Hvala na povratnim informacijama.

Sigurnosne značajke štite od prijetnji, uključujući prijetnje identitetu telefona i podacima. Ove značajke uspostavljaju i održavaju autentificirane komunikacijske tokove između telefona i Cisco Unified Communications Manager poslužitelja te osiguravaju da telefon koristi samo digitalno potpisane datoteke.

Cisco Unified Communications ManagerIzdanje 8.5 (1) i novije verzije uključuje Sigurnost prema zadanim postavkama, koja pruža sljedeće sigurnosne značajke za Cisco IP telefone bez pokretanja CTL klijenta:

• Potpisivanje konfiguracijskih datoteka telefona

• Šifriranje konfiguracijske datoteke telefona

• HTTPS s Tomcatom i drugim web uslugama

Implementacija sigurnosti u Cisco Unified Communications Manager sustav sprječava krađu identiteta telefona i Cisco Unified Communications Manager poslužitelja, sprječava neovlašćivanje podataka i sprječava signalizaciju poziva i neovlašćivanje medijskog toka.

Kako bi se ublažili ove prijetnje, Cisco IP telefonijska mreža uspostavlja i održava sigurne (šifrirane) komunikacijske tokove između telefona i poslužitelja, digitalno potpisuje datoteke prije nego što se prenesu na telefon i šifrira medijske tokove i signalizaciju poziva između Cisco IP telefona.

Lokalno značajan certifikat (LSC) instalira se na telefone nakon što izvršite potrebne zadatke povezane s funkcijom Certificate Authority proxy (CAPF). Pomoću njega možete konfiguri Cisco Unified Communications Manager Administration rati LSC, kako je opisano u Sigur Cisco Unified Communications Manager nosnom vodiču. Alternativno, instalaciju LSC-a možete pokrenuti iz izbornika Sigurnosne postavke na telefonu. Ovaj izbornik također omogućuje ažuriranje ili uklanjanje LSC-a.

Telefoni koriste sigurnosni profil telefona koji definira je li uređaj nesiguran ili siguran. Informacije o primjeni sigurnosnog profila na telefon potražite u dokumentaciji za određeno Cisco Unified Communications Manager izdanje.

Ako konfigurirate postavke povezane sa sigurnošću uCisco Unified Communications Manager Administration, konfiguracijska datoteka telefona sadrži osjetljive podatke. Da biste osigurali privatnost konfigur acijske datoteke, morate je konfigurirati za šifriranje. Za detaljne informacije pogledajte dokumentaciju za vaše određeno Cisco Unified Communications Manager izdanje.

Telefon je u skladu sa Federalnim standardom za obradu informacija (FIPS). Za ispravno funkcioniranje FIPS način rada zahtijeva veličinu ključa od 2048 bita ili više. Ako je certifikat manji od 2048 bita, telefon se neće registrirati Cisco Unified Communications Manager i Telefon se nije uspio registrirati. Veličina ključa Cert nije zaslon usklađen s F IPS-om na telefonu.

Ako telefon ima LSC, prije omogućavanja FIPS-a morate ažurirati veličinu ključa LSC na 2048 bita ili više.

Sljedeća tablica daje pregled sigurnosnih značajki koje telefoni podržavaju. Za više informacija pogledajte dokumentaciju za određeno Cisco Unified Communications Manager izdanje.

Da biste vidjeli sigurnosni način rada, pritisnite Postavke i idite na Mreža i usluga > Sigur nosne postavke.

Sljedeća tablica sadrži poruke alarma i značenje ažuriranja popisa povjerenja. Za više informacija pogledajte Cisco Unified Communications Manager dokumentaciju.

Izbornik Security Setup pruža informacije o različitim sigurnosnim postavkama. Iz bornik također omogućuje pristup izborniku Popis povjerenja i označava je li CTL ili ITL datoteka instalirana na telefonu.

Sljedeća tablica opisuje opcije u izborniku Security Setup.

Cisco IP telefoni podržavaju 802.1X provjeru autentičnosti.

