Fizička sigurnost

Važno je osigurati fizičku sigurnost lokacijama Equinix Meet-Me Room i Cisco Namjenski primjerak Objekti podatkovnog centra. Kada je fizička sigurnost ugrožena, mogu se pokrenuti jednostavni napadi kao što je prekid usluge isključivanjem struje na prekidačima korisnika. Uz fizički pristup, napadači bi mogli dobiti pristup poslužiteljskim uređajima, poništiti lozinke i dobiti pristup prekidačima. Fizički pristup također olakšava sofisticiranije napade kao što su napadi čovjeka u sredini, zbog čega je drugi sigurnosni sloj, mrežna sigurnost, kritičan.

Samošifrirajući pogoni se koriste u Namjenski primjerak Podatkovni centri koji hostiraju UC aplikacije.

Za više informacija o općim sigurnosnim praksama pogledajte dokumentaciju na sljedećem mjestu: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Mrežna sigurnost

Partneri moraju osigurati da su svi elementi mreže osigurani Namjenski primjerak infrastrukture (koja se povezuje preko Equinixa). Odgovornost partnera je osigurati najbolje prakse kao što su:

• Odvojeni VLAN za glas i podatke

• Omogućite sigurnost porta koja ograničava broj dopuštenih MAC adresa po portu, protiv poplave CAM tablice

• Zaštita IP izvora od lažnih IP adresa

• Dinamička ARP inspekcija (DAI) ispituje protokol razlučivanja adresa (ARP) i besplatni ARP (GARP) na kršenja (protiv lažiranja ARP-a)

• 802.1x ograničava pristup mreži za provjeru autentičnosti uređaja na dodijeljenim VLAN-ovima (telefoni podržavaju 802.1x )

• Konfiguracija kvalitete usluge (QoS) za odgovarajuće označavanje glasovnih paketa

• Konfiguracije portova vatrozida za blokiranje bilo kojeg drugog prometa

Sigurnost krajnjih točaka

Cisco krajnje točke podržavaju zadane sigurnosne značajke kao što su potpisani firmver, sigurno pokretanje (odabrani modeli), proizvođač instaliran certifikat (MIC) i potpisane konfiguracijske datoteke, koje pružaju određenu razinu sigurnosti za krajnje točke.

Osim toga, partner ili kupac može omogućiti dodatnu sigurnost, kao što su:

• Šifrirajte usluge IP telefon (putem HTTPS-a) za usluge poput Extension Mobility

• Izdavanje lokalno značajnih certifikata (LSC) iz funkcija proxyja za provjeru autentičnosti certifikata za izdavanje certifikata (CAPF) ili javnog certifikacijskog tijela (CA)

• Šifrirajte konfiguracijske datoteke

• Šifriranje medija i signalizacije

• Onemogućite ove postavke ako se ne koriste: PC port, PC Voice VLAN pristup, besplatni ARP, pristup Web , gumb postavki, SSH, konzola

Implementacija sigurnosnih mehanizama u Namjenski primjerak sprječava krađu identiteta telefona i poslužitelj za Unified CM, neovlašteno mijenjanje podataka i signaliziranje poziva/medijskog toka.

Namjenski primjerak preko mreže:

• Uspostavlja i održava provjerene komunikacijske tokove

• Digitalno potpisuje datoteke prije prijenosa datoteke na telefon

• Šifrira medijske tokove i signalizaciju poziva između Cisco Unified IP telefona

Sigurnost prema zadanim postavkama pruža sljedeće automatske sigurnosne značajke za Cisco Unified IP telefone:

• Potpisivanje konfiguracijskih datoteka telefona

• Podrška za enkripciju konfiguracijska datoteka telefona

• HTTPS s Tomcatom i drugim Web uslugama (MIDleti)

Za Unified CM izdanje 8.0 kasnije, ove sigurnosne značajke su osigurane prema zadanim postavkama bez pokretanja klijenta Popis pouzdanosti certifikata (CTL).

