Sigurnosne značajke štite od prijetnji, uključujući prijetnje identitetu telefona i podacima. Te značajke uspostavljaju i održavaju autenticirane komunikacijske direktne prijenose između telefona i poslužitelja Cisco Unified Communications Manager i osiguravaju da telefon koristi samo digitalno potpisane datoteke.

Cisco Unified Communications Manager, izdanje 8.5(1) i novije uključuje Sigurnost prema zadanim postavkama, koje pruža sljedeće sigurnosne značajke za Cisco IP telefone bez pokretanja CTL klijenta:

• Potpisivanje datoteka za konfiguraciju telefona

• Šifriranje konfiguracijske datoteke telefona

• HTTPS s Tomcatom i drugim web uslugama

Implementacija sigurnosti u sustav Cisco Unified Communications Manager sprječava krađu identiteta telefona i Cisco Unified Communications Manager poslužitelja, sprječava neovlašteno rukovanje podacima i sprječava signalizaciju poziva i neovlašteno rukovanje direktnim prijenosom medija.

Kako bi ublažila te prijetnje, mreža Cisco IP telefonije uspostavlja i održava sigurne (šifrirane) komunikacijske direktne prijenose između telefona i poslužitelja, digitalno potpisuje datoteke prije prijenosa na telefon i šifrira direktne prijenose medija i signalizaciju poziva između Cisco IP telefona.

Lokalno značajan certifikat (LSC) instalira se na telefone nakon što izvršite potrebne zadatke koji su povezani s proxy funkcijom izdavača certifikata (CAPF). Možete upotrijebiti administraciju Cisco Unified Communications Manager za konfiguriranje LSC-a, prema opisu iz sigurnosnog vodiča za Cisco Unified Communications Manager. Alternativno, možete pokrenuti instalaciju LSC-a iz izbornika Postavke sigurnosti na telefonu. Ovaj izbornik također omogućuje ažuriranje ili uklanjanje LSC-a.

LSC se ne može koristiti kao korisnički certifikat za EAP-TLS s provjerom autentičnosti WLAN-om.

Telefoni koriste sigurnosni profil telefona koji definira je li uređaj nesiguran ili siguran. Informacije o primjeni sigurnosnog profila na telefon potražite u dokumentaciji za svoje konkretno izdanje programa Cisco Unified Communications Manager.

Ako konfigurirate postavke vezane uz sigurnost u Cisco Unified Communications Manager Administration, konfiguracijska datoteka telefona sadrži osjetljive informacije. Da biste osigurali privatnost konfiguracijske datoteke, morate je konfigurirati za šifriranje. Detaljne informacije potražite u dokumentaciji za vaše konkretno izdanje programa Cisco Unified Communications Manager.

Telefon je u skladu sa saveznim standardom za obradu informacija (FIPS). Za ispravan rad FIPS način rada zahtijeva veličinu ključa od 2048 bita ili veću. Ako je certifikat manji od 2048 bita, telefon se neće registrirati u Cisco Unified Communications Manager, a telefon se nije uspio registrirati. Veličina ključa certifikata nije FIPS usklađena prikazuje se na telefonu.

Ako telefon ima LSC, morate ažurirati veličinu LSC ključa na 2048 bita ili veću prije nego što omogućite FIPS.

Sljedeća tablica daje pregled sigurnosnih značajki koje telefoni podržavaju. Za više informacija pogledajte dokumentaciju za vaše priopćenje za Cisco Unified Communications Manager.

Za prikaz načina sigurnosti pritisnite Postavke i prijeđite na Mreža i usluga > Postavke sigurnosti.

Sljedeća tablica sadrži poruke za ažuriranje alarma i značenje popisa povjerenja. Za više informacija pogledajte dokumentaciju za Cisco Unified Communications Manager.

Izbornik Sigurnosna postavka pruža informacije o raznim sigurnosnim postavkama. Izbornik također omogućuje pristup izborniku popisa povjerenja i naznačuje je li CTL ili ITL datoteka instalirana na telefonu.

U sljedećoj su tablici opisane opcije u izborniku Postavljanje sigurnosti.

Cisco IP telefoni podržavaju provjeru autentičnosti 802.1X.