Cisco IP telefoni i Cisco Catalyst prekidači tradicionalno koriste Cisco Discovery Protocol (CDP) za međusobno prepoznavanje i određivanje parametara kao što su dodjela VLAN-a i potrebe za ugrađenim napajanjem. CDP ne identificira lokalno povezane radne stanice. Cisco IP telefoni pružaju EAPOL prolazni mehanizam. Ovaj mehanizam omogućuje radnoj stanici priključenoj na Cisco IP telefon da prosljeđuje EAPOL poruke na 802.1X autentifikator na LAN prekidaču. Mehanizam prolaska osigurava da IP telefon ne djeluje kao LAN prekidač za provjeru autentičnosti krajnje točke podataka prije pristupa mreži.

Cisco IP telefoni također pružaju proxy EAPOL Logoff mehanizam. Ako se lokalno priključeno računalo prekine s IP telefona, LAN prekidač ne vidi da fizička veza ne uspije jer se veza između LAN prekidača i IP telefona održava. Kako bi se izbjeglo ugrožavanje integriteta mreže, IP telefon šalje EAPOL-Logoff poruku prekidaču u ime nizvodnog računala, što pokreće LAN prekidač za brisanje unosa provjere autentičnosti za nizvodno računalo.

Podrška za 802.1X provjeru autentičnosti zahtijeva nekoliko komponenti:

• Cisco IP telefon: Telefon pokreće zahtjev za pristup mreži. Cisco IP telefoni sadrže 802.1X zahtjev. Ovaj zahtjev omogućuje mrežnim administratorima kontrolu povezivanja IP telefona s priključcima LAN prekidača. Trenutno izdanje telefona 802.1X supplicant koristi EAP-FAST i EAP-TLS opcije za provjeru autentičnosti mreže.

• Poslužitelj provjere autentičnosti: Poslužitelj provjere autentičnosti i prekidač moraju biti konfigurirani s zajedničkom tajnom koja potvrđuje autentičnost telefona.

• Prekidač: Prekidač mora podržavati 802.1X, tako da može djelovati kao autentifikator i prosljeđivati poruke između telefona i poslužitelja provjere autentičnosti. Nakon završetka razmjene, prekidač odobrava ili uskraćuje pristup telefonu mreži.

Morate izvršiti sljedeće rad nje da biste konfigurirali 802.1X.

• Konfigurirajte ostale komponente prije nego što omogućite 802.1X provjeru autentičnosti na telefonu.

• Konfigurirajte PC priključak: Standard 802.1X ne uzima u obzir VLAN-ove i stoga preporučuje da samo jedan uređaj bude autentičan na određeni priključak prekidača. Međutim, neki prekidači podržavaju provjeru autentičnosti s više domena. Konfiguracija prekidača određuje možete li povezati računalo na PC priključak telefona.

  • Omogućeno: Ako koristite prekidač koji podržava provjeru autentičnosti s više domena, možete omogućiti priključak računala i na njega povezati računalo. U ovom slučaju, Cisco IP telefoni podržavaju proxy EAPOL-Logoff za praćenje razmjene provjere autentičnosti između prekidača i priloženog računala.

    Više informacija o podršci za IEEE 802.1X na Cisco Catalyst prekidačima potražite u vodičima za konfiguraciju Cisco Catalyst prekidača na:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Onemogućeno: Ako prekidač ne podržava više uređaja usklađenih sa 802.1X na istom priključku, trebali biste onemogućiti PC priključak kada je omogućena 802.1X provjera autentičnosti. Ako ne onemogućite ovaj priključak, a zatim pokušate priključiti računalo na njega, prekidač uskraćuje mrežni pristup telefonu i računalu.

