Hvala na povratnim informacijama.

Sigurnosne značajke štite od prijetnji, uključujući prijetnje identitetu telefona i podacima. Ove značajke uspostavljaju i održavaju autentificirane komunikacijske tokove između telefona i Cisco Unified Communications Manager poslužitelja te osiguravaju da telefon koristi samo digitalno potpisane datoteke.

Cisco Unified Communications ManagerIzdanje 8.5 (1) i novije verzije uključuje Sigurnost prema zadanim postavkama, koja pruža sljedeće sigurnosne značajke za Cisco IP telefone bez pokretanja CTL klijenta:

• Potpisivanje konfiguracijskih datoteka telefona

• Šifriranje konfiguracijske datoteke telefona

• HTTPS s Tomcatom i drugim web uslugama

Implementacija sigurnosti u Cisco Unified Communications Manager sustav sprječava krađu identiteta telefona i Cisco Unified Communications Manager poslužitelja, sprječava neovlašćivanje podataka i sprječava signalizaciju poziva i neovlašćivanje medijskog toka.

Kako bi se ublažili ove prijetnje, Cisco IP telefonijska mreža uspostavlja i održava sigurne (šifrirane) komunikacijske tokove između telefona i poslužitelja, digitalno potpisuje datoteke prije nego što se prenesu na telefon i šifrira medijske tokove i signalizaciju poziva između Cisco IP telefona.

Lokalno značajan certifikat (LSC) instalira se na telefone nakon što izvršite potrebne zadatke povezane s funkcijom Certificate Authority proxy (CAPF). Pomoću njega možete konfiguri Cisco Unified Communications Manager Administration rati LSC, kako je opisano u Sigur Cisco Unified Communications Managernosnom vodiču. Alternativno, instalaciju LSC-a možete pokrenuti iz izbornika Sigur nost na telefonu. Ovaj izbornik također omogućuje ažuriranje ili uklanjanje LSC-a.

Telefoni koriste sigurnosni profil telefona koji definira je li uređaj nesiguran ili siguran. Informacije o primjeni sigurnosnog profila na telefon potražite u dokumentaciji za određeno Cisco Unified Communications Manager izdanje.

Ako konfigurirate postavke povezane sa sigurnošću uCisco Unified Communications Manager Administration, konfiguracijska datoteka telefona sadrži osjetljive podatke. Da biste osigurali privatnost konfigur acijske datoteke, morate je konfigurirati za šifriranje. Za detaljne informacije pogledajte dokumentaciju za vaše određeno Cisco Unified Communications Manager izdanje.

Sljedeća tablica daje pregled sigurnosnih značajki koje telefoni podržavaju. Za više informacija pogledajte dokumentaciju za određeno Cisco Unified Communications Manager izdanje.

Sljedeća tablica sadrži poruke alarma i značenje ažuriranja popisa povjerenja. Za više informacija pogledajte Cisco Unified Communications Manager dokumentaciju.

Kada je sigurnost implementirana za telefon, sigurne telefonske pozive možete prepoznati po ikonama na zaslonu telefona. Također možete odrediti je li povezani telefon siguran i zaštićen ako se na početku poziva reproducira sigurnosni ton.

U sigurnom pozivu, sva signalizacija poziva i medijski tokovi su šifrirani. Siguran poziv nudi visoku razinu sigurnosti, pružajući integritet i privatnost poziva. Kada je poziv u tijeku šifriran, možete vidjeti sigurnu ikonu na liniji.

UCisco Unified Communications Manager, telefonima konfiguriranim kao sigurni (šifrirani i pouzdani) mogu se dodijeliti zaštićeni status. Jednom zaštićeni, ovi se uređaji mogu konfiguri rati za reprodukciju sigurnosnog tona na početku svakog poziva.

• Zaštićeni uređaj:

  Da biste promijenili status sigurnog telefona u zaštićeni:

  1. Odab Cisco Unified Communications Manager Administration erite U ređaj > Telefon.
  2. Pronađite telefon koji ćete postaviti.
  3. U prozoru Konfiguracija telefona potvrdite okvir Z aš tićeni uređaj.
  4. Kliknite S premi.

• Reprodukujte zvuk sigurne indikacije:

  Da biste omogućili zaštićenom telefonu da reproducira siguran ili nesiguran ton indikacije:

  1. Odaberite Cisco Unified Communications Manager Administration Su stav > Parametri usluge.
  2. Odaberite poslužitelj, a zatim Cisco CallManager uslugu.
  3. U području Clusterwide Parameters (Feature - Secure Tone) postavite Ton reprodukcije da označi status sigurnih/nesigurnog poziva na True.
  4. Kliknite S premi.