Cisco IP telefoni i sklopke Cisco Catalyst tradicionalno koriste Cisco Discovery Protocol (CDP) za međusobnu identifikaciju i određivanje parametara kao što su VLAN dodjela i zahtjevi unutar linije za napajanje. CDP ne identificira lokalno priključene radne stanice. Cisco IP telefoni pružaju EAPOL mehanizam prolaska. Ovaj mehanizam omogućuje radnoj stanici priključenoj na Cisco IP telefon da prosljeđuje EAPOL poruke na 802.1X autentifikator na LAN sklopki. Mehanizam prolaska osigurava da IP telefon ne djeluje kao LAN prekidač za provjeru autentičnosti krajnje točke podataka prije pristupa mreži.

Cisco IP telefoni također pružaju proxy EAPOL Logoff mehanizam. Ako se lokalno priključeno računalo prekine vezu s IP telefonom, LAN prekidač ne vidi fizičku vezu ne uspije, jer se održava veza između LAN sklopke i IP telefona. Kako bi se izbjeglo ugrožavanje integriteta mreže, IP telefon šalje EAPOL-Logoff poruku sklopci u ime silaznog računala, koja pokreće LAN prekidač za brisanje unosa provjere autentičnosti za silazno računalo.

Podrška za provjeru autentičnosti 802.1X zahtijeva nekoliko komponenti:

• Cisco IP telefon: Telefon pokreće zahtjev za pristup mreži. Cisco IP telefoni sadrže dobavljača 802.1X. Ovaj dobavljač administratorima mreže omogućuje upravljanje povezivanjem IP telefona s priključcima za LAN prebacivanje. Trenutno izdanje dobavljača telefona 802.1X koristi EAP-FAST i EAP-TLS opcije za provjeru autentičnosti mreže.

• Poslužitelj za provjeru autentičnosti: Poslužitelj za provjeru autentičnosti i sklopka moraju biti konfigurirani s dijeljenom tajnom koja provjerava autentičnost telefona.

• Promijeni: Prekidač mora podržavati 802.1X kako bi mogao djelovati kao alat za provjeru autentičnosti i prosljeđivati poruke između telefona i poslužitelja za provjeru autentičnosti. Po dovršetku razmjene, prekidač dodjeljuje ili uskraćuje pristup telefonu mreži.

Morate izvršiti sljedeće radnje za konfiguriranje 802.1X.

• Konfigurirajte ostale komponente prije nego što omogućite 802.1X provjeru autentičnosti na telefonu.

• Konfiguriraj priključak za osobno računalo: 802.1X standard ne uzima u obzir VLAN-ove i stoga preporučuje da samo jedan uređaj treba biti provjeren autentičnost za određeni priključak prekidača. Međutim, neki prekidači podržavaju provjeru autentičnosti u više domena. Konfiguracija preklopnika određuje možete li PC povezati na PC priključak telefona.

  • Omogućeno: Ako upotrebljavate prekidač koji podržava provjeru autentičnosti u više domena, možete omogućiti ulaz računala i povezati računalo s njim. U tom slučaju, Cisco IP telefoni podržavaju proxy EAPOL-Logoff za praćenje razmjene provjere autentičnosti između sklopke i priloženog računala.

    Za više informacija o IEEE 802.1X podršci na prekidačima Cisco Catalyst pogledajte vodiče za konfiguraciju prebacivanja Cisco Catalyst na:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Onemogućeno: Ako prekidač ne podržava više uređaja sukladnih s 802.1X na istom ulazu, onemogućite priključak računala kada je omogućena provjera autentičnosti 802.1X. Ako ne onemogućite taj priključak, a zatim pokušate priložiti osobno računalo, preklopnik uskraćuje mrežni pristup telefonu i osobnom računalu.

• Konfiguriranje glasovnog VLAN-a: Budući da standard 802.1X ne računa za VLAN-ove, trebali biste konfigurirati ovu postavku na temelju podrške za prebacivanje.
  • Omogućeno: Ako upotrebljavate prekidač koji podržava provjeru autentičnosti u više domena, možete ga nastaviti upotrebljavati glasovni VLAN.
  • Onemogućeno: Ako prekidač ne podržava provjeru autentičnosti u više domena, onemogućite glasovni VLAN i razmislite o dodjeljivanju ulaza nativnom VLAN-u.
• (Samo za Cisco stolni telefon serije 9800)

  Cisco stolni telefon serije 9800 ima drugačiji predbroj u PID-u od predbroja za druge Cisco telefone. Da biste omogućili telefonu da prođe provjeru autentičnosti 802.1X, postavite parametar Radius·User-Name tako da uključuje svoj Cisco stolni telefon serije 9800.

