Hvala na povratnim informacijama.

Ovo je kako bi vas obavijestio o nadolazećoj promjeni pravila preglednika Google Chrome koja utječe na izdavanje javnih TLS certifikata i kako bi se opisao radnje koje će Cisco poduzeti kako bi osigurao kontinuiranu podršku za međusobne TLS (MTL) veze u okruženjima namjenske Cisco Webex Calling instance i UCM Cloud.

Počevši od 1. veljače ²⁰ 27. javna tijela za certifikate (CA) uključena u program Google Chrome Trust prestat će potpisivati certifikate koji uključuju proširenu upotrebu ključeva za provjeru autentičnosti klijenta (ClientAuth) (EKU).

^{Od 15. ožujka 2027. Google će provesti pravilo koje zahtijeva da javni korijenski CA u Chrome Root Storeu izdaju certifikate koji sadrže samo EKU za provjeru autentičnosti poslužitelja (ServerAuth).} Kao rezultat toga, javnim korijenskim CA-ovima u Chrome Root trgovini više neće biti dopušteno izdavati certifikate koji kombiniraju i EKU-ove za provjeru autentičnosti poslužitelja i klijentske provjere autentičnosti u jednom certifikatu.

UC aplikacije za namjensku instancu trenutno koriste certifikate koji uključuju i EKU-ove za provjeru autentičnosti poslužitelja i provjere autentičnosti klijenta unutar jednog certifikata kako bi uspostavili povjerenje za MTL veze. Podrška za zasebne certifikate poslužitelja i klijenta sada je dostupna s izdanjem UC aplikacije V15su5.

Trenutno namjenska instanca koristi IDEntrust Commercial Root CA 1, dio korijenske trgovine Google Chrome, za potpisivanje ovih certifikata. ^{Međutim, zbog nadolazeće promjene pravila za Chrome, ovom certifikatu više neće biti dopušteno izdavanje certifikata koji sadrže oba EKU-a u jednom certifikatu počevši od 1. veljače 2027.}

Potvrde su pogođene

Sljedeći certifikati UC aplikacija potpisani su pomoću javnog korijenskog CA i obično se koriste za MTL veze:

UC aplikacija	Vrsta certifikata	Uobičajene MTL veze
Cisco Unified CM/MSP	Tomcat/Tomcat-ECDSA	LDAP, Filebeat, Logstash, SIP OAuth preko MRA, Remote Syslog
	Upravitelj poziva/Upravitelj poziva - ECDSA	SIP trupci, među-čvorove i međuklasterske veze
Cisco Unity Connection	Tomcat/Tomcat-ECDSA	SIP proxy, SIP debla
Cisco IM i prisutnost	Tomcat/Tomcat-ECDSA	—
	šalica/šalica-ECDSA	Osigurajte SIP s CUCM-om, klijentima trećih strana, SIP proxyjem
	šalica-xmpp/čaša-xMPP-ECDSA	XMPP Federacija
Cisco Emergency Responder	Tomcat/Tomcat-ECDSA	—
Cisco Expressway	Serverski certifikat	Mobilni i Remote Access (MRA)

Certifikati nisu pogođeni

Svi preostali certifikati u namjenskoj instanci potpisuju se samostalno. Dodatne informacije potražite u odjeljku Upravljanje certifikatima namjenske instance.

Kako bi riješio promjenu pravila Chrome-a i održao neprekidnu funkcionalnost MTL-a, Cisco će poduzeti sljedeće radnje:

• Od 1. lipnja 2026^. Cisco će prebaciti javni korijenski CA koji se koristi za potpisivanje certifikata UC aplikacije za namjensku instancu iz IDentrust Commercial Root CA 1 na IDtrust javnog sektora Root CA 1 za sva obnova certifikata.

  Postupak obnove certifikata ostaje isti, a Centar za upozorenja Control Hub obavještava kupce putem upozorenja "O državanje i nestanak" kada je obnova zakazana. Dodatne informacije potražite u odjeljku Upoz orenja o održ avanju.