Budući da svi WLAN uređaji koji su unutar dometa mogu primati sav ostali WLAN promet, osiguranje glasovne komunikacije ključno je u WLAN-ovima. Kako bi se osiguralo da uljezi ne manipuliraju niti presreću glasovni promet, Cisco SAFE Security arhitektura podržava telefon. Za više informacija o sigurnosti u mrežama pogledajte http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Cisco Wireless IP telefonijsko rješenje pruža sigurnost bežične mreže koja sprječava neovlaštene prijave i kompromitiranu komunikaciju korištenjem sljedećih metoda provjere autentičnosti koje telefon podržava.

• Otvorena provjera autentičnosti: Bilo koji bežični uređaj može zatražiti provjeru autentičnosti u otvorenom sustavu. AP koji primi zahtjev može odobriti provjeru autentičnosti bilo kojem podnositelju zahtjeva ili samo podnositeljima zahtjeva koji se nalaze na popisu korisnika. Komunikacija između bežičnog uređaja i pristupne točke (AP) može biti nešifrirana.

• Proširi@@ vi protokol provjere autentičnosti - fleksibilna provjera autentičnosti putem sigurnog tuneliranja (EAP-FAST): Ova sigurnosna arhitektura klijent-poslužitelj šifrira EAP transakcije unutar tunela sigurnosti razine transporta (TLS) između AP-a i RADIUS poslužitelja, kao što je Identity Services Engine (ISE).

  TLS tunel koristi vjerodajnice zaštićenog pristupa (PAC) za provjeru autentičnosti između klijenta (telefona) i RADIUS poslužitelja. Poslužitelj šalje ID autoriteta (AID) klijentu (telefon), koji zauzvrat odabire odgovarajući PAC. Klijent (telefon) vraća PAC-neproziran na RADIUS poslužitelj. Poslužitelj dešifrira PAC primarnim ključem. Obje krajnje točke sada sadrže PAC ključ i stvoren je TLS tunel. EAP-FAST podržava automatsko pružanje PAC-a, ali ga morate omogućiti na RADIUS poslužitelju.

  U ISE-u, prema zadanim postavkama, PAC ističe za tjedan dana. Ako telefon ima istekao PAC, provjera autentičnosti s RADIUS poslužiteljem traje duže dok telefon dobije novi PAC. Da biste izbjegli kašnjenje u pružanju PAC-a, postavite razdoblje isteka PAC-a na serveru ISE ili RADIUS na 90 dana ili dulje.

• Pro@@ širivi protokol provjere autentičnosti - Sigurnost transportnog sloja (EAP-TLS) Autentifikacija: EAP-TLS zahtijeva klijentski certifikat za provjeru auten tičnosti i pristup mreži. Za bežični EAP-TLS, klijentski certifikat može biti MIC, LSC ili korisnički instaliran certifikat.

• Zaštićeni protokol proširene provjere autentičnosti (PEAP): Ciscova vlasnička shema međusobne provjere autentičnosti temeljena na lozinci između klijenta (telefona) i RADIUS poslužitelja. Telefon može koristiti PEAP za provjeru autentičnosti s bežičnom mrežom. Podržane su i metode provjere autentičnosti PEAP-MSCHAPV2 i PEAP-GTC.

• Prethodno dijeljeni ključ (PSK): Telefon podržava ASCII i heksadecimalni (HEX) formate. Te formate morate koristiti prilikom postavljanja WPA2/SAE unaprijed dijeljenog ključa.

  ASCII: Niz znakova ASCII s duljinom od 8 do 63 znaka (0-9, mala slova a-z, velika slova A-Z i posebni znakovi). Na primjer, GREG123567@9ZX&W.

  HEX: Hex znakovni niz s 64 šesterokutne znamenke duljine (0-9, a-f ili A-F).

Sljedeće sheme provjere autentičnosti koriste RADIUS poslužitelj za upravljanje ključevima za provjeru autentičnosti:

• WPA2/WPA3: Koristi informacije o RADIUS poslužitelju za generiranje jedinstvenih ključeva za provjeru autentičnosti. Budući da se ti ključevi generiraju na centraliziranom RADIUS poslužitelju, WPA2/WPA3 pruža veću sigurnost od WPA unaprijed podijeljenih ključeva koji su pohranjeni na AP i telefonu.

• Brzi siguran roaming: Koristi RADIUS poslužitelj i informacije o poslužitelju bežične domene (WDS) za upravljanje ključevima i provjeru autentičnosti. WDS stvara predmemoriju sigurnosnih vjerodajnica za klijentske uređaje s omogućenim FT-om za brzu i sigurnu ponovnu provjeru autentičnosti.

Kod WPA2/WPA3 ključevi za šifriranje ne unose se na telefon, već se automatski izvode između AP-a i telefona. No, EAP korisničko ime i lozinka koji se koriste za provjeru autentičnosti moraju se unijeti na svaki telefon.

