Implementirajte sastanke bez povjerenja

Korisničko iskustvo

Korisnici odabiru vrstu sastanka prilikom zakazivanja sastanka. Prilikom prijema sudionika iz predvorja, kao i tijekom sastanka, domaćin može vidjeti status provjere identiteta svakog sudionika. Postoji i kod sastanka koji je zajednički svim trenutnim sudionicima sastanka, a koji mogu upotrijebiti kako bi provjerili da njihov sastanak nije presreo neželjeni napad treće strane Meddler In The Middle (MITM).

Podijelite sljedeće informacije s domaćinima sastanka:

Zakažite Webex sastanak s end-to-end enkripcijom
Pridružite se Webex sastanku s end-to-end enkripcijom

Potvrda identiteta s unutarnjim ili vanjskim CA

Potvrdite identitet

Enkripcija od kraja do kraja s potvrdom identiteta pruža dodatnu sigurnost šifriranom sastanku od kraja do kraja.

Kada se sudionici ili uređaji pridruže zajedničkoj grupi MLS (Messaging Layer Security), oni prezentiraju svoje certifikate ostalim članovima grupe, koji zatim potvrđuju potvrde u odnosu na izdavajuća tijela certifikata (CA). Potvrđujući da su certifikati valjani, CA provjerava identitet sudionika, a sastanak prikazuje sudionike/uređaje kao provjerene.

Korisnici Webex aplikacije autentificiraju se prema Webex trgovini identiteta, koja im izdaje pristupni token kada provjera autentičnosti uspije. Ako im je potreban certifikat za provjeru identiteta na šifriranom sastanku od kraja do kraja, Webex CA im izdaje certifikat na temelju njihovog pristupnog tokena. Trenutno Webex Meetings korisnicima ne pružamo način da dobiju certifikat koji je izdala treća strana/vanjski CA.

Uređaji se mogu autentifikirati pomoću certifikata koji je izdao interni (Webex) CA ili certifikat koji je izdao vanjski CA:

Interni CA—Webex izdaje interni certifikat na temelju pristupnog tokena računskog računa uređaja. Potvrdu potpisuje Webex CA. Uređaji nemaju korisničke ID-ove na isti način kao i korisnici, stoga Webex koristi (jednu od) domena vaše organizacije prilikom pisanja identiteta certifikata uređaja (Common Name (CN)).
Vanjski CA — zatražite i kupite certifikate uređaja izravno od odabranog izdavatelja. Morate šifrirati, izravno prenijeti i autorizirati certifikate koristeći tajnu poznatu samo vama.

Cisco nije uključen, što to čini načinom da jamči istinsku end-to-end enkripciju i provjereni identitet te spriječi teorijsku mogućnost da Cisco prisluškuje vaš sastanka/dešifrira vaše medije.

Interno izdani certifikat uređaja

Webex izdaje certifikat uređaju kada se registrira nakon pokretanja i obnavlja ga po potrebi. Za uređaje certifikat uključuje ID računa i domenu.

Ako vaša organizacija nema domenu, Webex CA izdaje certifikat bez domene.

Ako vaša organizacija ima više domena, pomoću Control Hub možete obavijestiti Webex koju domenu uređaj treba koristiti za svoj identitet. Također možete koristiti API XConfiguration Conference EndToEndEncryption Identity PreferredDomain: "example.com".

Ako imate više domena i ne postavljate željenu domenu za uređaj, Webex odabire jednu za vas.

Izvana izdan certifikat uređaja

Administrator može osigurati uređaj s vlastitim certifikatom koji je potpisan s jednim od javnih CA.

Certifikat se mora temeljiti na ECDSA P-256 paru ključeva, iako se može potpisati RSA ključem.

Vrijednosti u certifikatu su po nahođenju organizacije. Uobičajeni naziv (CN) i alternativni naziv subjekta (SAN) bit će prikazani u korisničkom sučelju sastanka Webex, kako je opisano u Enkripciji end-to-end s potvrdom identiteta za. Webex Meetings

Preporučujemo korištenje posebnog certifikata po uređaju i jedinstveni CN po uređaju. Na primjer, "meeting-room-1.example.com" za organizaciju koja posjeduje domenu "example.com".

Kako bi se vanjski certifikat u potpunosti zaštitio od neovlaštenja, korisnička tajna značajka koristi se za šifriranje i potpisivanje različitih xnaredbi.

Kada koristite tajnu klijenta, moguće je sigurno upravljati vanjskim Webex certifikatom identiteta putem XAPI-ja. To je trenutno ograničeno na mrežne uređaje.

Webex trenutno nudi API naredbe za upravljanje ovim.

Značajke i ograničenja

Uređaji

Uređaji Cisco Board, Desk i Room Series registrirani u oblaku mogu se pridružiti sastancima E2EE.

Sljedeći uređaji ne mogu se pridružiti sastancima E2EE:

SIP uređaji trećih strana

Softverski klijenti

Webex aplikacija za računalne i mobilne klijente može se pridružiti sastancima E2EE.
Webex web klijent ne može se pridružiti sastancima E2EE.
SIP soft klijenti trećih strana ne mogu se pridružiti sastancima E2EE.

Identitet

Prema dizajnu, ne pružamo opcije Control Hub za upravljanje eksterno provjerenim identitetom uređaja. Za istinsko šifriranje od kraja do kraja, samo vi biste trebali znati/pristupiti tajnama i ključevima. Ako smo uveli uslugu u oblaku za upravljanje tim ključevima, postoji šansa da budu presretnuti.
Trenutno vam nudimo "recept" da dizajnirate vlastite alate, temeljene na industrijskim standardnim tehnikama šifriranja, kako biste pomogli u traženju ili šifriranju potvrda o identitetu vašeg uređaja i njihovih privatnih ključeva. Ne želimo imati stvarni ili uočeni pristup vašim tajnama ili ključevima.