  Na primjer, PID telefona 9841 je DP-9841; možete postaviti Radius·Korisničko ime za Početak s DP ili Sadrži DP. Možete ga postaviti u oba sljedeća odjeljka:

  • Pravila > Uvjeti > Uvjeti biblioteke

  • Pravila > Postavljanje pravila > Pravila autorizacije > Pravilo autorizacije

Kada je za telefon implementirana sigurnost, sigurne telefonske pozive možete identificirati pomoću ikona na zaslonu telefona. Također možete odrediti je li povezani telefon siguran i zaštićen ako se na početku poziva reproducira ton sigurnosti.

U sigurnom pozivu šifrirani su svi signalizacijski pozivi i medijski direktni prijenosi. Sigurni poziv pruža visoku razinu sigurnosti pružajući integritet i privatnost poziva. Kada je poziv u tijeku šifriran, možete vidjeti zaštićenu ikonu na liniji. Za siguran telefon također možete pregledati ikonu provjerene autentičnosti ili šifriranu ikonu pokraj povezanog poslužitelja u izborniku telefona (Postavke > O ovom uređaju).

U sigurnom pozivu na početku poziva reproducira se sigurnosni ton koji ukazuje na to da drugi povezani telefon također prima i prenosi siguran zvuk. Ako se vaš poziv poveže s nesigurnim telefonom, ton sigurnosti se ne reproducira.

Kada je telefon konfiguriran kao siguran (šifriran i pouzdan) u Cisco Unified Communications Manageru, može mu se dati zaštićeni status. Nakon toga, po želji, zaštićeni telefon može se konfigurirati da reproducira indikativni ton na početku poziva:

• Zaštićeni uređaj: Za promjenu statusa sigurnog telefona u zaštićeni, označite potvrdni okvir Zaštićeni uređaj u prozoru Konfiguracija telefona u administraciji Cisco Unified Communications Manager (Uređaj > Telefon).

• Reproduciraj ton sigurnosnog indikatora: Da biste zaštićenom telefonu omogućili reprodukciju sigurnog ili nesigurnog indikatora, postavite postavku Reproduciraj siguran ton indikatora na Istinito. Prema zadanim postavkama, reprodukcija sigurnog tona pokazatelja postavljena je na Netočno. Ovu opciju postavite u Cisco Unified Communications Manager Administration (System > Parametri usluge). Odaberite poslužitelj, a zatim uslugu Unified Communications Manager. U prozoru konfiguracije parametra usluge odaberite opciju u području Značajka – Siguran ton. Zadana vrijednost je Netočna.

Budući da svi WLAN uređaji koji su u dometu mogu primati sav drugi WLAN promet, osiguravanje glasovne komunikacije ključno je u WLAN-ovima. Kako biste osigurali da uljezi ne manipuliraju ili presreću glasovni promet, Cisco SAFE Security arhitektura podržava telefon. Za više informacija o sigurnosti u mrežama pogledajte http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Rješenje Cisco bežične IP telefonije pruža sigurnost bežične mreže koja sprečava neovlaštene prijave i kompromitiranu komunikaciju pomoću sljedećih metoda provjere autentičnosti koje telefon podržava:

• Otvori provjeru autentičnosti: Bilo koji bežični uređaj može zatražiti provjeru autentičnosti u otvorenom sustavu. AP koji prima zahtjev može dodijeliti provjeru autentičnosti bilo kojem podnositelju zahtjeva ili samo podnositeljima zahtjeva koji se nalaze na popisu korisnika. Komunikacija između bežičnog uređaja i pristupne točke (AP) može biti nešifrirana.

• Prošireni protokol provjere autentičnosti – fleksibilna provjera autentičnosti putem sigurnog tuneliranja (EAP-FAST): Ova sigurnosna arhitektura klijenta-poslužitelja šifrira EAP transakcije unutar tunela Transport Level Security (TLS) između AP i RADIUS poslužitelja, kao što je Identity Services Engine (ISE).

  TLS tunel koristi vjerodajnice za zaštićeni pristup (PAC-ove) za provjeru autentičnosti između klijenta (telefona) i RADIUS poslužitelja. Poslužitelj klijentu (telefonu) šalje ID autoriteta (AID), koji zauzvrat odabire odgovarajući PAC. Klijent (telefon) vraća PAC-Opaque na RADIUS poslužitelj. Poslužitelj dešifrira PAC s primarnim ključem. Obje krajnje točke sada sadrže PAC tipku i izrađen je TLS tunel. EAP-FAST podržava automatsko dodjeljivanje PAC-a, ali morate je omogućiti na RADIUS poslužitelju.