• Konfiguriranje glasovnog VLAN-a: Budući da standard 802.1X ne uzima u obzir VLAN-ove, trebali biste konfigurirati ovu postavku na temelju podrške prekidača.
  • Omogućeno: Ako koristite prekidač koji podržava provjeru autentičnosti s više domena, možete nastaviti s korištenjem glasovnog VLAN-a.
  • Onemogućeno: Ako prekidač ne podržava provjeru autentičnosti s više domena, onemogućite Voice VLAN i razmislite o dodjeli porta izvornom VLAN-u.
• (Samo za Cisco Desk Phone 9800 serije)

  Cisco Desk Phone 9800 Series ima drugačiji prefiks u PID-u od onog za ostale Cisco telefone. Da biste omogućili da vaš telefon prođe 802.1X provjeru autentičnosti, postavite parametar Radius · UserName tako da uključuje vaš Cisco Desk Phone 9800 Series.

  Na primjer, PID telefona 9841 je DP-9841; možete postaviti Radius · Korisničko ime na Početak s DP ili Sadrži DP. Možete ga postaviti u oba sljedeća odjeljka:

  • Pravila > U vjeti > Uv jeti knjižnice

  • Pravila > Skupovi pravila > Pra vila autorizacije > Pra vilo autorizacije 1

Kada je sigurnost implementirana za telefon, sigurne telefonske pozive možete prepoznati po ikonama na zaslonu telefona. Također možete odrediti je li povezani telefon siguran i zaštićen ako se na početku poziva reproducira sigurnosni ton.

U sigurnom pozivu, sva signalizacija poziva i medijski tokovi su šifrirani. Siguran poziv nudi visoku razinu sigurnosti, pružajući integritet i privatnost poziva. Kada je poziv u tijeku šifriran, možete vidjeti sigurnu ikonu na liniji. Za siguran telefon također možete pregledati autentičnu ikonu ili šifriranu ikonu pored povezanog poslužitelja u izborniku telefona (Postavke > O ovom uređ aju).

U sigurnom pozivu na početku poziva reproducira se sigurnosni ton koji pokazuje da drugi povezani telefon također prima i prenosi siguran zvuk. Ako se vaš poziv poveže s nesigurnim telefonom, sigurnosni ton se ne reproducira.

Kada je telefon konfiguriran kao siguran (šifriran i pouzdan)Cisco Unified Communications Manager, može mu se dati zaštićeni status. Nakon toga, po želji, zaštićeni telefon može se konfigurirati za reprodukciju signala na početku poziva:

• Zaštićeni uređaj: Da biste promijenili status sigurnog telefona u zaštićen, potvrdite okvir Zaštićeni uređaj u prozoru Konfiguracija telefona u Cisco Unified Communications Manager Administration (U ređ aj > Telefon).

• Reproducirajte siguran ton indikacije: Da biste omogućili zaštićenom telefonu da reproducira siguran ili nesiguran ton indikacije, postavite postavku Play Secure Indication Tone na True. Prema zadanim postavkama, Play Secure Indication Tone postavljen je na False. Ovu opciju postavite u Cisco Unified Communications Manager Administration (Su stav > Parametri usluge). Odaberite poslužitelj, a zatim uslugu Unified Communications Manager. U prozoru Konfiguracija parametara usluge odaberite opciju u području Značajka - Secure Tone. Zadana vrijednost je False.

Budući da svi WLAN uređaji koji su unutar dometa mogu primati sav ostali WLAN promet, osiguranje glasovne komunikacije ključno je u WLAN-ovima. Kako bi se osiguralo da uljezi ne manipuliraju niti presreću glasovni promet, Cisco SAFE Security arhitektura podržava telefon. Za više informacija o sigurnosti u mrežama pogledajte http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Cisco Wireless IP telefonijsko rješenje pruža sigurnost bežične mreže koja sprječava neovlaštene prijave i kompromitiranu komunikaciju korištenjem sljedećih metoda provjere autentičnosti koje telefon podržava:

• Otvorena provjera autentičnosti: Bilo koji bežični uređaj može zatražiti provjeru autentičnosti u otvorenom sustavu. AP koji primi zahtjev može odobriti provjeru autentičnosti bilo kojem podnositelju zahtjeva ili samo podnositeljima zahtjeva koji se nalaze na popisu korisnika. Komunikacija između bežičnog uređaja i pristupne točke (AP) može biti nešifrirana.

