Szükséges művelet: Az eMuDHRA tanúsítványhatóság biztonsági frissítése a Webex Calling helyi átjárókhoz

Az 2026. októberi eMuDHRA tanúsítvánnyal rendelkező hatóság (CA) biztonsági incidensét követően megszüntette a bizalmat négy fő CA Webex Calling -ba vetett bizalmat. Ha a tanúsítványalapú Local Gateway csomagtartója ezen hatóságok egyikétől függ, cserélje ki az érintett tanúsítványt vagy láncot a biztonságos TLS-kapcsolat fenntartása érdekében. Ha az érintett törzs offline állapotban van, előfordulhat, hogy a bejövő és kimenő PSTN-hívások és az attól függő helyszíni integrációk nem érhetők el.

Az érintett gyökértanúsítványok a következők:

EmSign Root TLS CA - G3
EmSign ECC Root CA - G3
EmSign Root CS CA - G3
AAA tanúsítvány szolgáltatások (Comodo AAA Services root)

Az AAA tanúsítványszolgáltatásokat nem veszélyeztették. Ugyanakkor keresztaláírta az érintett eMuDHRA közbenső hitelesítő hatóságokat, alternatív megbízhatósági utat biztosítva a veszélyeztetett tanúsítványokhoz.

A tanúsítványalapú Local Gateway (LGW) csomagokat használó ügyfelek érintettek, amelyek tanúsítványláncai ezektől a hatóságoktól függenek. Ide tartoznak a Sectigo által kiadott tanúsítványok, amelyek az UserTrust segítségével AAA tanúsítványszolgáltatásokhoz kapcsolódnak.

Webex Callingmost elutasítja az érintett helyi átjárók TLS-kapcsolatait. A bejövő és kimenő PSTN-hívások, valamint az ezen átjárókra támaszkodó helyszíni hívás-integrációk kudarcot vallanak.

Egy engedélyezett számítógépről, amely elérheti az átjáró SIP TLS portját, futtassa a megfelelő parancsot. Cserélje ki az lgw.example.com és az 5061-et az átjáró hostnevére és a TLS portra. Ha a külső hozzáférés korlátozott, futtassa a parancsot egy engedélyezett belső felügyeleti állomásról.

Linux vagy macOS:

openssl s_client -connect lgw.example.com:5061 -showcerts </dev/null

Windows parancssor:

openssl s_client -connect lgw.example.com:5061 -showcerts <NUL

Mielőtt elkezdené

A szervezet csomagjainak megtekintéséhez engedéllyel kell hozzáférnie a Vezérlőközponthoz.
Az átjáró hostneve és a SIP TLS port minden elsődleges, redundáns és biztonsági mentési átjáróhoz.
Hozzáférés egy engedélyezett számítógéphez OpenSSL-vel, amely elérheti az egyes átjáró végpontjait.

Azonosítsa a Local Gateway csomagtartóit.

A Vezérlőközpontban válassza a Sz olgál tatások > PSTN és útválasztás > Átjáró konfigurációk > Trun k menüpontot.
A Cisco Hívócsomagot használó ügyfelek számára a csomaglista elérhető a Sz olgál tatás > Hívás > Hívás-út válasz tás > Trunk menüpont ban is.
Azonosítsa a tanúsítványalapú csomagokat, és rögzítse a konfigurált FQDN vagy SRV címet, az átjáró hostnevét és a SIP TLS portot. Ismételje meg a redundáns és biztonsági mentési átjárók esetében.

Vizsgálja meg az egyes átjárók tanúsítványláncát.

Futtassa a megfelelő OpenSSL parancsot. A kimenet megjeleníti a Local Gateway által bemutatott tanúsítványokat; nem ellenőrzi önállóan a teljes láncot a megbízhatósági Webex Calling tárolóval szemben.
A TLS-kézfogási hiba vagy a sikertelen OpenSSL-ellenőrzés nem bizonyítja, hogy az átjárót érinti ez a megbízhatósági frissítés.