  U ISE-u, prema zadanim postavkama, PAC istječe za tjedan dana. Ako telefon ima PAC koji je istekao, provjera autentičnosti na RADIUS poslužitelju traje dulje dok telefon dobije novi PAC. Kako biste izbjegli kašnjenja u PAC omogućavanju, postavite razdoblje isteka PAC-a na 90 dana ili više na ISE ili RADIUS poslužitelju.

• Provjera autentičnosti proširenim protokolom – sigurnost prijenosa sloja (EAP-TLS): EAP-TLS zahtijeva certifikat klijenta za provjeru autentičnosti i pristup mreži. Za bežični EAP-TLS certifikat klijenta može biti MIC, LSC ili certifikat instaliran od strane korisnika.

• Zaštićeni prošireni protokol za provjeru autentičnosti (PEAP): Cisco vlasnička shema međusobne provjere autentičnosti temeljem lozinke između klijenta (telefona) i RADIUS poslužitelja. Telefon može koristiti PEAP za provjeru autentičnosti s bežičnom mrežom. Podržane su i PEAP MSCHAPV2 i PEAP GTC metode provjere autentičnosti.

• Prethodno podijeljeni ključ (PSK): Telefon podržava ASCII format. Taj format morate koristiti prilikom postavljanja prethodno podijeljenog ključa WPA/WPA2/SAE:

  ASCII: ASCII-znakovni niz od 8 do 63 znaka (0 – 9, mala i velika slova A – Z i posebni znakovi)

  Primjer: GREG123567@9ZX&W

Sljedeće sheme provjere autentičnosti upotrebljavaju RADIUS poslužitelj za upravljanje ključevima za provjeru autentičnosti:

• wpa/wpa2/wpa3: Upotrebljava informacije o RADIUS poslužitelju za generiranje jedinstvenih ključeva za provjeru autentičnosti. Budući da se ti ključevi generiraju na centraliziranom RADIUS poslužitelju, WPA2/WPA3 pruža više sigurnosti od WPA unaprijed dijeljenih ključeva koji su pohranjeni na AP-ju i telefonu.

• Brzo sigurno roaming: Koristi RADIUS poslužitelj i informacije o bežičnom poslužitelju domene (WDS) za upravljanje i provjeru autentičnosti ključeva. WDS stvara predmemoriju sigurnosnih vjerodajnica za klijentske uređaje s podrškom za FT za brzu i sigurnu ponovnu provjeru autentičnosti. Cisco stolni telefoni 9861 i 9871 i Cisco videotelefon 8875 podržavaju 802.11r (FT). I preko zraka i preko DS-a podržani su kako bi se omogućilo brzo sigurno roaming. Ali toplo preporučujemo upotrebu metode 802.11r (FT) preko zraka.

S WPA/WPA2/WPA3 ključevi za šifriranje ne unose se na telefon, već se automatski izvode između AP i telefona. No, EAP korisničko ime i lozinka koji se koriste za provjeru autentičnosti moraju se unijeti na svakom telefonu.

Kako bi se osigurao siguran glasovni promet, telefon podržava TKIP i AES za šifriranje. Kada se ti mehanizmi koriste za šifriranje, signalizacijski SIP paketi i glasovni paketi protokola prijenosa u stvarnom vremenu (RTP) šifriraju se između AP-a i telefona.

tkip

WPA koristi TKIP šifriranje koje ima nekoliko poboljšanja u odnosu na WEP. TKIP pruža šifru po paketu ključeva i duže vektore inicijalizacije (IV-ove) koji jačaju šifriranje. Osim toga, provjera integriteta poruke (MIC) osigurava da se šifrirani paketi ne mijenjaju. TKIP uklanja predvidljivost WEP-a koja pomaže uljezima dešifrirati WEP ključ.

aes

Metoda šifriranja koja se koristi za WPA2/WPA3 provjeru autentičnosti. Ovaj nacionalni standard za šifriranje koristi simetrični algoritam koji ima isti ključ za šifriranje i dešifriranje. AES koristi šifriranje lanca blokiranja šifri (CBC) veličine 128 bita, što podržava najmanje veličine ključeva od 128 bita, 192 bita i 256 bita. Telefon podržava veličinu ključa od 256 bita.