Sastanci

E2EE sastanci trenutno podržavaju najviše 1000 sudionika.
Nove ploče možete dijeliti na sastancima E2EE. Postoje neke razlike od bijelih ploča na redovnim sastancima:
- Na sastancima E2EE korisnici ne mogu pristupiti pločama stvorenim izvan sastanka, uključujući privatne ploče, ploče koje dijele drugi i bijele ploče iz Webex prostora.
- Bijele ploče stvorene na sastancima E2EE dostupne su samo tijekom sastanka. Oni se ne spremaju i nisu dostupni nakon završetka sastanka.
- Ako netko dijeli sadržaj na sastanku E2EE, možete ga označiti. Dodatne informacije o bilješkama potražite u odjeljku Webex App | Označavanje dijeljenog sadržaja s napomenama.

Sučelje upravljanja

Toplo preporučujemo da koristite Control Hub za upravljanje web-mjestom sastanaka jer organizacije Control Hub imaju centralizirani identitet za cijelu organizaciju.

Dodatni resursi

Povezane informacije

Zero-Trust Security za Webex (sigurnosni tehnički rad)
Cisco Live prezentacije
JSON web enkripcija (JWE) (nacrt IETF standarda)
Dokumentacija okrenuta prema korisniku

Preduvjeti

Webex Meetings41.7.
Uređaji Cisco Board, Desk i Room serije registrirani u oblaku, koji pokreću 10.6. 1-Roomos_August_2021 ili novije verzije.
Administrativni pristup mjestu sastanka u Control Hubu.
Jedna ili više provjerenih domena u organizaciji Control Hub (ako koristite Webex CA za izdavanje certifikata uređaja za provjereni identitet).
Prostorije za sastanke za suradnju moraju biti uključene kako bi se ljudi mogli pridružiti iz svog video sustava. Dodatne informacije potražite u odjeljku Dopuštanje video sustavima da se pridruže sastancima i događajima na vašoj web stranici Webex.

Nabavite certifikate uređaja

Ovaj korak možete preskočiti ako vam nisu potrebni eksterno provjereni identiteti.

Za najvišu razinu sigurnosti i za provjeru identiteta svaki uređaj trebao bi imati jedinstveni certifikat koji izdaje pouzdana jav Certificate Authority nost (CA).

Morate komunicirati s CA da biste zatražili, kupili i primili digitalne certifikate i stvorili povezane privatne ključeve. Prilikom traženja certifikata upotrijebite ove parametre:

Potvrda mora biti izdana i potpisana od strane poznatog javnog CA.
Jedinstveno: Toplo preporučujemo korištenje jedinstvenog certifikata za svaki uređaj. Ako koristite jedan certifikat za sve uređaje, ugrožavate svoju sigurnost.
Uobičajeni naziv (CN) i alternativni nazivi subjekta (San/s): Oni nisu važni za Webex, ali bi trebale biti vrijednosti koje ljudi mogu čitati i povezati s uređajem. CN će prikazati ostalim sudionicima sastanka kao primarni provjereni identitet uređaja, a ako korisnici pregledaju certifikat putem korisničkog sučelja sastanka, vidjet će SAN/e. Možda biste željeli koristiti imena poput name.model@example.com.
Format datoteke: Certifikati i ključevi moraju biti u.pem formatu.
Svrha: Svrha certifikata mora biti Webex Identity.
Generiranje ključeva: Certifikati se moraju temeljiti na ECDSA P-256 parovima ključeva (algoritam digitalnog potpisa eliptične krivulje pomoću krivulje P-256).

Ovaj se zahtjev ne odnosi na ključ za potpisivanje. CA može upotrijebiti RSA ključ za potpisivanje certifikata.

Pripremite se za ugrađivanje uređaja

Ovaj korak možete preskočiti ako ne želite koristiti eksterno provjereni identitet sa svojim uređajima.

Ako koristite nove uređaje, nemojte ih još registrirati na Webex. Da biste bili sigurni, nemojte ih povezati s mrežom u ovom trenutku.

Ako imate postojeće uređaje koje želite nadograditi kako bi koristili eksterno potvrđeni identitet, morate resetirati uređaje na tvorničke postavke.

Spremite postojeću konfiguraciju ako je želite zadržati.
Zakažite prozor kada se uređaji ne koriste ili upotrijebite fazni pristup. Obavijestite korisnike o promjenama koje mogu očekivati.
Osigurajte fizički pristup uređajima. Ako morate pristupiti uređajima putem mreže, imajte na umu da tajne putuju običnim tekstom i da ugrožavate svoju sigurnost.

Nakon što dovršite ove korake, do pustite video sustavima da se pridruže sastancima i događajima na vašoj web stranici Webex.

Razumijevanje postupka vanjskog identiteta za uređaje

Da biste osigurali da medij vašeg uređaja ne može biti šifriran od strane bilo koga osim uređaja, morate šifrirati privatni ključ na uređaju. Dizajnirali smo API-je za uređaj kako bi omogućili upravljanje šifriranim ključem i certifikatom, koristeći JSON Web Encryption (JWE).

Kako bismo osigurali istinsko šifriranje od kraja do kraja putem našeg oblaka, ne možemo biti uključeni u šifriranje i prijenos certifikata i ključa. Ako vam je potrebna ova razina sigurnosti, morate:

Zatražite svoje certifikate.
Generirajte parove ključeva svojih certifikata.
Stvorite (i zaštitite) početnu tajnu za svaki uređaj kako biste pokrenuli sposobnost šifriranja uređaja.
Razvijte i održavajte vlastiti alat za šifriranje datoteka pomoću JWE standarda.

Proces i (netajni) parametri koji će vam trebati objašnjeni su u nastavku, kao i recept koji treba slijediti u vašim razvojnim alatima po izboru. Također pružamo neke podatke o testiranju i rezultirajuće JWE blobove onako kako ih očekujemo, kako bismo vam pomogli da provjerite svoj postupak.

Nepodržana referentna implementacija pomoću Python3 i biblioteke JWCrypto dostupna je od tvrtke Cisco na zahtjev.
Spojite i šifrirajte certifikat i ključ pomoću alata i početne tajne uređaja.
Prenesite rezultirajući JWE blob na uređaj.
Postavite svrhu šifriranog certifikata koji će se koristiti za Webex identitet i aktivirajte certifikat.
(Preporučeno) Osigurajte sučelje za (ili distribuciju) vašeg alata kako biste korisnicima uređaja omogućili promjenu početne tajne i zaštititi svoje medije od vas.