• Proširi@@ vi protokol provjere autentičnosti - fleksibilna provjera autentičnosti putem sigurnog tuneliranja (EAP-FAST): Ova sigurnosna arhitektura klijent-poslužitelj šifrira EAP transakcije unutar tunela sigurnosti razine transporta (TLS) između AP-a i RADIUS poslužitelja, kao što je Identity Services Engine (ISE).

  TLS tunel koristi vjerodajnice zaštićenog pristupa (PAC) za provjeru autentičnosti između klijenta (telefona) i RADIUS poslužitelja. Poslužitelj šalje ID autoriteta (AID) klijentu (telefon), koji zauzvrat odabire odgovarajući PAC. Klijent (telefon) vraća PAC-neproziran na RADIUS poslužitelj. Poslužitelj dešifrira PAC primarnim ključem. Obje krajnje točke sada sadrže PAC ključ i stvoren je TLS tunel. EAP-FAST podržava automatsko pružanje PAC-a, ali ga morate omogućiti na RADIUS poslužitelju.

  U ISE-u, prema zadanim postavkama, PAC ističe za tjedan dana. Ako telefon ima istekao PAC, provjera autentičnosti s RADIUS poslužiteljem traje duže dok telefon dobije novi PAC. Da biste izbjegli kašnjenje u pružanju PAC-a, postavite razdoblje isteka PAC-a na serveru ISE ili RADIUS na 90 dana ili dulje.

• Pro@@ širivi protokol provjere autentičnosti - Sigurnost transportnog sloja (EAP-TLS) Autentifikacija: EAP-TLS zahtijeva klijentski certifikat za provjeru auten tičnosti i pristup mreži. Za bežični EAP-TLS, klijentski certifikat može biti MIC, LSC ili korisnički instaliran certifikat.

• Zaštićeni protokol proširene provjere autentičnosti (PEAP): Ciscova vlasnička shema međusobne provjere autentičnosti temeljena na lozinci između klijenta (telefona) i RADIUS poslužitelja. Telefon može koristiti PEAP za provjeru autentičnosti s bežičnom mrežom. Podržane su i metode provjere autentičnosti PEAP-MSCHAPV2 i PEAP-GTC.

• Prethodno dijeljeni ključ (PSK): Telefon podržava ASCII format. Ovaj format morate koristiti prilikom postavljanja WPA/WPA2/SAE unaprijed dijeljenog ključa:

  ASCII: niz znakova ASCII s duljinom od 8 do 63 znaka (0-9, mala i velika slova A-Z i posebni znakovi)

  Primjer: GREG123567 @9ZX &W

Sljedeće sheme provjere autentičnosti koriste RADIUS poslužitelj za upravljanje ključevima za provjeru autentičnosti:

• WPA/WPA2/WPA3: Koristi informacije o RADIUS poslužitelju za generiranje jedinstvenih ključeva za provjeru autentičnosti. Budući da se ti ključevi generiraju na centraliziranom RADIUS poslužitelju, WPA2/WPA3 pruža veću sigurnost od WPA unaprijed podijeljenih ključeva koji su pohranjeni na AP i telefonu.

• Brzi siguran roaming: Koristi RADIUS poslužitelj i informacije o poslužitelju bežične domene (WDS) za upravljanje ključevima i provjeru autentičnosti. WDS stvara predmemoriju sigurnosnih vjerodajnica za klijentske uređaje s omogućenim FT-om za brzu i sigurnu ponovnu provjeru autentičnosti. Cisco Desk Phone 9861 i 9871 i Cisco Video Phone 8875 podržavaju 802.11r (FT). Podržani su i u zraku i preko DS-a kako bi se omogućio brzi siguran roaming. Ali toplo preporučujemo korištenje metode 802.11r (FT) over air.

Kod WPA/WPA2/WPA3 ključevi za šifriranje ne unose se na telefon, već se automatski izvode između AP-a i telefona. No, EAP korisničko ime i lozinka koji se koriste za provjeru autentičnosti moraju se unijeti na svaki telefon.