Tekintse át a tanúsítvány alanyokat és a kibocsátókat.

A Tanúsítványlánc szakaszban tekintse át az egyes tanúsítványok tárgyát (i:) és kibocsátóit. Ellenőrizze a közönséges nevet (KN) és minden láncbejegyzést a fent felsorolt bizalmatlan hatóságokra vonatkozóan.
Például a CN=UserTrust RSA Certification Authority és a kibocsátó CN=AAA Certificate Services című bejegyzés azonosítja az AAA Certificate Services által kiadott tanúsítványt.

Értelmezze az ellenőrzési eredményeket.

Tanúsítvány lánc eredménye	Állapot
Bármely s: vagy i: sor az AAA tanúsítványszolgáltatásokat vagy az érintett eMsign-hatóságot jeleníti meg	Érintett. Remontálj most.
Az érintett hatóságok egyike sem jelenik meg, és a csomagtartó Online a Control Hubban van	Nem érinti.
Az érintett hatóságok egyike sem jelenik meg, de a csomagtartó offline	Vegye fel Cisco TAC a kapcsolatot partnerével, vagy ellenőrizze a Cisco érintett ügyfeleinek listáját.
A csatlakozási idő lejárt vagy nincs tanúsítványlánc visszaküldése	Nem meggyőző. Ellenőrizze a hálózati hozzáférést az átjáró TLS-portjához, és próbálja meg újra.

Az átjárót csak akkor erősítik meg, ha a felsorolt gyökerek egyike sem jelenik meg, és a törzs Online a Vezérlőközpontban.

Cserélje ki az érintett tanúsítványláncot.

Vegye fel a kapcsolatot a tanúsítványszolgáltatóval, hogy megszerezze a helyettesítő tanúsítványt vagy alternatív láncot, amely egy megbízható gyökérnél megszűnikWebex Calling. Sok esetben a meglévő átjáró tanúsítvány megtartható, és csak a közbenső lánc helyettesíthető. Az érintett Sectigo telepítések esetében ez magában foglalhatja az AAA keresztaláírt UserTrust tanúsítvány megfelelő alternatívával történő cseréjét.
Telepítse a frissített tanúsítványláncot a helyi átjáróra, és ismételje meg a tanúsítványellenőrzést.
Ellenőrizze, hogy a Trun k Online jelen jen meg a Control Hubban, és tesztelje a bejövő és kimenő hívásokat.

Ellenőrizze a helyi átjáró csatlakozását.

Ismételje meg az OpenSSL ellenőrzést, és erősítse meg, hogy a cserelánc már nem függ a bizalmatlan hatóságoktól.
A Control Hub alkalmazásban győződjön meg arról, hogy a csomagtartó Online jelenjen meg.
Tesztelje a bejövő és kimenő PSTN-hívásokat, valamint a törzset használó helyszíni hívás-integrációkat.
Ismételje meg a biztonsági mentési és redundáns átjárók érvényesítését.

Mi a teendő ezután

Ha a lánc helyesnek tűnik, de a csomagtartó offline, sérült vagy ismeretlen marad:

Ellenőrizze, hogy a tanúsítvány érvényes-e és megfelelően telepítve van-e.
Ellenőrizze a teljes közbenső CA-láncot és a várható tanúsítvány azonosságát.
Tekintse át a TLS-csatlakozási és tanúsítványellenőrzési hibákat az átjárón.
Ha a probléma továbbra is fennáll, forduljon tanúsítványszolgáltatóhoz, Cisco partneréhez vagy Cisco Technical Assistance Center (TAC) -hoz. Amikor kapcsolatba lépCisco Technical Assistance Center, adja meg szervezeti azonosítóját, az érintett törzsadatokat, az átjáró gazdanevét, a tanúsítványlánc adatait és a releváns TLS-hibaüzeneteket.

Kapcsolódó információk:

Cisco AI Assistant

Köszönjük visszajelzését.

Kisvállalkozások

Nagyvállalati

Eszközök

Megoldások a következőhöz:

Erőforrások

Vállalat