Hvala na povratnim informacijama.

Sigurnosne značajke štite od prijetnji, uključujući prijetnje identitetu telefona i podacima. Te značajke uspostavljaju i održavaju prijenose komunikacije provjerene autentičnosti između telefona i poslužitelja sustava Cisco Unified Communications Manager te osiguravaju da telefon upotrebljava samo digitalno potpisane datoteke.

Cisco Unified Communications Manager, izdanje 8.5 (1) i kasnije, uključuje sigurnost prema zadanim postavkama, što omogućuje slijedeće sigurnosne mogućnosti za Cisco IP telefone bez funkcioniranja CTL klijenta:

• Potpisivanje konfiguracijskih datoteka telefona

• Šifriranje konfiguracijske datoteke telefona

• HTTPS s uslugom Tomcat i ostalim web-uslugama

Provedba sigurnosti u sustavu Cisco Unified Communications Manager sprječava krađu identiteta telefona i poslužitelja sustava Cisco Unified Communications Manager,sprječava neovlašteno mijenjanje podataka i signala poziva i prijenos medijskog sadržaja.

Kako bi ublažili te prijetnje, mreža Cisco IP telefonije uspostavlja i održava sigurne (šifrirane) prijenose komunikacije između telefona i poslužitelja, digitalno potpisuje datoteke prije nego što se prenesu na telefon te šifrira prijenose medijskog sadržaja i signalizaciju poziva između Cisco IP telefona.

Certifikat lokalnog značaja (engl. Locally Significant Certificate, LSC) instalira se na telefone nakon izvršavanja potrebnih zadataka povezanih s Proxy funkcijom izdavatelja certifikata (engl. Certificate Authority Proxy Function, CAPF). Cisco Unified Communications Manager Administration možete koristiti za konfiguriranje LSC, kako je opisano u Vodiču za sigurnost Cisco Unified Communications Manager. Možete pokrenuti i instalaciju pogreške LSC s izbornika Sigurnost na telefonu. Ovaj izbornik omogućuje vam ažuriranje ili uklanjanje LSC-a.

Telefoni upotrebljavaju sigurnosni profil telefona, koji definira je li uređaj siguran. Informacije o primjeni sigurnosnog profila na telefon potražite u dokumentaciji za određeno izdanje sustava Cisco Unified Communications Manager.

Ako konfigurirate postavke vezane uz sigurnost u sustavu Cisco Unified Communications Manager Administration, konfiguracijska datoteka telefona sadrži osjetljive informacije. Kako biste osigurali privatnost konfiguracijske datoteke, morate je konfigurirati za šifriranje. Podrobne informacije potražite u dokumentaciji određenog izdanja sustava Cisco Unified Communications Manager koji imate.

Sljedeća tablica pruža pregled sigurnosnih značajki koje telefoni podržavaju. Dodatne informacije potražite u dokumentaciji određenog izdanja sustava Cisco Unified Communications Manager koji imate.

Tablica u nastavku sadrži Popis pouzdanih poruka s alarmima za ažuriranje i značenjem. Za više informacija pogledajte dokumentaciju za Cisco Unified Communications Manager.

Kada se sigurnost za telefon implementira, možete identificirati sigurne telefonske pozive prema ikonama na zaslonu telefona. Također možete utvrditi je li spojeni telefon siguran i zaštićen ako se na početku poziva reproducira sigurnosni ton.

U sigurnom pozivu, šifrirani su svi signali poziva i prijenos medijskog sadržaja. Siguran poziv pruža visoku razinu sigurnosti, pružajući integritet i privatnost poziva. Kada je poziv u tijeku šifriran, možete vidjeti ikonu sigurnosti Na liniji.

U Cisco Unified Communications Manager telefonima konfiguriranim kao sigurni (šifrirani i pouzdani) može se dodijeliti zaštićeni status. Nakon zaštite, ovi se uređaji mogu konfigurirati za reprodukciju sigurnosnog tona na početku svakog poziva.

• Zaštićeni uređaj:

  Da biste status sigurnog telefona promijenili u zaštićeni:

  1. U Cisco Unified Communications Manager Administration odaberite Uređaj > Telefon.
  2. Pronađite telefon koji ćete postaviti.
  3. U prozoru Konfiguracija telefona potvrdite okvir Zaštićeni uređaj .
  4. Kliknite Spremi.

• Reproduciraj ton sigurne indikacije:

  Da biste zaštićenom telefonu omogućili reprodukciju sigurnog ili nesigurnog tona indikacije:

  1. U Cisco Unified Communications Manager Administration odaberite Parametri sustava >usluge.
  2. Odaberite poslužitelj, a zatim uslugu Cisco CallManager .
  3. U području Parametri za clusterwide (značajka - siguran ton) postavite postavku Reproduciraj da bi naznačio status sigurnog/nesigurnog poziva na Istinito.
  4. Kliknite Spremi.