Kako bi zaštitio glasovni promet putem bežične veze, telefon podržava enkripciju temeljenu na AES-u za provjeru autentičnosti WPA2/WPA3. AES je simetrična blok šifra standardizirana od strane NIST-a. AES koristi fiksnu veličinu bloka od 128 bita i podržava veličine ključeva od 128 bita, 192 bita i 256 bita. U Wi-Fi mrežama AES koriste šifrirani paketi kao što su CCMP ili GCMP, dok autentifikaciju zasebno pružaju PSK, SAE ili 802.1X/EAP, ovisno o konfiguriranom sigurnosnom načinu WLAN-a. Podržani paket šifri i veličina ključa ovise o modelu telefona i konfiguraciji WLAN-a.

Kada telefon koristi AES enkripciju, i signalni SIP paketi i glasovni paketi transportnog protokola u stvarnom vremenu (RTP) šifrirani su između AP-a i telefona.

Sheme provjere autentičnosti i šifriranja postavljene su unutar bežičnog LAN-a. VLAN-ovi su konfigurirani u mreži i na AP-ovima i određuju različite kombinacije provjere autentičnosti i enkripcije. SSID se povezuje s VLAN-om i određenom shemom provjere autentičnosti i šifriranja. Da bi se bežični klijentski uređaji uspješno potvrdili autentičnost, morate konfigurirati iste SSID-ove s njihovim shemama provjere autentičnosti i šifriranja na AP-ovima i na telefonu.

Neke sheme provjere autentičnosti zahtijevaju određene vrste enkripcije.

Sheme provjere autentičnosti i šifriranja u sljedećoj tablici prikazuju opcije mrežne konfiguracije za Cisco Wireless Phone 9821 koje odgovaraju konfiguraciji AP.

Cisco Wireless Phone 9821 podržava 802.1X provjeru autentičnosti za žičane mreže. To se obično koristi tijekom automatskog osiguranja kada je telefon spojen na stolni punjač putem podržanog USB-to-Ethernet adaptera.

Podrška za 802.1X provjeru autentičnosti na žičanim mrežama zahtijeva nekoliko komponenti kako slijedi:

• Cisco IP telefon: Telefon pokreće zahtjev za pristup mreži. Cisco IP telefoni sadrže 802.1X zahtjev. Ovaj zahtjev omogućuje mrežnim administratorima kontrolu povezivanja IP telefona s priključcima LAN prekidača. Trenutno izdanje telefona 802.1X supplicant koristi EAP-FAST i EAP-TLS opcije za provjeru autentičnosti mreže.

• Poslužitelj provjere autentičnosti: poslužitelj provjere autentičnosti i prekidač moraju biti konfigurirani s RADIUS zajedničkom tajnom.

• Prekidač: Prekidač mora podržavati 802.1X, tako da može djelovati kao autentifikator i prenositi EAP poruke između telefona i poslužitelja provjere autentičnosti. Nakon završetka razmjene, prekidač odobrava ili uskraćuje pristup telefonu mreži.

Cisco IP telefoni i Cisco Catalyst prekidači tradicionalno koriste Cisco Discovery Protocol (CDP) za međusobno prepoznavanje i određivanje parametara kao što su dodjela VLAN-a i potrebe za ugrađenim napajanjem.

Morate izvršiti sljedeće rad nje da biste konfigurirali 802.1X.

• Konfigurirajte CDP/LLDP glasovni VLAN bypass.

• Konfigurirajte poslužitelj provjere autentičnosti i prekidač prije nego što omogućite 802.1X provjeru autentičnosti za žičane mreže na telefonu.

• Konfiguriranje glasovnog VLAN-a: Budući da standard 802.1X ne uzima u obzir VLAN-ove, trebali biste konfigurirati ovu postavku na temelju podrške prekidača.

  • Omogućeno: Ako koristite prekidač koji podržava provjeru autentičnosti više domena, možete ga konfigurirati za korištenje glasovnog VLAN-a.
  • Onemogućeno: Ako prekidač ne podržava provjeru autentičnosti s više domena, onemogućite Voice VLAN i razmislite o dodjeli porta izvornom VLAN-u.

• Cisco Wireless Phone 9821 ima drugačiji prefiks u PID-u od onog za ostale Cisco telefone. Da biste omogućili da vaš telefon prođe 802.1X provjeru autentičnosti, postavite parametar Radius · Korisničko ime tako da uključuje vaš Cisco Wireless Phone 9821.

  Na primjer, PID Cisco bežičnog telefona 9821 je WP-9821. Radius·Korisničko ime možete postaviti na Start with WPili Contains WPu oba sljedeća odjeljka:

  • Pravila > U vjeti > Uv jeti knjižnice

  • Pravila > Skupovi pravila > Pra vila autorizacije > Pra vilo autorizacije 1