אבטחה פיזית

חשוב לספק אבטחה פיזית למיקומי Equinix Meet-Me Room ולמתקני Cisco Dedicated Instance Data Center. כאשר אבטחה פיזית נפגעת, ניתן ליזום התקפות פשוטות כגון שיבוש שירות על ידי ניתוק החשמל למתגים של הלקוח. עם גישה פיזית, תוקפים יכלו לקבל גישה למכשירי שרת, לאפס סיסמאות ולקבל גישה למתגים. גישה פיזית גם מאפשרת התקפות מתוחכמות יותר כמו התקפות "אדם באמצע", ולכן שכבת האבטחה השנייה, אבטחת הרשת, היא קריטית.

כוננים עם הצפנה עצמית משמשים במרכזי נתונים ייעודיים (Dedicated Instance Data Centers) המארחים יישומי UC.

למידע נוסף על נוהלי אבטחה כלליים, עיין בתיעוד במיקום הבא: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

אבטחת רשת

שותפים צריכים לוודא שכל רכיבי הרשת מאובטחים בתשתית Dedicated Instance (המתחברת דרך Equinix). באחריות השותף להבטיח שיטות עבודה מומלצות לאבטחה כגון:

• VLAN נפרד לקול ונתונים

• הפעלת אבטחת פורטים אשר מגבילה את מספר כתובות ה-MAC המותרות לכל פורט, מפני הצפת טבלת CAM

• הגנה מפני כתובות IP מזויפות

• בדיקת ARP דינמית (DAI) בוחנת את פרוטוקול רזולוציית הכתובות (ARP) ואת ARP הלא נחוץ (GARP) לאיתור הפרות (נגד זיופים של ARP)

• 802.⁦1x⁩ מגביל את גישת הרשת לאימות התקנים ברשתות VLAN שהוקצו (טלפונים תומכים ב-802.⁦1x⁩)

• הגדרת איכות השירות (QoS) לסימון מתאים של חבילות קול

• תצורות יציאות חומת אש לחסימת כל תעבורה אחרת

אבטחת נקודות קצה

נקודות הקצה של Cisco תומכות בתכונות אבטחה המוגדרות כברירת מחדל כגון קושחה חתומה, אתחול מאובטח (דגמים נבחרים), אישור מותקן על ידי היצרן (MIC) וקבצי תצורה חתומים, המספקים רמת אבטחה מסוימת עבור נקודות הקצה.

בנוסף, שותף או לקוח יכולים לאפשר אבטחה נוספת, כגון:

• הצפנת שירותי טלפון IP (דרך HTTPS) עבור שירותים כגון Extension Mobility

• הנפקת אישורים בעלי משמעות מקומית (LSC) מפונקציית ה-proxy של רשות האישורים (CAPF) או מרשות אישורים ציבורית (CA)

• הצפנת קבצי תצורה

• הצפנת מדיה ואיתות

• השבת הגדרות אלה אם אינן בשימוש: יציאת מחשב, גישת VLAN קולית למחשב, ARP חינמי, גישה לאינטרנט, כפתור הגדרות, SSH, קונסולה

יישום מנגנוני אבטחה ב-Dedicated Instance מונע גניבת זהות של הטלפונים ושרת Unified CM, שיבוש נתונים ואיתות שיחות. / שיבוש זרם המדיה.

מופע ייעודי דרך הרשת:

• יוצר ומתחזק זרמי תקשורת מאומתים

• חותם דיגיטלית על קבצים לפני העברת הקובץ לטלפון

• הצפנת זרמי מדיה ואיתות שיחות בין טלפוני Cisco Unified IP

אבטחה כברירת מחדל מספקת את תכונות האבטחה האוטומטיות הבאות עבור טלפוני Cisco Unified IP:

• חתימה על קבצי תצורת הטלפון

• תמיכה בהצפנת קבצי תצורת טלפון

• HTTPS עם Tomcat ושירותי אינטרנט אחרים (MIDlets)

עבור Unified CM Release 8.0 מאוחר יותר, תכונות אבטחה אלה מסופקות כברירת מחדל מבלי להפעיל את לקוח רשימת האמון של אישורי אישורים (CTL).