Kako koristimo format JWE

Ovaj odjeljak opisuje kako očekujemo da će JWE biti stvoren kao ulaz za uređaje, tako da možete izgraditi vlastiti alat za stvaranje blobova iz vaših certifikata i ključeva.

Pogledajte JSON web enkripciju (JWE) https://datatracker.ietf.org/doc/html/rfc7516 i JSON web potpis (JWS) https://datatracker.ietf.org/doc/html/rfc7515.

Koristimo kompaktnu serijalizaciju JSON dokumenta za stvaranje JWE blobova. Parametri koje trebate uključiti prilikom izrade JWE blobova su:

JOSE zaglavlje (zaštićeno). U zaglavlju potpisivanja i šifriranja objekata JSON MORATE uključiti sljedeće parove ključ-vrijednost:
- "alg" :"dir"
  
  Izravni algoritam jedini je koji podržavamo za šifriranje korisnog tereta i morate koristiti početnu tajnu klijenta uređaja.
- "enc" :"A128GCM" ili "enc" :"A256GCM"
  
  Podržavamo ova dva algoritma šifriranja.
- "cisco-action": "dodaj" ili "cisco-akcija": "popuniti" ili "cisco-akcija": "aktivirati" ili "cisco-akcija": "deaktivirati"
  
  Ovo je vlasnički ključ i četiri vrijednosti koje može uzeti. Uveli smo ovaj ključ kako bismo signalizirali svrhu šifriranih podataka ciljnom uređaju. Vrijednosti su nazvane po XAPI naredbama na uređaju na kojem koristite šifrirane podatke.
  
  Nazvali smo ga cisco-akci jom za ublažavanje potencijalnih sukoba s budućim JWE proširenjima.
- "cisco-kdf": {"verzija": "1", "sol": "base64URLENcodeDrandom4+bajtova"}
  
  Još jedan vlasnički ključ. Vrijednosti koje navedete koristimo kao ulaze za izvođenje ključeva na uređaju. Verzija mora biti 1 (verzija naše funkcije izvođenja ključeva). Vrijednost soli mora biti base64 URL-kodirana sekvenca od najmanje 4 bajta, koju morate odabrati nasumično.
JWE šifrirani ključ. Ovo polje je prazno. Uređaj ga izvodi iz početnog Client Secret.
Vektor inicijalizacije J WE. Morate dostaviti base64url kodirani vektor inicijalizacije za dešifriranje korisnog tereta. IV MORA biti slučajna vrijednost od 12 bajta (koristimo AES-GCM šifru, koja zahtijeva da IV bude dugačak 12 bajtova).
JWE AAD (dodatni autentificirani podaci). Morate izostaviti ovo polje jer nije podržano u Compact Serialization.
JWE Ciphertext: Ovo je šifrirani teret koji želite čuvati u tajnosti.

Korisni teret MOŽE biti prazan. Na primjer, da biste resetirali tajnu klijenta, morate je prepisati praznom vrijednošću.

Postoje različite vrste korisnih tereta, ovisno o tome što pokušavate učiniti na uređaju. Različite XAPI naredbe očekuju različita korisna opterećenja, a svrhu korisnog tereta morate odrediti pomoću ključa cisco- action, kako slijedi:
- Uz "cisco-action" :"populate" šifrirani tekst je novi Client Secret.
- Uz ""cisco-action" :"add" šifrirani tekst je PEM blob koji nosi certifikat i njegov privatni ključ (spojen).
- Uz ""cisco-action" :"activate" šifrirani tekst je otisak prsta (heksadecimalni prikaz sha-1) certifikata koji aktiviramo za provjeru identiteta uređaja.
- Uz ""cisco-action" :"deaktiviraj" šifrirani tekst je otisak prsta (heksadecimalni prikaz sha-1) certifikata koji deaktiviramo od korištenja za provjeru identiteta uređaja.
JWE oznaka provjere autentičnosti: Ovo polje sadrži oznaku za provjeru autentičnosti kako bi se utvrdio integritet cijelog JWE kompaktno serijaliziranog bloba

`Kako izvodimo ključ za šifriranje iz ClientSecret`

Nakon prvog objavljivanja tajne, tajnu ne prihvaćamo niti iznosimo kao običan tekst. To je kako bi se spriječili potencijalni napadi rječnika od strane nekoga tko bi mogao pristupiti uređaju.

Softver uređaja koristi tajnu klijenta kao ulaz u funkciju izvođenja ključa (kdf), a zatim koristi izvedeni ključ za dešifriranje/šifriranje sadržaja na uređaju.

To za vas znači da vaš alat za proizvodnju JWE blobova mora slijediti isti postupak kako bi iz tajne klijenta izveo isti ključ za šifriranje/dešifriranje.

Uređaji koriste scrypt za izvođenje ključeva (vidi https://en.wikipedia.org/wiki/Scrypt), sa sljedećim parametrima:

CostFactor (N) je 32768
BlocksizeFactor (r) je 8
Faktor paralelizacije (p) je 1
Sol je slučajni slijed od najmanje 4 bajta; morate dostaviti istu sol prilikom određivanja paramet ra cisco- kdf.
Duljine ključa su ili 16 bajtova (ako odaberete AES-GCM 128 algoritam) ili 32 bajta (ako odaberete AES-GCM 256 algoritam)
Maksimalna memorijska kapica je 64MB

Ovaj skup parametara jedina je konfiguracija scrypta koja je kompatibilna s funkcijom izvođenja ključa na uređajima. Ovaj kdf na uređajima naziva se "version" :"1", što je jedina verzija koju trenutno preuzima parametar ci sco-kdf.

Radni primjer

Evo primjera koji možete slijediti kako biste provjerili radi li vaš postupak šifriranja JWE isto kao i postupak koji smo stvorili na uređajima.

