Grazie per il feedback.

Le funzioni di sicurezza consentono di proteggere dalle minacce, comprese quelle all'identità del telefono e ai dati. Queste funzioni stabiliscono e mantengono flussi di comunicazioni autenticati tra il telefono e il server Cisco Unified Communications Manager e garantiscono che il telefono utilizzi solo file con firma digitale.

Cisco Unified Communications Manager Release 8.5(1) e versioni successive comprende Protezione per valore predefinito, che fornisce le seguenti funzioni di sicurezza ai telefoni IP Cisco senza dover eseguire il client CTL:

• Firma dei file di configurazione del telefono

• Crittografia del file di configurazione del telefono

• HTTPS con Tomcat e altri servizi Web

Tramite l'implementazione della protezione nel sistema di Cisco Unified Communications Manager è possibile impedire il furto di identità del telefono e del server Cisco Unified Communications Manager, l'alterazione dei dati e della segnalazione delle chiamate e del flusso multimediale.

Per ridurre queste minacce, la rete di telefonia IP Cisco stabilisce e mantiene dei flussi di comunicazione protetti (crittografati) tra i telefoni e il server, aggiunge una firma digitale ai file prima del trasferimento sui telefoni e crittografa i flussi multimediali e la segnalazione delle chiamate tra i telefoni IP Cisco.

Dopo aver eseguito le attività necessarie associate a CAPF (Certificate Authority Proxy Function), sui telefoni viene installato un LSC (Locally Significant Certificate). È possibile utilizzare Cisco Unified Communications Manager Administration per configurare un LSC, come descritto nella Guida alla sicurezza #Cisco Unified Communications Manager. In alternativa, è possibile avviare l'installazione di un LSC dal menu Sicurezza sul telefono. Questo menu consente inoltre di aggiornare o rimuovere un LSC.

I telefoni utilizzano il profilo di protezione che ne definisce lo stato di protezione. Per informazioni sull'applicazione del profilo di protezione al telefono, consultare la documentazione relativa alla versione di Cisco Unified Communications Manager in uso.

Se vengono configurate le impostazioni relative alla protezione in Cisco Unified Communications Manager Administration, il file di configurazione del telefono conterrà delle informazioni riservate. Per garantire la privacy del file di configurazione, è necessario configurarlo per la crittografia. Per informazioni dettagliate, consultare la documentazione relativa alla versione di Cisco Unified Communications Manager in uso.

Nella tabella seguente viene presentata una panoramica delle funzioni di protezione supportate dai telefoni. Per ulteriori informazioni, consultare la documentazione relativa alla versione di Cisco Unified Communications Manager in uso.

Nella tabella seguente vengono elencati i messaggi di avviso sull'aggiornamento della Trust List e il relativo significato. Per ulteriori informazioni, consultare la documentazione di Cisco Unified Communications Manager.

Se su un telefono sono state implementate delle funzioni di protezione, è possibile identificare le chiamate protette tramite le icone visualizzate sullo schermo del telefono. È inoltre possibile determinare se il telefono connesso è sicuro e protetto se all'inizio della chiamata viene riprodotta una tonalità di sicurezza.

In una chiamata protetta, tutti i flussi multimediali e di segnalazione delle chiamate sono crittografati. Le chiamate protette offrono un livello elevato di sicurezza e aggiungono integrità e privacy alla chiamata. Quando una chiamata in corso è crittografata, puoi vedere l'icona di sicurezza Sulla linea.

In Cisco Unified Communications Manager, ai telefoni configurati come sicuri (crittografati e attendibili) può essere assegnato uno stato protetto. Una volta protetti, questi dispositivi possono essere configurati per riprodurre un segnale di sicurezza all'inizio di ogni chiamata.

• Dispositivo protetto:

  Per modificare lo stato di un telefono protetto in protetto:

  1. In Cisco Unified Communications Manager Administration, selezionare Dispositivo > Telefono.
  2. Individuare il telefono che si desidera configurare.
  3. Nella finestra Configurazione telefono, selezionare la casella di controllo Dispositivo protetto.
  4. Fare clic su Salva.

• Riproduci tono di indicazione sicuro:

  Per consentire al telefono protetto di riprodurre un segnale acustico sicuro o non protetto:

  1. In Cisco Unified Communications Manager Administration, selezionare System > Service Parameters.
  2. Selezionare il server e quindi il servizio Cisco CallManager .
  3. Nell'area Parametri a livello di cluster (funzione - Tono protetto), impostare il Tono di riproduzione per indicare lo stato della chiamata sicura/non protetta su True.
  4. Fare clic su Salva.