Kako bi se osiguralo da je glasovni promet siguran, telefon podržava TKIP i AES za šifriranje. Kada se ti mehanizmi koriste za šifriranje, i signalni SIP paketi i glasovni paketi transportnog protokola u stvarnom vremenu (RTP) šifriraju se između AP-a i telefona.

TKIP

WPA koristi TKIP enkripciju koja ima nekoliko poboljšanja u odnosu na WEP. TKIP pruža šifriranje ključeva po paketu i duže vektore inicijalizacije (IV) koji jačaju enkripciju. Osim toga, provjera integriteta poruke (MIC) osigurava da se šifrirani paketi ne mijenjaju. TKIP uklanja predvidljivost WEP-a koja pomaže uljezima dešifrirati WEP ključ.

AES

Metoda šifriranja koja se koristi za WPA2/WPA3 provjeru autentičnosti. Ovaj nacionalni standard za šifriranje koristi simetrični algoritam koji ima isti ključ za šifriranje i dešifriranje. AES koristi šifriranje šifrnog lanca blokiranja (CBC) veličine 128 bita, što podržava veličine ključeva od najmanje 128 bita, 192 bita i 256 bita. Telefon podržava veličinu ključa od 256 bita.

Sheme provjere autentičnosti i šifriranja postavljene su unutar bežičnog LAN-a. VLAN-ovi su konfigurirani u mreži i na AP-ovima i određuju različite kombinacije provjere autentičnosti i enkripcije. SSID se povezuje s VLAN-om i određenom shemom provjere autentičnosti i šifriranja. Da bi se bežični klijentski uređaji uspješno potvrdili autentičnost, morate konfigurirati iste SSID-ove s njihovim shemama provjere autentičnosti i šifriranja na AP-ovima i na telefonu.

Neke sheme provjere autentičnosti zahtijevaju određene vrste enkripcije.

Sheme provjere autentičnosti i šifriranja u sljedećoj tablici prikazuju opcije mrežne konfiguracije za telefon koji odgovara konfiguraciji AP.

Usigurane usluge SIP (AS-SIP) skup je značajki i protokola koji nude vrlo siguran protok poziva za Cisco IP telefone i telefone trećih strana. Sljedeće značajke zajednički su poznate kao AS-SIP:

• Višerazinska prioritet i pretpostavka (MLPP)
• Kodna točka diferenciranih usluga (DSCP)
• Sigurnost transportnog sloja (TLS) i siguran transportni protokol u stvarnom vremenu (SRTP)
• Internet Protocol verzija 6 (IPv6)

AS-SIP se često koristi s višerazinskim prioritetom i preempcijom (MLPP) za određivanje prioriteta pozivima tijekom hitnih slučajeva. Pomoću MLPP-a svojim odlaznim pozivima dodjeljujete razinu prioriteta, od razine 1 (niska) do razine 5 (visoka). Kada primite poziv, na telefonu se prikazuje ikona razine prioriteta koja prikazuje prioritet poziva.

Da biste konfigurirali AS-SIP, izvršite sljedeće zadatkeCisco Unified Communications Manager:

• Konfiguriranje Digest korisnika — Konfigurirajte krajnjeg korisnika da koristi digitalnu provjeru autentičnosti za SIP zahtjeve.
• Konfiguriranje sigurnog porta SIP telefona - Cisco Unified Communications Manager koristi ovaj priključak za slušanje SIP telefona za registracije SIP linija preko TLS-a.
• Ponovno pokretanje usluga — Nakon konfiguriranja sigurnog priključka, ponovno pokrenite Cisco Unified Communications Manager i Cisco CTL Provider usluge. Konfigurirajte SIP profil za AS-SIP-Konfigurirajte SIP profil s SIP postavkama za vaše AS-SIP krajnje točke i za vaše SIP mreže. Parametri specifični za telefon ne preuzimaju se na AS-SIP telefon treće strane. Koristi ih samo Cisco Unified Manager. Telefoni trećih strana moraju lokalno konfigurirati iste postavke.
• Konfiguriranje sigurnosnog profila telefona za AS-SIP — Sigurnosni profil telefona možete koristiti za dodjelu sigurnosnih postavki kao što su TLS, SRTP i pregled provjere autentičnosti.
• Konfiguriranje AS-SIP krajnje točke — konfigurirajte Cisco IP telefon ili krajnju točku treće strane uz AS-SIP podršku.
• Povezivanje uređaja s krajnjim korisnikom — povežite krajnju točku s korisnikom.
• Konfigurirajte sigurnosni profil SIP Trunk-a za AS-SIP — Sigurnosni profil sip trunka možete koristiti za dodjelu sigurnosnih značajki kao što su TLS ili probavna provjera autentičnosti SIP tronku.
• Konfigurirajte SIP Trunk za AS-SIP — Konfigurirajte SIP prtljažnik s AS-SIP podrškom.
• Konfiguriranje značajki AS-SIP — Konfigurirajte dodatne značajke AS-SIP kao što su MLPP, TLS, V.150 i IPv6.