Primjer scenarija je dodavanje PEM bloba uređaju (oponaša dodavanje certifikata, s vrlo kratkim nizom umjesto punog ključa cert +). Tajna klijenta u primjeru je ossifrage.

Odaberite šifru za šifriranje. Ovaj primjer koristi A128GCM (A ES sa 128-bitnim tipkama u načinu Galois Counter Mode). Vaš alat bi mogao koristiti A256GCM ako želite.
Odaberite sol (mora biti slučajni slijed od najmanje 4 bajta). Ovaj primjer koristi (šesterokutni bajtovi) E5 E6 53 08 03 F8 33 F 6. Base64URL kodira sekvencu da biste dobili 5eztcap4 m_y (uklonite podlogu base64).
Evo uzorka scrypt poziva za stvaranje ključa za šifriranje sadržaja (cek):

cek=scrypt(password="ossifrage", salt=4-byte-sequence, N=32768, r=8, p=1, keylength=16)

Izvedeni ključ trebao bi biti 16 bajtova (hex) kako slijedi: 95 9e ba 6d d1 22 01 05 78 fe 6a 9d 22 78 ff ac koji base64url kodira na LZ66bdeiAQV4_MQDINJ_RA.
Odaberite slučajni slijed od 12 bajtova koji ćete koristiti kao vektor inicijalizacije. Ovaj primjer koristi (hex) 34 b3 5d dd 5f 53 7b af 2d 92 95 83 koji base64url kodira na nlnd3v9te68tkpwd.
Napravite JOSE zaglavlje s kompaktnom serijalizacijom (slijedite isti redoslijed parametara koji ovdje koristimo), a zatim ga base64url kodirajte:

{"alg" :"dir", "cisco-akcija" :"dodaj", "cisco-kdf": {"salt" :"5eZtCap4m_Y", "verzija" :"1"}, "enc" :"A128GCM "}

Base64url kodirano JOSE zaglavlje je EYJHBGCioIJkaxiilCJJAxnjby1hy3rpb24ioIJhzgQilCJJAXnjBy1RZGYionsic2fsdci6ijvlwlrdqva0tv9ziiwidmvyc2lvbii6IJeifswizw5JIjoiqteYoeddtsj9

Ovo će biti prvi element JWE bloba.
Drugi element JWE bloba je prazan, jer ne isporučujemo ključ za šifriranje JWE.
Treći element JWE bloba je vektor inicijalizacije NLND3v9TE68tkpwd.
Koristite svoj JWE alat za šifriranje za proizvodnju šifriranog korisnog tereta i oznake. Za ovaj primjer, nešifrirani korisni teret bit će lažni PEM blob, ovo je PEM datoteka
Parametri šifriranja koje biste trebali koristiti su:
- Korisni teret je ovo je PEM datoteka
- Šifra šifriranja je AES 128 GCM
- Base64url kodirao je JOSE zaglavlje kao dodatni autentificirani podaci (AAD)
Base64URL kodira šifrirani korisni teret, što bi trebalo rezultirati F5LLvUWnfkfmZYCO1yjfodhq
Ovo je četvrti element (JWE Ciphertext) u JWE blobu.
Base64URL kodira oznaku koju ste proizveli u koraku 8, što bi trebalo rezultirati PE-wdfwgxffbeo928cfz1q

Ovo je peti element u JWE blobu.
Spojite pet elemenata JWE bloba s točkicama (JoseHeader.. iv.CipherText.tag) da biste dobili:

EYJHBgCioIJkaXiilCjJAxNjBy1HY3RPB24ioIJhzgQilcJjaXnjBy1rZgYionsIC2fSDCI6IJvlwlrdqva0tv9ziiwiDMvyc2LVbii6IJeifswizw5jijoiqteyoeddtsj.. 9nlnd3v9te68tkpwd.f5llvUVud.f5lLvUVu0lVuUD.f5lLvUVuDd FKFmZyCO1yJFODHQ.PE-WDFWGXFFBEO928CFZ1Q
Ako ste izveli iste base64url kodirane vrijednosti kao što prikazujemo ovdje, koristeći vlastite alate, spremni ste ih koristiti za osiguranje E2E enkripcije i provjerenog identiteta svojih uređaja.
Ovaj primjer zapravo neće raditi, ali u principu bi vaš sljedeći korak bio korištenje JWE bloba koji ste gore stvorili kao ulaz u xnaredbu na uređaju koji dodaje certifikat:

XCommand sigurnosni certifikati Dodaj eyJHBGCioIJkaxiilCJJAxnjby1hy3rpb24ioijhzgQiLcjJaxnjBy1rZgYionsiC2fsdCi6IJvLwlRdqva0tv9ziiwidmvyc2LVbii6IJeifswizw5JiJoiqTeYoeddtsJ.. 9NLnd3v9TE68PWtkd.pwtkd.F5LLv UWnfKfMZYCO1yJFODHQ.PE-WDFWG XFFBEO928CFz1Q

Vrste sesija za sastanke bez povjerenja dostupne su svim mjestima sastanaka bez dodatnih troškova. Jedna od tih vrsta sesija naziva se Pro-End to End Encryption_VOIPOnly. Ovo je naziv javne službe, koji bismo mogli promijeniti u budućnosti. Za trenutne nazive vrsta sesija pogledajte ID tipa sesije u odjeljku Re ference ovog članka.

Ne trebate ništa učiniti da biste dobili ovu mogućnost za svoju web lokaciju; morate korisnicima odobriti novu vrstu sesije (koja se naziva i privilegija sast anka). To možete učiniti pojedinačno putem korisnikove konfiguracijske stranice ili skupno s CSV izvozom/uvozom.