Dal momento che tutti i dispositivi WLAN all'interno della copertura possono ricevere tutto il traffico WLAN, la protezione delle comunicazioni vocali sulle reti WLAN assume un'importanza critica. Per garantire che gli intrusi non manipolino né intercettino il traffico vocale, l'architettura Cisco SAFE Security supporta il telefono. Per ulteriori informazioni sulla sicurezza nelle reti, vedere http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

La soluzione di telefonia Cisco Wireless IP fornisce la protezione della rete wireless che impedisce accessi non autorizzati e comunicazioni compromesse utilizzando i seguenti metodi di autenticazione supportati dal telefono.

• Autenticazione aperta: tutti i dispositivi wireless possono richiedere l'autenticazione in un sistema aperto. L'AP che riceve la richiesta può concedere l'autenticazione a tutti i richiedenti o soltanto ai richiedenti presenti sull'elenco degli utenti. La comunicazione tra il dispositivo wireless e il punto di accesso (AP) potrebbe non essere crittografata.

• Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling (EAP-FAST) Autenticazione: questa architettura di sicurezza client-server crittografa le transazioni EAP all'interno di un tunnel Transport Level Security (TLS) tra il punto di accesso e il server RADIUS, ad esempio Identity Services Engine (ISE).

  Il tunnel TLS utilizza le credenziali di accesso protetto (PAC, Protected Access Credential) per l'autenticazione tra il client (telefono) e il server RADIUS. Il server invia un ID di autorità (AID) al client (telefono) che a sua volta seleziona le credenziali PAC appropriate. Il client (telefono) restituisce una chiave PAC-Opaque al server RADIUS. Il server decrittografa la chiave PAC con la chiave primaria. In entrambi gli endpoint è adesso presente la chiave PAC ed è stato creato un tunnel TLS. EAP-FAST supporta il provisioning PAC automatico, ma occorre abilitarlo sul server RADIUS.

  In ISE, per impostazione predefinita, la PAC scade tra una settimana. Se sul telefono è presente una chiave PAC scaduta, l'autenticazione con il server RADIUS impiega più tempo perché il telefono deve ottenere una nuova chiave PAC. Per evitare ritardi nel provisioning della PAC, impostare il periodo di scadenza della PAC su 90 giorni o più sul server ISE o RADIUS.

• Autenticazione EAP-TLS (Extensible Authentication Protocol-Transport Layer Security): per EAP-TLS è necessario disporre di un certificato client per l'autenticazione e l'accesso alla rete. Per il wireless EAP-TLS, il certificato client può essere MIC, LSC, o certificato installato dall'utente.

• Protected Extensible Authentication Protocol (PEAP): schema proprietario di Cisco di autenticazione reciproca basata su password tra il client (telefono) e il server RADIUS. Il telefono può utilizzare PEAP per l'autenticazione con la rete wireless. Sono supportati entrambi i metodi di autenticazione PEAP-MSCHAPV2 e PEAP-GTC.

• Chiave precondivisa (PSK): il telefono supporta i formati ASCII ed esadecimale (HEX). È necessario utilizzare questi formati quando si imposta una chiave precondivisa WPA2/SAE.

  ASCII: una stringa di caratteri ASCII con lunghezza da 8 a 63 caratteri (0-9, a-z minuscola, maiuscola A-Z e caratteri speciali). Ad esempio, GREG123567@9ZX&W.

  HEX: una stringa di caratteri esadecimali con 64 cifre esadecimali di lunghezza (0-9, a-f o A-F).

Gli schemi di autenticazione riportati di seguito utilizzano il server RADIUS per la gestione delle chiavi di autenticazione:

• WPA2/WPA3: utilizza le informazioni sul server RADIUS per generare delle chiavi univoche per l'autenticazione. Dal momento che tali chiavi vengono generate sul server RADIUS centralizzato, il metodo WPA2/WPA3 fornisce più protezione rispetto alle chiavi WPA già condivise memorizzate sull'AP e sul telefono.

• Roaming veloce protetto: utilizza le informazioni sul server RADIUS e sul server di dominio wireless (WDS) per la gestione e l'autenticazione delle chiavi. WDS crea una cache di credenziali di sicurezza per i dispositivi client abilitati FT per una riautenticazione rapida e sicura.

Con WPA2/WPA3, le chiavi di crittografia non vengono inserite sul telefono, ma vengono derivate automaticamente tra l'AP e il telefono. Tuttavia, è necessario immettere su ciascun telefono il nome utente e la password EAP utilizzati per l'autenticazione.