• Certifikati će i dalje uključivati EKU-ove za provjeru autentičnosti poslužitelja i klijenta.

Sve aplikacije ili usluge trećih strana u korisničkom okruženju koje povezuju UC aplikacije u namjenskoj instanci pomoću TLS ili MTLS veza moraju koristiti isti lanac certifikata kao i UC aplikacije u namjenskoj instanci. Ako pohrana povjerenja korisničkih sustava ili aplikacija već ne uključuje potrebna tijela za certifikat IDEntrust, novi korijenski certifikat mora biti uvezen kako bi se spriječili neuspjesi veze TLS/MTLS.

1. Revizija trenutnih MTL veza
   1. Identificirajte aplikacije, usluge trećih strana ili integracije koje se povezuju s UC aplikacijama u namjenskoj instanci pomoću TLS-a ili MTL-ova.
   2. Provjerite vjeruju li te aplikacije novom javnom korijenskom CA: IDTrust Public Sector Root CA 1.
2. Dodajte novi javni korijenski CA (ako je potrebno)
   1. Ako IDEntrust Public Sector Root CA 1 već nije pouzdan u korisničkoj aplikaciji ili trgovini povjerenja sustava, mora se dodati.
   2. Isto se može preuzeti sa sljedećih poveznica:

      Root CA: IDtrust Root javnog sektora CA 1

      Alternativna stranica za preuzimanje: IDenTrust Support Downloads

      Izdavanje/podCA: IDtrust Server javnog sektora CA 1.

   Za većinu aplikacija dovoljno je povjerenje u Root CA ako poslužitelj predstavi cijeli lanac. Izdavanje/pod-CA korisno je uključiti za aplikacije koje zahtijevaju da se posred ni certifikat uvozi odvojeno.

IDtrust Public Sector Root CA 1 podrazumevano se vjeruje u standardnim trgovinama povjerenja za sljedeće operativne sustave i platforme:

• Microsoft Windows
• macOS
• iOS /iPadOS
• Android

Kao rezultat toga, kupac je dužan samo potvrditi trgovine povjerenja za ove platforme kako bi potvrdio da je korijenski certifikat novog javnog CA već naveden. To se odnosi na krajnje točke/klijente ili sustave trećih strana koji koriste zadane trgovine povjerenja na tim platformama. Upute za ažuriranje trgovine povjerenja na svakoj platformi nalaze se u odjeljcima ispod. Odgovornost za obavljanje ovih ažuriranja snosi kupac ili partner; linkovi i koraci u nastavku odnose se na internetske članke odgovarajućih dobavljača platforme, a Cisco pruža pomoć u najvećoj mjeri. Za daljnja pojašnjenja morate surađivati izravno s odgovarajućim dobavljačima platforme.

Napomena o trgovini povjerenja za Android

IDtrust Public Sector Root CA 1 uključen je u trgovinu CA sustava Android i prema zadanim postavkama se vjeruje u trenutno podržanim verzijama Androida. Android ne pruža javno mapiranje specifično za verziju za pojedinačne datume uvođenja korijenskih certifikata. Povje renjem se upravlja putem CA trgovine Android sustava i distribuira se putem ažuriranja operativnog sustava i ažuriranja sustava Google Play.

Nije potrebna nikakva radnja korisnika osim ako trgovina povjerenja sustava Android nije izričito iz mijenjena pravilima uređaja, kontrolama upravljanja poduzećem ili ograničenjima povjerenja specifičnim za aplikaciju.

IDtrust Root CA 1 javnog sektora nije uključen u Google Chrome Root Store.

Kako bi se osiguralo da Google Chrome vjeruje certifikatima izdanim u okviru ovog korijenskog certifikata, korisnici moraju osigur ati da je korijenski certifikat izričito pouzdan na razini operacijskog sustava na lokacijama koje Chrome koristi za lokalne odluke o povjerenju.