Provjerite novu vrstu sesije

1	Prijavite se u Control Hub i idite na U sluge > Sastanak.
2	Kliknite Stranice, odaberite web-lokaciju Webex za koju želite promijeniti postavke, a zatim kliknite Postavke.
3	U odjel jku Uobičajene postavke odaberite Vrste sesi je. Trebali biste vidjeti jednu ili više vrsta sesija šifriranja od kraja do kraja. Pogledajte popis ID-ova tipa sesije u odjeljku Re ference ovog članka. Na primjer, možete vidjeti Pro-End to End Encryption_Vo ipOnly. Postoji stariji tip sesije s vrlo sličnim nazivom: Pro-End to End Encryption. Ova vrsta sesije uključuje nešifrirani PSTN pristup sastancima. Provjerite imate li verziju _VoIPOnly kako biste osigurali šifriranje od kraja do kraja. Možete provjeriti pokazivanjem pokazivača iznad PRO veze u stupcu koda sesije; za ovaj primjer cilj veze trebao bi biti `JavaScript:` ShowFeature (652). Možemo promijeniti nazive javnih službi za ove vrste sesija u budućnosti.
4	Ako još nemate novu vrstu sesije, obratite se svom predstavniku Webexa.

Što učiniti sljedeće

Omogućite ovu vrstu sesije/privilegiju sastanka nekim ili svim svojim korisnicima.

Omogućite sastanke E2EE za pojedinačne korisnike

1	Prijavite se u Control Hub i idite na U pravljanje > Korisnici.
2	Odaberite korisnički račun za ažuriranje, a zatim odaberite Sastanci.
3	Na padajućem popisu Postavke primjen juju se na odaberite mjesto sastanka za ažuriranje.
4	Označite okvir pored Pro-End to End Encryption_Voip Only.
5	Zatvorite ploču za konfiguraciju korisnika.
6	Ponovite za druge korisnike ako je potrebno. Da biste to dodijelili mnogim korisnicima, upotrijebite sljedeću opciju, O mogući E2EE sastanke za više korisnika.

Omogućite sastanke E2EE za više korisnika

1	Prijavite se u Control Hub i idite na U sluge > Sastanak.
2	Kliknite Stran ice, odaberite web mjesto Webex za koje želite promijeniti postavke.
3	U odjeljku Licence i korisnici kliknite Skupno upravljanje.
4	Kliknite Generiraj izvješ će i pričekajte dok pripremamo datoteku.
5	Kada je datoteka spremna, kliknite Izvezi rezultate, a zatim Preuzmi. (Morate ručno zatvoriti taj skočni prozor nakon što kliknete Pre uzmi.)
6	Otvorite preuzetu CSV datoteku za uređivanje. Postoji redak za svakog korisnika, a stupac `MeetingPrivilege` sadrži njihove ID-ove tipa sesije kao popis razdvojen zarezima.
7	`Za svakog korisnika kojem želite odobriti novu vrstu sesije dodajte 1561 kao novu vrijednost na popisu razgraničenom zarezima u ćeliji MeetingPrivilege.` Referenca za format datoteke CSV Webex sadrži detalje o svrsi i sadržaju CSV datoteke.
8	Otvorite ploču za konfiguraciju mjesta sastanka u upravljačkom čvorištu. Ako ste već bili na stranici popisa web mjesta za sastanak, možda ćete je trebati osvježiti.
9	U odjeljku Licence i korisnici kliknite Skupno upravljanje.
10	Kliknite Uvezi i odaberite uređeni CSV, a zatim kliknite Uvezi. Pričekajte dok se datoteka učita.
11	Kada je uvoz završen, možete kliknuti Uvezi rezultate da biste pregledali je li bilo pogrešaka.
12	Idite na stranicu Koris nici i otvorite jednog od korisnika kako biste provjerili imaju li novu vrstu sesije.

Dodajte audio vodeni žig radi sigurnosti

Snimkama sastanaka možete dodati vodeni žig pomoću vrste sesije Webex MeetingsPro-End to End Encryption_VOIPOn ly, koja vam omogućuje prepoznavanje izvornog klijenta ili uređaja neovlaštenih snimaka povjerljivih sastanaka.

Kada je ova značajka omogućena, zvuk sastanka sadrži jedinstveni identifikator za svakog klijenta ili uređaja koji sudjeluje. Audio snimke možete prenijeti u Control Hub, koji zatim analizira snimku i traži jedinstvene identifikatore. Možete pogledati rezultate da biste vidjeli koji izvorni klijent ili uređaj zabilježio sastanak.

Da bi se analizirala, snimak mora biti AAC, MP3, M4A, WAV, MP4, AVI ili MOV datoteka ne veća od 500 MB.
Snimanje mora biti duže od 100 sekundi.
Možete analizirati samo snimke sastanaka koje organiziraju osobe u vašoj organizaciji.
Podaci o vodenom žigu čuvaju se isto vrijeme kao i informacije o sastanku organizacije.

Dodajte audio vodene žigove na sastanke E2EE

Prijavite se u Control Hub, a zatim u odjeljku U pravl janje odaberite Postavke organizacije.
U odjeljku Vodeni žigovi sast anka uključite Dodaj audio vodeni žig.
Neko vrijeme nakon uključivanja, korisnici koji zakaziraju sastanke s tipom sesije Webex MeetingsPro-End to End Encryption_VOIPOn ly vide opciju Digitalni vodeni žig u odjeljku Sigurnost.

Prenesite i analizirajte sastanak s vodenim žigom

U upravljačkom čvorištu u odjelj ku Nad zor odaberite R ješavanje problema.
Kliknite Analiza vodenog žiga.
Potražite ili odaberite sastanak na popisu, a zatim kliknite Analiziraj.
U prozoru Analizirajte audio vod eni žig unesite naziv za analizu.
(Neobavezno) Unesite bilješku za analizu.
Povucite i ispustite audio datoteku koju želite analizirati ili kliknite Odaberi datote ku da biste pregledali audio datoteku.
Kliknite Zatvori.
Kada je analiza završena, prikazat će se na popisu rezultata na stranici Analizirajte vodeni žig.
Odaberite sastanak na popisu da biste vidjeli rezultate analize. Kliknite za preuzimanje rezultata.

Značajke i ograničenja

Čimbenici uključeni u uspješno dekodiranje snimljenog vodenog žiga uključuju udaljenost između uređaja za snimanje i zvučnika koji izdaje zvuk, glasnoću tog zvuka, buku iz okoliša itd. Naša tehnologija vodenih žigova ima dodatnu otpornost na višestruko kodiranje, kao što se može dogoditi kada se mediji dijele.