Budući da svi uređaji WLAN-a koji su u dometu mogu primati sav drugi WLAN promet, osiguravanje glasovne komunikacije je nužno u WLAN-ovima. Kako uljezi ne bi manipulirali niti presreli glasovni promet, arhitektura Cisco SAFE Security podržava telefon. Dodatne informacije o sigurnosti u mrežama potražite u članku http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Rješenje Cisco Wireless IP telefonije pruža sigurnost bežične mreže koja sprječava neovlaštene prijave i ugroženu komunikaciju pomoću sljedećih metoda provjere autentičnosti koje telefon podržava.

• Otvori provjeru autentičnosti: svaki bežični uređaj može zatražiti provjeru autentičnosti u otvorenom sustavu. AP koji prima zahtjev može odobriti provjeru autentičnosti svakom tražitelju ili samo tražiteljima koji se nalaze na popisu korisnika. Komunikacija između bežičnog uređaja i pristupne točke (AP) može biti nešifrirana.

• Proširivi protokol provjere autentičnosti – fleksibilna provjera autentičnosti putem sigurnog tuneliranja (EAP-FAST) Provjera autentičnosti: Ova sigurnosna arhitektura klijent-poslužitelj šifrira EAP transakcije unutar tunela Transport Level Security (TLS) između AP-a i RADIUS poslužitelja, kao što je Identity Services Engine (ISE).

  Tunel TLS upotrebljava Vjerodajnice za zaštićeni pristup (engl. Protected Access Credential, PAC) za provjeru autentičnosti između klijenta (telefona) i poslužitelja RADIUS. Poslužitelj šalje ID ovlaštenja (engl. Authority ID, AID) klijentu (telefon), što zauzvrat odabire odgovarajući PAC. Klijent (telefon) vraća neproziran PAC poslužitelju RADIUS-u. Poslužitelj primarnim ključem dešifrira PAC. Obje krajnje točke sada sadrže ključ PAC i stvara se TLS tunel. EAP-FAST podržava automatsku dodjelu PAC-a, ali ga morate omogućiti na poslužitelju RADIUS-u.

  U ISE-u, prema zadanim postavkama, PAC istječe za tjedan dana. Ako telefon ima istekli PAC, provjera autentičnosti na poslužitelju RADIUS traje dulje dok telefon dobije novi PAC. Kako biste izbjegli kašnjenja pri dodjeli PAC-ova, postavite razdoblje trajanja PAC-a na 90 dana ili dulje na ISE-u ili poslužitelju RADIUS.

• Protokol proširene provjere autentičnosti – Sigurnost na razini prijenosa (engl. Extensible Authentication Protocol-Transport Layer Security, EAP-TLS) za provjeru autentičnosti: EAP-TLS zahtijeva certifikat klijenta za provjeru autentičnosti i pristup mreži. Za bežičnu EAP-TLS certifikat klijenta može biti MIC, LSC, ili certifikat koji je instalirao korisnik.

• Protokol za zaštićenu proširenu provjeru autentičnosti (engl. Protected Extensible Authentication Protocol, PEAP): Vlasnička shema tvrtke Cisco uzajamne provjere autentičnosti temeljena na lozinci između klijenta (telefona) i poslužitelja RADIUS. Telefon može koristiti PEAP za provjeru autentičnosti s bežičnom mrežom. Podržani su i PEAP-MSCHAPV2 i PEAP-GTC načini provjere autentičnosti.

• Unaprijed dijeljeni ključ (PSK): telefon podržava formate ASCII i heksadecimalne (HEX). Te oblike morate koristiti prilikom postavljanja unaprijed dijeljenog ključa WPA2/SAE.

  ASCII: Niz ASCII znakova duljine od 8 do 63 znaka (0-9, mala slova a-z, velika slova A-Z i posebni znakovi). Na primjer,GREG123567@9ZX &W.

  HEX: HEX-znakovni niz sa 64 šesterokutne znamenke duljine (0-9, a-f ili A-F).

Sheme provjere autentičnosti u nastavku upotrebljavaju poslužitelj RADIUS za upravljanje ključevima za provjeru autentičnosti:

• WPA2/WPA3: upotrebljava podatke poslužitelja RADIUS za stvaranje jedinstvenih ključeva za provjeru autentičnosti. Budući da se ovi ključevi stvaraju na središnjem poslužitelju RADIUS, WPA2/WPA3 pruža više sigurnosti nego unaprijed dijeljeni ključevi WPA pohranjeni na AP-u i telefonu.

• Brz i siguran roaming: upotrebljava poslužitelj RADIUS i podatke o poslužitelju bežične domene (engl. wireless domain server, WDS) za upravljanje i provjeru autentičnosti ključeva. WDS stvara predmemoriju sigurnosnih vjerodajnica za klijentske uređaje s omogućenim FT-om za brzu i sigurnu ponovnu provjeru autentičnosti.

Uz WPA2/WPA3 ključevi za šifriranje ne unose se na telefon, već se automatski izvode između AP-a i telefona. No, EAP korisničko ime i lozinka koji se upotrebljavaju za provjeru autentičnosti moraju biti unesene u svaki telefon.