מכיוון שיש מספר רב של טלפונים ברשת וטלפוני IP בעלי זיכרון מוגבל, Cisco Unified CM פועל כמאגר אמון מרוחק באמצעות שירות אימות האמון (TVS) כך שאין צורך להציב מאגר אמון של אישורים בכל טלפון. טלפוני ה-IP של סיסקו יוצרים קשר עם שרת ה-TVS לצורך אימות מכיוון שאינם יכולים לאמת חתימה או אישור באמצעות קבצי CTL או ITL. ניהול של מאגר אמון מרכזי קל יותר מאשר ניהול של מאגר האמון בכל טלפון Cisco Unified IP.

TVS מאפשר לטלפוני Cisco Unified IP לאמת שרתי יישומים, כגון שירותי EM, ספריות ו-MIDlet, במהלך הקמת HTTPS.

קובץ רשימת האמון הראשונית (ITL) משמש לאבטחה הראשונית, כך שנקודות הקצה יוכלו לסמוך על Cisco Unified CM. ITL אינו זקוק להפעלה מפורשת של תכונות אבטחה. קובץ ה-ITL נוצר אוטומטית בעת התקנת האשכול. המפתח הפרטי של שרת פרוטוקול העברת הקבצים המאוחד של CM Trivial (TFTP) משמש לחתימה על קובץ ה-ITL.

כאשר אשכול או שרת Cisco Unified CM נמצאים במצב לא מאובטח, קובץ ה-ITL מוריד לכל טלפון Cisco IP נתמך. שותף יכול לצפות בתוכן של קובץ ITL באמצעות פקודת CLI, admin:show זה.

טלפוני Cisco IP זקוקים לקובץ ITL כדי לבצע את המשימות הבאות:

• תקשרו בצורה מאובטחת עם CAPF, תנאי הכרחי לתמיכה בהצפנת קובץ התצורה

• אימות חתימת קובץ התצורה

• אימות שרתי יישומים, כגון שירותי EM, ספריות ו-MIDlet במהלך הקמת HTTPS באמצעות TVS

אימות התקנים, קבצים ואיתותים מסתמך על יצירת קובץ רשימת אמון האישורים (CTL), שנוצר כאשר השותף או הלקוח מתקין ומגדיר את לקוח רשימת אמון האישורים של Cisco.

קובץ ה-CTL מכיל ערכים עבור השרתים או אסימוני האבטחה הבאים:

• אסימון אבטחה של מנהל מערכת (SAST)

• שירותי Cisco CallManager ו-Cisco TFTP הפועלים על אותו שרת

• פונקציית פרוקסי של רשות אישורים (CAPF)

• שרת/י TFTP

• חומת אש של ASA

קובץ ה-CTL מכיל תעודת שרת, מפתח ציבורי, מספר סידורי, חתימה, שם מנפיק, שם נושא, פונקציית שרת, שם DNS וכתובת IP עבור כל שרת.

אבטחת טלפון עם CTL מספקת את הפונקציות הבאות:

• אימות של קבצי TFTP שהורדו (תצורה, מיקום, רשימת צלצולים וכן הלאה) באמצעות מפתח חתימה

• הצפנת קבצי תצורה של TFTP באמצעות מפתח חתימה

• איתות שיחות מוצפן עבור טלפוני IP

• אודיו (מדיה) של שיחה מוצפן עבור טלפוני IP

‏Dedicated Instance מספק רישום נקודות קצה ועיבוד שיחות. האיתות בין Cisco Unified CM לבין נקודות הקצה מבוסס על Secure Skinny Client Control Protocol (SCCP) או Session Initiation Protocol (SIP) וניתן להצפין אותו באמצעות Transport Layer Security (TLS). התקשורת from/to נקודות הקצה מבוססות על פרוטוקול תעבורה בזמן אמת (RTP) וניתן גם להצפין אותן באמצעות RTP מאובטח (SRTP).

הפעלת מצב מעורב ב-Unified CM מאפשרת הצפנה של האיתות ותעבורת המדיה מנקודות הקצה של Cisco ומהן.

יישומי UC מאובטחים

מצב מעורב מופעל כברירת מחדל ב- Dedicated Instance.

הפעלת מצב מעורב ב- Dedicated Instance מאפשרת לבצע הצפנה של האיתות ותעבורת המדיה מנקודות הקצה של Cisco וממנה.