Ova je značajka osmišljena kako bi omogućila uspješno dekodiranje identifikatora vodenog žiga u širokom, ali razumnom skupu okolnosti. Naš cilj je da uređaj za snimanje, poput mobilnog telefona, koji leži na stolu u blizini osobne krajnje točke ili klijenta prijenosnog računala, uvijek treba stvoriti snimku koja rezultira uspješnom analizom. Kako se uređaj za snimanje udaljava od izvora ili je zatamnjen od slušanja cijelog zvučnog spektra, šanse za uspješnu analizu smanjuju se.

Da bi se uspješno analizirala snimka, potrebno je razumno snimanje zvuka sastanka. Ako se zvuk sastanka snima na istom računalu koje ugošćuje klijenta, ograničenja se ne smiju primjenjivati.

Ugrađeni uređaji (Interni CA)

Ako su vaši uređaji već uključeni u vašu organizaciju Control Hub i želite koristiti Webex CA za automatsko generiranje njihovih identifikacijskih certifikata, uređaje ne morate vraćati na tvorničke postavke.

Ovaj postupak odabire domenu koju uređaj koristi za identifikaciju i potreban je samo ako imate više domena u organizaciji Control Hub. Ako imate više domena, preporučujemo vam da to učinite za sve svoje uređaje koji će imati identitet "CISCO-verificiran". Ako Webexu ne kažete koja domena identificira uređaj, ona se automatski bira i ostalim sudionicima sastanka može izgledati pogrešno.

Prije nego što počnete

Ako vaši uređaji još nisu uključeni, slijedite Registrirajte uređaj za Cisco Webex korištenje API-ja ili lokalnog web sučelja ili uključenja u oblak za serije Board, Desk i Room. Također biste trebali provjeriti domenu koju želite koristiti za identifikaciju uređaja u Upravljanje domen ama.

1	Prijavite se u Control Hub i u odjeljku U pravljanje odaberite U ređaji.
2	Odaberite uređaj za otvaranje njegove konfiguracijske ploče.
3	Odaberite domenu koju želite koristiti za identifikaciju ovog uređaja.
4	Ponovite za druge uređaje.

Ugrađeni uređaji (vanjski CA)

Prije nego što počnete

Nabavite certifikat potpisan CA i privatni ključ, u.pem formatu, za svaki uređaj.
Na kartici Pri prema pročitajte temu Razumi jevanje procesa vanjskog identiteta za uređaje,
Pripremite JWE alat za šifriranje s obzirom na tamošnje informacije.
Provjerite imate li alat za generiranje nasumičnih bajtova sekvenci zadanih duljina.
Provjerite imate li alat za kodiranje bajtova ili teksta base64url.
Provjerite imate li implementaciju scrypt.
Provjerite imate li tajnu riječ ili frazu za svaki uređaj.

1	Popunite `ClientSecret uređaja tajnom` običnog teksta: Prvi put kada popunite `Taj` nu, dostavljate je običnim tekstom. Zato preporučujemo da to učinite na fizičkoj konzoli uređaja. Base64URL kodira tajnu frazu za ovaj uređaj. Otvorite TShell na uređaju. Pokrenite `xcommand Security ClientSecret Popunite Secret: "MDEymzQ1NjC4owFiy2` RLzg" Primjer naredbe iznad popunjava `Taj` nu frazom `0` 123456789abcdef. Morate odabrati svoje. Uređaj ima svoju početnu tajnu. Ne zaboravite ovo; ne možete ga oporaviti i morate tvornički resetirati uređaj da biste ponovo pokrenuli.
2	Spojite svoj certifikat i privatni ključ: Pomoću uređivača teksta otvorite.pem datoteke, zalijepite ključ blob certifikata i spremite ga kao nova.pem datoteku. Ovo je tekst korisnog tereta koji ćete šifrirati i staviti u svoj JWE blob.
3	Stvorite JWE blob koji će se koristiti kao ulaz u naredbu za dodavanje certifikata: Stvorite slučajni slijed od najmanje 4 bajta. Ovo je tvoja sol. Izvedite ključ za šifriranje sadržaja pomoću alata za scrypt. Za to vam je potrebna tajna, sol i duljina ključa kako bi odgovarali odabranoj šifri šifriranja. Postoje neke druge fiksne vrijednosti koje treba isporučiti (N = 32768, r = 8, p = 1). Uređaj koristi isti postupak i vrijednosti za dobivanje istog ključa za šifriranje sadržaja. Stvorite slučajni slijed od točno 12 bajtova. Ovo je vaš inicijalizacijski vektor. Stvorite JOSE zaglavlje postavljajući tip `ke alg`, `enc` i `cisco-kdf` kako je opisano u Razumi jevanje procesa van jskog identiteta za uređaje. Postavite radnju "add" koristeći ključ: vrijednost `"cisco-action" :"add"` u zaglavlju JOSE (jer dodajemo certifikat uređaju). Base64URL kodira zaglavlje JOSE. Koristite svoj JWE alat za šifriranje s odabranom šifrom i base64url kodiranim JOSE zaglavljem za šifriranje teksta iz spojene pem datoteke. Base64URL kodira vektor inicijalizacije, šifrirani PEM korisni teret i oznaku za provjeru autentičnosti. Konstruirajte JWE blob na sljedeći način (sve vrijednosti su kodirane base64url): `JoseHeader.. initVector.EncryptedPem.AuthTag`
4	Otvorite TShell na uređaju i pokrenite naredbu (višestruki) dodaj: `xcommand Security Certificates Services Add IsEncrypted: True your..JWE.str.ing\n .\n`
5	Provjerite je li certifikat dodan pokretanjem `xcommand Security Certificates Services Prikaži` Kopirajte otisak novog certifikata.
6	Aktivirajte certifikat za svrhu `WebExIdentity:` Pročitajte otisak prsta certifikata, bilo iz samog certifikata ili iz izlaza programa `xcommand Security Certificates Services Show`. Napravite slučajni slijed od najmanje 4 bajta i base64url kodirajte taj slijed. Ovo je tvoja sol. Izvedite ključ za šifriranje sadržaja pomoću alata za scrypt. Za to vam je potrebna tajna, sol i duljina ključa kako bi odgovarali odabranoj šifri šifriranja. Postoje neke druge fiksne vrijednosti koje treba isporučiti (N = 32768, r = 8, p = 1). Uređaj koristi isti postupak i vrijednosti za dobivanje istog ključa za šifriranje sadržaja. Napravite slučajni slijed od točno 12 bajtova i base64url kodirajte taj slijed. Ovo je vaš inicijalizacijski vektor. Stvorite JOSE zaglavlje postavljajući tip `ke alg`, `enc` i `cisco-kdf` kako je opisano u Razumi jevanje procesa van jskog identiteta za uređaje. Postavite radnju "aktiviraj" pomoću ključa: vrijednost `"cisco-action" :"activate"` u zaglavlju JOSE (jer aktiviramo certifikat na uređaju). Base64URL kodira zaglavlje JOSE. Koristite svoj JWE alat za šifriranje s odabranom šifrom i base64url kodiranim JOSE zaglavljem za šifriranje otiska prsta certifikata. Alat bi trebao iznijeti sekvencu od 16 ili 32 bajta, ovisno o tome jeste li odabrali 128 ili 256 bitni AES-GCM i oznaku za provjeru autentičnosti. Base64URLENcode šifrirani otisak prsta i oznaku za provjeru autentičnosti. Konstruirajte JWE blob na sljedeći način (sve vrijednosti su kodirane base64url): `JoseHeader.. initVector.EncryptedFingerprint.AuthTag` Otvorite TShell na uređaju i pokrenite sljedeću naredbu za aktiviranje: `xcommand Security Certificates Services Activate Purpose: WebexIdentity Fingerprint: "Your..JWE.encrypted.fingerprint"` Uređaj ima šifrirani, aktivni certifikat izdan CA, spreman za upotrebu za njegovu identifikaciju u Webex sastancima šifriranih od kraja do kraja.
7	Uključite uređaj u organizaciju Control Hub.