Da bi zaštitio glasovni promet putem bežične veze, telefon podržava šifriranje temeljeno na AES-u za WPA2/WPA3 provjeru autentičnosti. AES je simetrična šifra bloka standardizirana od strane NIST-a. AES koristi fiksnu 128-bitnu veličinu bloka i podržava veličine ključeva od 128 bita, 192 bita i 256 bita. U Wi-Fi mrežama AES koriste paketi šifri kao što su CCMP ili GCMP, dok provjeru autentičnosti zasebno pružaju PSK, SAE ili 802.1X/EAP, ovisno o konfiguriranom WLAN sigurnosnom načinu rada. Podržani paket šifri i veličina ključa ovise o modelu telefona i konfiguraciji WLAN.

Kada telefon koristi šifriranje AES, paketi signala SIP i paketi glasovnog protokola prijenosa u stvarnom vremenu (RTP) šifrirani su između AP-a i telefona.

Provjera autentičnosti i sheme šifriranja postavljeni su unutar bežičnog LAN-a. VLAN-ovi su konfigurirani u mreži i na AP-ovima i određuju različite kombinacije provjere autentičnosti i šifriranja. SSID se povezuje s VLAN-om i određenom shemom za provjeru autentičnosti i šifriranje. Da bi bežični klijentski uređaji uspješno provjerili autentičnost, morate konfigurirati iste SSID-ove s njihovim shemama provjere autentičnosti i šifriranja na AP-ovima i na telefonu.

Neke sheme za provjeru autentičnosti zahtijevaju određene vrste šifriranja.

Sheme provjere autentičnosti i šifriranja u sljedećoj tablici prikazuju mogućnosti mrežne konfiguracije za Cisco bežični telefon 9821 koje odgovaraju AP konfiguraciji.

Cisco bežični telefon 9821 podržava provjeru autentičnosti 802.1X za žičane mreže. To se obično koristi tijekom automatskog dodjeljivanja resursa kada je telefon povezan s stolnim punjačem putem podržanog adaptera USB-to-Ethernet.

Podrška za provjeru autentičnosti 802.1X na žičanim mrežama zahtijeva nekoliko komponenti kako slijedi:

• Cisco IP telefoni: telefon inicira zahtjev za pristup mreži. Cisco IP telefoni sadrže alt za slanje zamolbe u protokolu 802.1X Ovaj alat za slanje zamolbe omogućuje administratorima mreže kontrolu povezanosti IP telefona s LAN ulazima za prespajanje. Trenutačno izdanje alata za slanje zamolbe u protokolu 802.1X telefona upotrebljava mogućnosti EAP-FAST i EAP-TLS za provjeru autentičnosti mreže.

• Poslužitelj za provjeru autentičnosti: Poslužitelj za provjeru autentičnosti i skretnica moraju biti konfigurirani s zajedničkom tajnom RADIUS-a.

• Prekidač: skretnica mora podržavati 802.1X kako bi mogla djelovati kao autentifikator i prenositi poruke EAP između telefona i poslužitelja za provjeru autentičnosti. Nakon dovršetka razmjene, prespojnik odobrava ili odbija odobriti pristup telefona mreži.

Cisco IP telefoni i prespojnici Cisco Catalyst uobičajeno upotrebljavaju Cisco protokol za otkrivanje (engl. Cisco Discovery Protocol, CDP) kako bi identificirali jedni druge i utvrditi parametre kao što su alokacija VLAN-a i zahtjevi za linijsko napajanje.

Kako biste konfigurirali protokol 802.1X, morate izvršiti radnje navedene u nastavku.

• Konfigurirajte CDP/LLDP glas VLAN zaobiđi.

• Konfigurirajte poslužitelj za provjeru autentičnosti i skretnicu prije omogućivanja provjere autentičnosti 802.1X za ožičene mreže na telefonu.

• Konfiguriranje Glasovnog VLAN-a: Budući da standard 802.1X ne računa na VLAN-ove, trebali biste konfigurirati ovu postavku na temelju podrške prespojnika.

  • Omogućeno: ako koristite skretnicu koja podržava provjeru autentičnosti više korisnika, možete je konfigurirati tako da koristi glas VLAN.
  • Onemogućeno: ako prespojnik ne podržava provjeru autentičnosti višestukih domena, onemogućite glasovni VLAN i razmislite o dodjeljivanju ulaza izvornom VLAN-u.

• Cisco Bežični telefon 9821 ima drugačiji prefiks u PID-u od onog za ostale Cisco telefone. Da biste telefonu omogućili prolazak provjere autentičnosti 802.1X, postavite radij· Parametar korisničkog imena koji uključuje vaš Cisco bežični telefon 9821.

  Na primjer, PID Cisco bežičnog telefona 9821 je WP-9821. Možete postaviti radijus· Korisničko ime za početak s WP ili sadrži WP u oba sljedeća odjeljka:

  • Uvjeti > Uvjeti > Uvjeti biblioteke

  • Pravila > Skupovi pravila> Pravila autorizacije> Pravilo autorizacije 1