Detaljne informacije o konfiguriranju AS-SIP-a potražite u poglavlju "Konfiguriranje AS-SIP krajnjih točaka" u Vodiču za konfiguraciju značaj ki. Cisco Unified Communications Manager

Kada su na telefonu konfigurirani kodovi prisilne autorizacije (FAC) ili kodovi klijenta (CMC) ili oba, korisnici moraju unijeti potrebne lozinke za biranje broja.

Za više informacija o tome kako postaviti FAC i CMC uCisco Unified Communications Manager, pogledajte poglavlje "Kodovi važnosti klijenta i kodovi prisilne autoriz acije" u V odiču za konfiguraciju značajki za Cisco Unified Communications Manager izdanje 12.5 (1) ili novije verzije.

Značajka Cisco VPN pomaže vam u očuvanju sigurnosti mreže, a korisnicima pruža siguran i pouzdan način povezivanja s vašom korporativnom mrežom. Koristite ovu značajku kada:

• Telefon se nalazi izvan pouzdane mreže
• Mrežni promet između telefona i Cisco Unified Communications Manager prelazi nepouzdanu mrežu

Uz VPN postoje tri uobičajena pristupa autentifikaciji klijenta:

• Digitalni certifikati
• Lozinke
• Korisničko ime i lozinka

Svaka metoda ima svoje prednosti. Ali ako vaša korporativna sigurnosna politika to dopušta, preporučujemo pristup temeljen na certifikatima jer certifikati omogućuju besprijekornu prijavu bez ikakve intervencije korisnika. Podržani su i LSC i MIC certifikati.

Da biste konfigurirali bilo koju od VPN značajki, prvo osigurajte uređaj lokalno, a zatim ga možete implementirati izvan objekta.

Dodatne informacije o autentifikaciji certifikata i radu s VPN mrežom potražite u odjeljku Konfiguri AnyConnect VPN ranje telefona s autentifikacijom certifikata na ASA-u.

Pomoću lozinke ili pristupa korisničkim imenom i lozinkom od korisnika se traži vjerodajnice za prijavu. Postavite vjerodajnice za prijavu korisnika u skladu sa sigurnosnim pravilima vaše tvrtke. Također možete konfigurirati postavku Omogući postojanost lozinke tako da se korisnička lozinka sprema na telefon. Korisnička lozinka sprema se sve dok se ne dogodi neuspjeli pokušaj prijave, korisnik ručno izbriše lozinku ili telefon ne resetira ili izgubi napajanje.

Još jedan koristan alat je postavka Omogući automatsko otkrivanje mreže. Kada omogućite ovaj potvrdni okvir, VPN klijent može se pokrenuti samo kada otkrije da je izvan korporativne mreže. Ova postavka je prema zadanim postavkama onemogućena.

Vaš Cisco telefon podržava Cisco SVC IPPhone Client v1.0 kao vrstu klijenta.

Za više informacija o tome kako konfigurirati VPN uključenUnified CM, pogledajte V odič za konfiguraciju značajki za Cisco Unified Communications Manager.

Značajka Cisco VPN koristi Secure Sockets Layer (SSL) za očuvanje sigurnosti mreže.