Testirajte end-to-end enkripciju s potvrdom identiteta

1	Zakažite sastanak ispravnog tipa (Webex MeetingsPro-End to End Encryption_ VoipOnly). Pogledajte Zakazi vanje Webex sastanka s šifriranjem od kraja do kraja.
2	Pridružite se sastanku kao domaćin, od Webex Meetings klijenta. Pogledajte Pridruživanje Webex-ovom sastanku s šifriranjem od kraja do kraja.
3	Pridružite se sastanku s uređaja čiji je identitet potvrdio Webex CA.
4	Kao domaćin provjerite da se ovaj uređaj pojavljuje u predvorju s ispravnom ikonom identiteta. Pogledajte Pridruživanje Webex-ovom sastanku s šifriranjem od kraja do kraja.
5	Pridružite se sastanku s uređaja čiji je identitet potvrdio vanjski CA.
6	Kao domaćin provjerite da se ovaj uređaj pojavljuje u predvorju s ispravnom ikonom identiteta. Saznajte više o ikonama identiteta.
7	Pridružite se sastanku kao neovlašteni sudionik sastanaka.
8	Kao domaćin provjerite da se ovaj sudionik pojavljuje u predvorju s ispravnom ikonom identiteta.
9	Kao domaćin, priznajte ili odbacite ljude/uređaje.
10	Provjerite identitet sudionika/uređaja gdje je to moguće provjerom certifikata.
11	Provjerite vide li svi na sastanku isti sigurnosni kod sastanka.
12	Pridružite se sastanku s novim sudionikom.
13	Provjerite vide li svi isti, novi sigurnosni kod sastanka.

Postavite opseg i očekivanja

Hoćete li šifrirane sastanke od kraja do kraja učiniti zadanom opcijom sastanka ili je omogućiti samo nekim korisnicima ili dopustiti svim domaćinima da odluče? Kada odlučite kako ćete koristiti ovu značajku, pripremite one korisnike koji će je koristiti, posebno s obzirom na ograničenja i što očekivati na sastanku.
Trebate li osigurati da ni Cisco ni bilo tko drugi ne mogu dešifrirati vaš sadržaj ili se predstavljati kao vaše uređaje? Ako je tako, potrebni su vam certifikati javnog CA.
Ako imate različite razine provjere identiteta, omogućite korisnicima da se međusobno potvrđuju identitetom potkrijepljenim certifikatom. Iako postoje okolnosti u kojima se sudionici mogu pojaviti kao neprovjereni, a sudionici bi trebali znati provjeriti, neprovjereni ljudi možda nisu prevaranti.

Upravljanje identitetom

Ako koristite vanjski certifikat za izdavanje certifikata uređaja, na vama je da nadgledate, osvježavate i ponovno primjenjujete certifikate.

Ako ste stvorili početnu tajnu, shvatite da će vaši korisnici možda htjeti promijeniti tajnu svog uređaja. Možda ćete trebati stvoriti sučelje/distribuirati alat kako biste im to omogućili.

ID-ovi vrste sesije

Tablica 1. ID tipa sesije za šifrirane sastanke od kraja do kraja
ID vrste sesije	Naziv javne službe
638	E2E enkripcija+samo VoIP
652	Pro-end to Encryption_VoipOnly
660	Pro 3 Encryption_VoipOnly od slobodnog kraja do kraja E2E enkripcija+identitet
672	Pro 3 Free50-Encryption_VoipOnly
673	Instruktor obrazovanja E2E Encryption_VoipOnly
676	Broadworks Standard plus enkripcija od kraja do kraja
677	Broadworks Premium plus enkripcija od kraja do kraja
681	Schoology Free plus enkripcija od kraja do kraja

Povezane XAPI naredbe

Ove tablice opisuju API naredbe Webex uređaja koje smo dodali za šifrirane sastanke od kraja do kraja i provjereni identitet. Dodatne informacije o korištenju API-ja potražite u odjeljku Pristup API-ju za uređaje Board, Desk i Room Series.