Budući da postoji veliki broj telefona u mreži, a IP telefoni imaju ograničenu memoriju, Cisco Unified CM djeluje kao udaljeno skladište povjerenja putem usluge provjere povjerenja (TVS) tako da se pohrana povjerenja certifikata ne mora postavljati na svaki telefon. Cisco IP telefoni kontaktiraju TVS poslužitelj radi provjere jer ne mogu provjeriti potpis ili certifikat putem CTL ili ITL datoteka. Lakše je upravljati središnjom pohranom povjerenja nego posjedovanjem spremišta povjerenja na svakom Cisco Unified IP telefon.

TVS omogućuje Cisco Unified IP telefonima provjeru autentičnosti poslužitelja aplikacija, kao što su EM usluge, imenik i MIDlet, tijekom uspostavljanja HTTPS-a.

Datoteka Initial Trust List (ITL) koristi se za početnu sigurnost, tako da krajnje točke mogu vjerovati Cisco Unified CM u. ITL ne treba nikakve sigurnosne značajke da bi bile eksplicitno omogućene. ITL datoteka se automatski kreira kada se klaster instalira. Privatni ključ poslužitelja Unified CM Trivial File Transfer Protocol (TFTP) koristi se za potpisivanje ITL datoteke.

Kada je Cisco Unified CM klaster ili poslužitelj u nezaštićenom sigurni način rada, ITL datoteka se preuzima na svaki podržani Cisco IP telefon. Partner može vidjeti sadržaj ITL datoteke pomoću CLI naredba, admin:show itl.

Cisco IP telefoni trebaju ITL datoteku za obavljanje sljedećih zadataka:

• Sigurno komunicirajte s CAPF-om, što je preduvjet za podršku enkripcije konfiguracijska datoteka

• Ovjerite potpis konfiguracijska datoteka

• Provjera autentičnosti poslužitelja aplikacija, kao što su EM usluge, imenik i MIDlet tijekom uspostavljanja HTTPS-a pomoću TVS -a

Provjera autentičnosti uređaja, datoteke i signalizacije oslanjaju se na kreiranje datoteke Popis pouzdanosti certifikata (CTL), koja se stvara kada partner ili korisnik instalira i konfigurira klijenta Cisco Certificate Trust List Client.

CTL datoteka sadrži unose za sljedeće poslužitelje ili sigurnosne tokene:

• Sigurnosni token administratora sustava (SAST)

• Cisco CallManager i Cisco TFTP usluge koje se izvode na istom poslužitelju

• Funkcija proxy izdavač certifikata (CAPF)

• TFTP poslužitelj(i)

• ASA vatrozid

CTL datoteka sadrži certifikat poslužitelja, javni ključ, serijski broj, potpis, ime izdavatelja, naziv subjekta, funkciju poslužitelja, DNS naziv i IP adresa za svaki poslužitelj.

Sigurnost telefona s CTL -om pruža sljedeće funkcije:

• Provjera autentičnosti datoteka preuzetih TFTP -om (konfiguracija, lokacija, popis zvona i tako dalje) pomoću ključa za potpisivanje

• Šifriranje TFTP konfiguracijskih datoteka pomoću ključa za potpisivanje

• Šifrirana signalizacija poziva za IP telefone

• Šifrirani zvuk poziva (mediji) za IP telefone

Namjenski primjerak pruža registraciju krajnje točke i obrada poziva. Signalizacija između Cisco Unified CM -a i krajnjih točaka temelji se na Secure Skinny Client Control Protocol (SCCP) ili Protokol za pokretanje sesije (SIP) i može se šifrirati korištenjem Transport Layer Security (TLS). Mediji od/do krajnjih točaka temelje se na protokolu za prijenos u stvarnom vremenu (RTP) i također se mogu šifrirati pomoću Secure RTP (SRTP).

Omogućavanje mješovitog načina rada na Unified CM -u omogućuje šifriranje signalnog i promet medija od i do krajnjih točaka Cisco .

Sigurne UC aplikacije

Mješoviti način rada zadano omogućeno u Namjenski primjerak .

Omogućavanje mješovitog načina rada u Namjenski primjerak omogućuje mogućnost izvođenja šifriranja signalnog i promet medija od i do krajnjih točaka Cisco .