Windows - potrebna konfiguracija povjerenja

Kako bi se osiguralo da Google Chrome vjeruje korijenskoj CA u sustavu Windows, korijenski CA za javni sektor IDEntrust 1 mora biti uvezen na jedno od sljedećih lokacija:

• Lokalno računalo → Pouzdana tijela za certifikaciju korijena

  (Preporučuje se za sustave kojima upravlja poduzeće)

ili

• Trenutni korisnik → Pouzdana tijela za certifikaciju korijena

  (Za povjerenje na razini korisnika)

Google Chrome vjeruje certifikatima uvezenim pomoću čarobnjaka za uvoz certifikata sustava Windows na ta mjesta (uključujući i putem pravila grupe).

Korijenskim certifikatima koji postoje samo u sustavu Windows treće strane Chrome ne vjeruje automatski osim ako se izričito ne uvoze kako je gore opisano.

Mac OS - potrebna konfiguracija povjerenja

Kako bi se osiguralo da Google Chrome vjeruje korijenskom CA-u na macOS-u, IDtrust Root CA 1 javnog sektora mora se dodati u privezak za ključeve macOS i izričito vjerovati:

1. Uvezite certifikat u sistemski privjesak za ključeve (preporučeno) ili Privjesak za prijavu

2. Otvorite certifikat i postavite:

   • Kada koristite ovaj certifikat: Uvijek vjerujte

     (ili barem SSL: Uvijek vjerujte)

Nakon pouzdanosti na razini sustava ili korisnika, Google Chrome će poštovati certifikat kao pouzdan.

Administratori mogu provjeriti kojim certifikatima platforme Chrome vjeruje kretanjem na: chrome: //certificate- manager/localcerts/ platformcerts

Više informacija potražite u članku Najčešća pitanja o Google u.

Integracije trećih strana zahtijevaju primarnu provjeru valjanosti korisnika.

Za sve aplikacije ili usluge trećih strana koje uspostavljaju TLS/MTLS veze s UC aplikacijama za namjensku inst ancu, korisnici moraju slijediti radnje navedene u izmjenama javnog certifikata CA koje utječu na namjensku instancu.

Morat ćete izravno surađivati s dobavljačem treće strane ili IT administratorom ako su potrebna ažuriranja trgovine s povjerenjem. Izmjene trgovina povjerenja trećih strana ili ponašanja provjere valjanosti certifikata nisu obuhvaćene Ciscovim odgovornostima, a Cisco ne može pomoći u konfiguraciji povjerenja certifikata treće strane ili rješavanju problema.

Korisnici mogu potvrditi novi javni korijenski CA pomoću certifikata za testiranje IDEntrust.

Ako se stranica uspješno otvori, u vašem okruženju vjeruje se IDEntrust Public Sector Root CA 1.

Ako imate pitanja u vezi s ovom promjenom, pravilima preglednika Google Chrome ili ažuriranjima certifikata u namjenskoj instanci, otvorite Zahtjev za uslugu u kontrolnom čvorištu pod životnim vijekom UC aplikacije.

Korisnici UCM Clouda (UCMC) koji posjeduju svoju domenu i upravljaju vlastitim obnavljanjem certifikata UC aplikacije i koji nisu delegirali ovlasti domene Ciscu za potpisivanje certifikata UC aplikacija bit će odgovorni za izravnu suradnju s odabranim tijelima za javne certifikate kako bi riješili ovu promjenu. 

Ti bi se kupci također trebali uskladiti s primjenjivim UC aplikacijskim proizvodima (Ciscovi proizvodi za pozi vanje na vrijeme i preporuke Cisco Expressway) u vezi s upotrebom certifikata i sanacijom u vezi s nadolazećim izmjenama javnih certifikata i pravila preglednika. Više informacija potražite u odjeljku Uloge i odgovornosti. 

Cisco će nastaviti pružati ažuriranja kako postane dostupna podrška UC aplikacija za zasebne certifikate poslužitelja i klijenta. Posjetite ovaj dokument za najnovija ažuriranja.

Promjene EKU certifikata: Radnje Ciscove lokalne suradnje kupci MORAJU PODUZETI SADA