Ove XAPI naredbe dostupne su samo na uređajima koji su:

Registrirano na Webex
Registrirano lokalno i povezano s Webexom s programom za uređaje Webex Edge

Tablica 2. API-ji na razini sustava za šifrirane sastanke od kraja do kraja i provjereni identitet
API poziv	Opis
`XConfiguration Konferencija EndToEndEncryption Identity PreferredDomain: "example.com"`	Ova se konfiguracija vrši kada administrator postavi željenu domenu uređaja iz Control Hub. Potrebno je samo ako organizacija ima više od jedne domene. Uređaj koristi ovu domenu kada traži certifikat od Webex CA. Domena tada identificira uređaj. Ova konfiguracija nije primjenjiva ako uređaj ima aktivan, vanjski izdan certifikat za identifikaciju.
`Dostupnost XStatus konferencije EndToEndEncryption`	Označava može li se uređaj pridružiti šifriranom sastanku od kraja do kraja. API u oblaku naziva ga tako da uparena aplikacija zna može li koristiti uređaj za pridruživanje.
`XStatus Conference EndToEndEncryption ExternaVerifikacija identiteta`	Označava da li uređaj koristi `vanjsku prov` jeru (ima eksterno izdani certifikat).
`XStatus Conference EndToEncryption ExternalIdentity Identity`	Identitet uređaja očitan iz Uobičajenog naziva izvanjski izdanog certifikata.
`XStatus Conference EndToEndEncryption ExternalIdentity CertificateChain certifikat # specificinfo`	Čita određene informacije iz eksterno izdanog certifikata. U prikazanoj naredbi zamijenite `#` s brojem certifikata. Zamijenite `specificinfo` jednim od: `Otisak prsta` `BilješkaFTER Datum isteka` valjanosti `NePrije datuma početka` valjanosti `Primarno ime` `Algoritam javnog ključa` `Serijski broj` `Algoritam potpisa` `Pred met # Ime` Popis predmeta za certifikat (npr. adresa e-pošte ili naziv domene) `Valjan` ost daje status valjanosti ovog certifikata (npr. `valjano` ili `isteklo`)
`XStatus Conference EndToEncryption ExternalIdentity Status`	Status vanjskog identiteta uređaja (npr. `val` jan ili `pogreška`).
`XStatus Conference EndToEndEncryption InternaVerifikacija identiteta`	Označava ima li uređaj važeći certifikat koji je izdao Webex CA.
`XStatus Conference EndToEndEncryption InternalIdentity Identity`	Identitet uređaja očitan iz Uobičajenog naziva certifikata koji je izdao WebEx. Sadrži naziv domene ako organizacija ima domenu. Prazan je ako organizacija nema domenu. Ako je uređaj u organizaciji koja ima više domena, to je vrijednost iz `PreferredDomain`.
`XStatus Conference EndToEndEncryption InternalIdentity CertificateChain certifikat # specificinfo`	Čita određene informacije iz certifikata izdanog WebEx. U prikazanoj naredbi zamijenite `#` s brojem certifikata. Zamijenite `specificinfo` jednim od: `Otisak prsta` `BilješkaFTER Datum isteka` valjanosti `NePrije datuma početka` valjanosti `Primarno ime` `Algoritam javnog ključa` `Serijski broj` `Algoritam potpisa` `Pred met # Ime` Popis predmeta za certifikat (npr. adresa e-pošte ili naziv domene) `Valjan` ost daje status valjanosti ovog certifikata (npr. `valjano` ili `isteklo`)

Tablica 3. U API-jima poziva za šifrirane sastanke od kraja do kraja i provjereni identitet
API poziv	Opis
`XEvent sudionici konferencijePopis sudioničnikaDodano` `XEvent sudionici konferencijePopis sudioničnikaAktualizirano` `XEvent sudionici konferencijePopis sudionika Izbrisano`	`Ova tri događaja sada uključuju EndToEndEncryptionStatus, EndToEndEncryptionIdentity i End ToEndEncryptionCertInfo za pogođenog sudionika.`

Tablica 4. API-ji povezani s ClientSecret za šifrirane sastanke od kraja do kraja i provjereni identitet
API poziv	Opis
`XCommand Security ClientSecret Popunite Secret: "base64url kodirano"` ili `XCommand Security Client Secret Popunite Secret: JWebLob`	Prihvaća base64url kodiranu običnu tekstualnu vrijednost za prvi put postavljanje tajne klijenta na uređaj. Da biste ažurirali tajnu nakon tog prvog puta, morate dostaviti JWE blob koji sadrži novu tajnu šifriranu starom tajnom.
`Usluge sigurnosnih certifikata XCommand Dodaj JWebLob`	Dodaje certifikat (s privatnim ključem). Proširili smo ovu naredbu da prihvatimo JWE blob koji sadrži šifrirane PEM podatke.
`XCommand sigurnosni certifikati Usluge aktiviranja Svrha: WebExIdentity Fingerprint: JWebLob`	Aktivira određeni certifikat za WebExIdentity. U tu `svrhu` naredba zahtijeva da se identifikacijski otisak prsta šifrira i serijalizira u JWE blobu.
`Usluge sigurnosnih certifikata XCommand Deaktiviraju Svrha: WebExIdentity Fingerprint: JWebLob`	Deaktivira određeni certifikat za WebExIdentity. U tu `svrhu` naredba zahtijeva da se identifikacijski otisak prsta šifrira i serijalizira u JWE blobu.

Cisco AI Assistant

Hvala na povratnim informacijama.

Potvrdite identitet

Interno izdani certifikat uređaja

Izvana izdan certifikat uređaja

Uređaji

Softverski klijenti

Identitet

Sastanci

Sučelje upravljanja

Povezane informacije

Kako koristimo format JWE

`Kako izvodimo ključ za šifriranje iz ClientSecret`

Radni primjer

Dodajte audio vodene žigove na sastanke E2EE

Prenesite i analizirajte sastanak s vodenim žigom

Značajke i ograničenja

Malo poslovanje

Poduzeće

Uređaji

Rješenja za

Resursi

Tvrtka