בגרסה 12.5(1) של Cisco Unified CM, אפשרות חדשה המאפשרת הצפנה של איתות ומדיה המבוססת על SIP OAuth במקום מצב מעורב / CTL נוסף עבור לקוחות Jabber ו-Webex. לכן, בגרסה 12.5(1) של Unified CM, ניתן להשתמש ב-SIP OAuth וב-SRTP כדי לאפשר הצפנה לאיתות ומדיה עבור לקוחות Jabber או Webex. הפעלת מצב מעורב ממשיכה להידרש עבור טלפוני IP של Cisco ונקודות קצה אחרות של Cisco בשלב זה. יש תוכנית להוסיף תמיכה ב-SIP OAuth ב- 7800/8800 נקודות קצה במהדורה עתידית.

Cisco Unity Connection מתחבר ל-Unified CM דרך יציאת TLS. כאשר מצב אבטחת המכשיר אינו מאובטח, Cisco Unity Connection מתחבר ל-Unified CM דרך יציאת SCCP.

כדי להגדיר אבטחה עבור יציאות הודעות קוליות של Unified CM ומכשירי Cisco Unity המריצים SCCP או מכשירי Cisco Unity Connection המריצים SCCP, שותף יכול לבחור מצב אבטחת התקן מאובטח עבור היציאה. אם תבחרו ביציאת דואר קולי מאומתת, ייפתח חיבור TLS, אשר מאמת את המכשירים באמצעות חילופי אישורים הדדיים (כל מכשיר מקבל את האישור של המכשיר השני). אם תבחרו ביציאת דואר קולי מוצפנת, המערכת תחילה תאמת את המכשירים ולאחר מכן תשלח זרמי קול מוצפנים ביניהם.

למידע נוסף על יציאות אבטחה להודעות קוליות, עיינו ב: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/cucm/security/12_5_1_SU1/cucm_b_security-guide-125SU1/cucm_b_security-guide-for-cisco-unified125SU1_chapter_010001.html

אבטחת תקשורת בין Cisco Unified CM ו-CUBE

לתקשורת מאובטחת בין Cisco Unified CM ו-CUBE, partners/customers צריך להשתמש בתעודה חתומה עצמית או בתעודות חתומות על ידי רשות אישורים.

עבור אישורים חתומים עצמית:

1. CUBE ו-Cisco Unified CM יוצרים אישורים חתומים עצמית

2. CUBE מייצא תעודה ל-Cisco Unified CM

3. Cisco Unified CM מייצא אישור ל-CUBE

עבור אישורים חתומים על ידי רשות אישורים:

1. הלקוח מייצר זוג מפתחות ושולח בקשת חתימה על אישור (CSR) לרשות האישורים (CA)

2. רשות האישור חותמת עליו באמצעות המפתח הפרטי שלה, ויוצרת תעודת זהות

3. הלקוח מתקין את רשימת אישורי הבסיס והביניים המהימנים של רשות האישור ואת תעודת הזהות

סיכום פרוטוקול

הטבלה הבאה מציגה את הפרוטוקולים והשירותים הנלווים המשמשים בפתרון Unified CM.

למידע נוסף על תצורת MRA, ראו: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

אבטחת Jabber ו-Webex באמצעות SIP OAuth

לקוחות Jabber ו-Webex מאומתים באמצעות אסימון OAuth במקום אישור בעל משמעות מקומית (LSC), שאינו דורש הפעלת פונקציית proxy של רשות האישורים (CAPF) (גם עבור MRA). SIP OAuth שעובד עם או בלי מצב מעורב הוצג ב-Cisco Unified CM 12.5(1), Jabber 12.5 ו-Expressway X12.5.

ב-Cisco Unified CM 12.5, יש לנו אפשרות חדשה בפרופיל אבטחת הטלפון המאפשרת הצפנה ללא LSC/CAPF, באמצעות אבטחת שכבת תעבורה יחידה (TLS) + אסימון OAuth ב-SIP REGISTER. צמתי Expressway-C משתמשים ב-API של שירות האינטרנט XML ניהולי (AXL) כדי ליידע את Cisco Unified CM על ה- SN/SAN בתעודה שלהם. Cisco Unified CM משתמש במידע זה כדי לאמת את אישור Exp-C בעת יצירת חיבור TLS הדדי.

SIP OAuth מאפשר הצפנת מדיה ואיתות ללא אישור נקודת קצה (LSC).

סיסקו ג'אבר משתמש ביציאות ארעיות וביציאות מאובטחות 6971 ו-6972 דרך חיבור HTTPS לשרת TFTP כדי להוריד את קבצי התצורה. פורט 6970 הוא פורט לא מאובטח להורדה דרך HTTP.

פרטים נוספים על הגדרת SIP OAuth: מצב SIP OAuth.