Sheme provjere autentičnosti i šifriranja postavljene su unutar bežičnog LAN-a. VLAN-ovi su konfigurirani u mreži i na pristupnim točkama te navode različite kombinacije provjere autentičnosti i šifriranja. SSID se povezuje s VLAN-om i određenom shemom provjere autentičnosti i šifriranja. Kako bi se uspješno provjerila autentičnost uređaja bežičnih klijenata, morate konfigurirati iste SSID-ove s njihovim shemama provjere autentičnosti i šifriranja na AP-ovima i na telefonu.

Neke sheme provjere autentičnosti zahtijevaju određene vrste šifriranja.

Sheme provjere autentičnosti i šifriranja u sljedećoj tablici prikazuju mogućnosti mrežne konfiguracije za telefon koje odgovaraju AP konfiguraciji.

SIP osigurane usluge (AS-SIP) skup je značajki i protokola koji nude vrlo siguran tijek poziva za telefone Cisco IP i telefone trećih strana. Sljedeće značajke zajednički su poznate kao AS-SIP:

• Višerazinski presedan i pravo prvenstva (MLPP)
• Diferencirana kodna točka usluga (DSCP)
• Sigurnost prijenosnog sloja (TLS) i zaštićeni protokol prijenosa u stvarnom vremenu (SRTP)
• Internet Protocol verzija 6 (IPv6)

AS-SIP se često koristi s višerazinskim prioritetom i pravom prvenstva (MLPP) za davanje prioriteta pozivima tijekom izvanrednog stanja. UZ MLPP dodjeljujete razinu prioriteta odlaznim pozivima, od razine 1 (niska) do razine 5 (visoka). Kada primite poziv, na telefonu se prikazuje ikona razine prednosti koja prikazuje prioritet poziva.

Kako biste konfigurirali AS-SIP, izvršite sljedeće zadatke u programu Cisco Unified Communications Manager:

• Konfiguriranje korisnika sažetka – konfigurirajte krajnjeg korisnika da koristi provjeru autentičnosti sažetka za SIP zahtjeve.
• Konfiguriranje sigurnog ulaza SIP telefona – Cisco Unified Communications Manager koristi taj ulaz za slušanje SIP telefona za registracije SIP linija putem TLS-a.
• Ponovno pokretanje usluga – nakon konfiguriranja sigurnog priključka ponovno pokrenite usluge Cisco Unified Communications Manager i Cisco CTL davatelja usluga. Konfigurirajte SIP profil za AS-SIP-Konfigurirajte SIP profil sa SIP postavkama za svoje krajnje točke AS-SIP i za SIP grupiranja. Parametri specifični za telefon ne preuzimaju se na AS-SIP telefon treće strane. Upotrebljava ih samo Cisco Unified Manager. Telefoni trećih strana moraju lokalno konfigurirati iste postavke.
• Konfiguriranje profila sigurnosti telefona za AS-SIP – profil sigurnosti telefona možete koristiti za dodjelu sigurnosnih postavki kao što su TLS, SRTP i provjera autentičnosti sažetka.
• Konfigurirajte AS-SIP krajnju točku – konfigurirajte Cisco IP telefon ili krajnju točku treće strane s AS-SIP podrškom.
• Povežite uređaj s krajnjim korisnikom – povežite krajnju točku s korisnikom.
• Konfiguriranje sigurnosnog profila SIP debla za AS-SIP – sigurnosni profil sip debla možete upotrijebiti za dodjelu sigurnosnih značajki poput TLS-a ili provjere autentičnosti sažetaka SIP deblu.
• Konfiguriranje SIP grupiranja za AS-SIP – konfigurirajte SIP grupiranje s AS-SIP podrškom.
• Konfiguriranje AS-SIP značajki – konfigurirajte dodatne AS-SIP značajke kao što su MLPP, TLS, V.150 i IPv6.

Detaljne informacije o konfiguriranju AS-SIP-a potražite u poglavlju "Konfiguriranje AS-SIP krajnjih točaka" u Vodiču za konfiguraciju značajki za Cisco Unified Communications Manager.

Kada su kodovi prisilne autorizacije (FAC) ili kodovi za klijentski slučaj (CMC), ili oboje konfigurirani na telefonu, korisnici moraju unijeti potrebne lozinke za biranje broja.

Za više informacija o postavljanju FAC i CMC-a u Cisco Unified Communications Manageru, pogledajte poglavlje "Kodovi za klijentski slučaj i kodovi prisilne autorizacije" u Vodiču za konfiguraciju značajki za Cisco Unified Communications Manager, izdanje 12.5(1) ili novije.