U Cisco Unified CM izdanju 12.5(1), za Jabber i Webex klijente dodana je nova opcija za omogućavanje šifriranja signalizacije i medija na temelju SIP OAuth umjesto mješovitog načina rada / CTL . Stoga se u Unified CM izdanju 12.5(1), SIP OAuth i SRTP mogu koristiti za omogućavanje enkripcije za signalizaciju i medije za Jabber ili Webex klijente. Omogućavanje mješovitog načina rada i dalje je potrebno za Cisco IP telefone i druge Cisco krajnje točke u ovom trenutku. Postoji plan za dodavanje podrške za SIP OAuth u krajnje točke 7800/8800 u budućem izdanju.

Cisco Unity Connection povezuje se s Unified CM preko TLS porta. Kada sigurnosni način uređaja nije siguran, Cisco Unity Connection povezuje se s Unified CM preko SCCP porta.

Za konfiguriranje sigurnosti za Unified CM portove za glasovne poruke i Cisco Unity uređaje koji pokreću SCCP ili Cisco Unity Connection uređaje koji pokreću SCCP, partner može odabrati način sigurnosti sigurnog uređaja za port. Ako odaberete provjereni ulaz za glasovnu poštu, otvara se TLS veza, koja provjerava autentičnost uređaja korištenjem međusobne razmjene certifikata (svaki uređaj prihvaća certifikat drugog uređaja). Ako odaberete šifrirani ulaz za glasovnu poštu, sustav prvo provjerava autentičnost uređaja, a zatim šalje šifrirane glasovne tokove između uređaja.

Za više informacija o portovima za sigurnosne glasovne poruke, pogledajte: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/cucm/security/12_5_1_SU1/cucm_b_security-guide-125SU1/cucm_b_security-guide-for-cisco-unified125SU1_chapter_010001.html

Osiguravanje komunikacije između Cisco Unified CM -a i CUBE-a

Za sigurnu komunikaciju između Cisco Unified CM -a i CUBE-a, partneri/kupci moraju koristiti ili certifikat sa samopotpisivanjem ili certifikate s potpisom CA.

Za samopotpisane certifikate:

1. CUBE i Cisco Unified CM generiraju samopotpisane certifikate

2. CUBE izvozi certifikat u Cisco Unified CM

3. Cisco Unified CM izvozi certifikat u CUBE

Za CA-potpisane certifikate:

1. Klijent generira par ključeva i šalje zahtjev za potpisivanje certifikata (CSR) izdavač certifikata (CA)

2. CA ga potpisuje svojim privatnim ključem, stvarajući certifikat identiteta

3. Klijent instalira popis pouzdanih CA korijenskih i posredničkih certifikata i certifikat identiteta

Sažetak protokola

Sljedeća tablica prikazuje protokole i povezane usluge korištene u Unified CM rješenju.

Za više informacija o MRA konfiguraciji pogledajte: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

Osiguravanje Jabbera i Webex sa SIP OAuthom

Jabber i Webex klijenti provjeravaju autentičnost putem OAuth tokena umjesto lokalno bitan certifikat (LSC), koji ne zahtijeva omogućavanje funkcija proxyja za provjeru autentičnosti certifikata (CAPF) (također za MRA). SIP OAuth koji radi sa ili bez miješanog načina rada uveden je u Cisco Unified CM 12.5(1), Jabber 12.5 i Expressway X12.5.

U Cisco Unified CM 12.5 imamo novu opciju u Profilu sigurnosti telefona koja omogućuje enkripciju bez LSC/ CAPF-a, koristeći jedan Transport Layer Security (TLS) + OAuth token u SIP REGISTER. Čvorovi Expressway-C koriste API Administrative XML Web Service (AXL ) za informiranje Cisco Unified CM -a o SN/SAN-u u svom certifikatu. Cisco Unified CM koristi ove informacije za provjeru valjanosti Exp-C certifikata prilikom uspostavljanja međusobne TLS veze.

SIP OAuth omogućuje šifriranje medija i signalizacije bez certifikata krajnje točke (LSC).

Cisco Jabber koristi efemerne portove i sigurne portove 6971 i 6972 portove putem HTTPS veze na TFTP poslužitelj za preuzimanje konfiguracijskih datoteka. Port 6970 nije siguran port za preuzimanje putem HTTP-a.

Više pojedinosti o SIP OAuth konfiguraciji: SIP OAuth način rada .