Per proteggere il traffico vocale sul collegamento wireless, il telefono supporta la crittografia basata su AES per l'autenticazione WPA2/WPA3. AES è un cifrario a blocchi simmetrico standardizzato dal NIST. AES utilizza una dimensione fissa del blocco di 128 bit e supporta chiavi di 128 bit, 192 bit e 256 bit. Nelle reti Wi-Fi, AES viene utilizzato da suite di crittografia come CCMP o GCMP, mentre l'autenticazione viene fornita separatamente da PSK, SAE o 802.1X/EAP, a seconda della modalità di sicurezza WLAN configurata. La suite di crittografia supportata e la dimensione della chiave dipendono dal modello del telefono e dalla configurazione WLAN.

Quando il telefono utilizza la crittografia AES, sia i pacchetti SIP di segnalazione che i pacchetti RTP (Real-Time Transport Protocol) vocali vengono crittografati tra l'AP e il telefono.

Gli schemi di autenticazione e crittografia vengono impostati all'interno della LAN wireless. Le VLAN vengono configurate nella rete e sull'AP e specificano diverse combinazioni di autenticazione e crittografia. Un SSID effettua l'associazione con una VLAN e lo schema di autenticazione e crittografia specifico. Affinché i dispositivi client wireless vengano autenticati correttamente, è necessario configurare gli stessi SSID con i relativi schemi di autenticazione e crittografia sugli AP e sul telefono.

Alcuni schemi di autenticazione richiedono tipi specifici di crittografia.

Gli schemi di autenticazione e crittografia nella tabella seguente mostrano le opzioni di configurazione di rete per Cisco Wireless Phone 9821 corrispondente alla configurazione del punto di accesso.

Cisco Wireless Phone 9821 supporta l'autenticazione 802.1X per le reti cablate. Viene in genere utilizzato durante il provisioning automatico quando il telefono è collegato al caricabatterie da tavolo tramite un adattatore USB-Ethernet supportato.

Il supporto per l'autenticazione 802.1X su reti cablate richiede diversi componenti, come indicato di seguito:

• Telefono IP Cisco: il telefono avvia la richiesta di accesso alla rete. I telefoni IP Cisco sono dotati di un richiedente 802.1X. Tale richiedente consente agli amministratori di rete di controllare la connettività dei telefoni IP alle porte dello switch LAN. Per l'autenticazione della rete, nella versione corrente del richiedente 802.1X del telefono vengono utilizzate le opzioni EAP-FAST e EAP-TLS.

• Server di autenticazione: il server di autenticazione e lo switch devono essere entrambi configurati con un segreto condiviso RADIUS.

• Switch: lo switch deve supportare 802.1X, in modo che possa fungere da autenticatore e inoltrare i messaggi EAP tra il telefono e il server di autenticazione. Al termine dello scambio, lo switch concede o nega al telefono l'accesso alla rete.

I telefoni IP Cisco e gli switch Cisco Catalyst generalmente utilizzano il protocollo CDP (Cisco Discovery Protocol) per l'identificazione reciproca e per l'individuazione di parametri come l'allocazione VLAN e i requisiti di alimentazione in linea.

Per configurare l'autenticazione 802.1X, è necessario effettuare i passaggi seguenti.

• Configurare CDP/LLDP voce VLAN bypass.

• Configurare il server di autenticazione e lo switch prima di abilitare l'autenticazione 802.1X per le reti cablate sul telefono.

• Configura rete VLAN vocale: dal momento che lo standard 802.1X non prende in considerazione le reti VLAN, è consigliabile configurare questa impostazione in base al tipo di supporto dello switch in uso.

  • Abilitato: se si utilizza un interruttore che supporta l'autenticazione multidominio, è possibile configurarlo per l'utilizzo della voce VLAN.
  • Disabilitato: se lo switch non supporta l'autenticazione multidominio, disabilitare la VLAN vocale e valutare di assegnare la porta alla rete VLAN nativa.

• Cisco Wireless Phone 9821 ha un prefisso diverso nel PID da quello per gli altri telefoni Cisco. Per consentire al telefono di superare l'autenticazione 802.1X, impostare il raggio· Nome utente per includere il telefono wireless Cisco 9821.

  Ad esempio, il PID di Cisco Wireless Phone 9821 è WP-9821. È possibile impostare Radius· Nome utente per iniziare con WP o Contiene WP in entrambe le seguenti sezioni:

  • Politica > Condizioni > Condizioni della biblioteca

  • Criteri > Set di criteri> Criteri di autorizzazione> Regola di autorizzazione 1