשרת האישורים, כולל הנושאים והמנפיק (i:). ח פש כל אחד מארבעת שמות ה- CA המושפעים, כולל אישור רשות ההסמכה UserTrust RSA שהונ פק על ידי שירותי תעודות AAA. דוגמה לכניסת שרשרת חתומה צולבת מושפעת:
|
| 3 |
לפרש את הממצאים:
|
| 4 |
פנה לספק האישורים או למשווק לקבלת אישור חלופי או שרשרת אי שורים חלופית המסתיימת בשורש שאינו מופיע לעיל. בקש מהספק לא שר שרשרת ההחלפה מתאימה לשילוב Webex SIP.
בדוק שוב את השרשרת המותקנת כדי לוודא שהיא כבר לא תלויה בר שויות חסרות האמון.
|
| 5 |
אימות קישוריות הפגישה:
אם אישורים או בעיות קישוריות SIP נמשכות, פנה לשותף או ל- Cisco Technical Assistance Center (TAC) שלך ב- Cisco. ספק את מזהה הארגון שלך ב- Webex, השירות המושפע, את המערכת ושם המארח של SIP המושפעים, את פרטי שרשרת האישורים וכל הודעות שגיאה של TLS או SIP. אל תשתף מפתחות פרטיים. |
מידע קשור
למידע נוסף, עיין בפרקים הבאים:
