- Home
- /
- Articolo
Grazie per il feedback.
In questo articolo
Feedback?Cisco sta eliminando la fiducia in alcune CA root utilizzate per convalidare connessioni SIP sicure, in seguito all'incidente di sicurezza dell'autorità di certificazione (CA) EmuDHRA dell'ottobre 2026. L'applicazione delle integrazioni SIP Webex Meetings interessate è prevista a partire dal 2 novembre 2026. Il lancio può avvenire in più fasi. Prevede di completare le modifiche prima del 2 novembre. I clienti le cui catene di certificati dipendono da autorità diffidenti devono sostituire il certificato o la catena interessati. Altrimenti, la connessione SIP sicura interessata fallirà l'autenticazione TLS, quando verrà applicata la politica di fiducia aggiornata per quella connessione.
Cosa può essere interessato
Integrazioni
-
Webex MeetingsEdge Audio: le chiamate in entrata e in uscita delle riunioni tramite le connessioni SIP aziendali interessate smetteranno di funzionare quando le forze dell'ordine raggiungeranno tali connessioni.
-
Collaboration Meeting Rooms (CMR): i dispositivi video basati su SIP collegati tramite connessioni SIP sicure interessate falliranno quando l'applicazione raggiunge tali connessioni.
-
L'infrastruttura gestita dal cliente può includere Cisco CUBE, Expressway-E e altri Session Border Controller (SBC). Esaminare sia i sistemi primari che quelli ridondanti.
Queste modifiche riguardano le integrazioni SIP che utilizzano le catene di certificati interessate; gli altri metodi di accesso alle riunioni non dipendono dallo stesso percorso di certificato SIP gestito dal cliente.
Autorità di certificazione
Verifichi le catene di certificati che dipendono da una delle seguenti autorità:
-
EmSign Root TLS AC - 3G
-
EmSign ECC Root AC - 3G
-
EmSign Root SC AC - 3G
-
Servizi di certificazione AAA (Comodo AAA Services root)
AAA Certificate Services non è stato compromesso, ma ha firmato in modo incrociato gli intermedi di Emudhra ed è incluso in questa risposta di sicurezza. Alcuni certificati emessi da Sectigo possono utilizzare un percorso di certificazione con firma incrociata AAA anche se i certificati dei clienti Sectigo stessi non sono stati compromessi.
EmSign Root CA - G1 non è incluso in questa modifica della sfiducia. Non sostituisca o rimuova i certificati solo perché utilizzano G1.
Controllare e sostituire i certificati o le catene interessati
| 1 |
Identifica il CUBE, Expressway-E o SBC utilizzato per l'integrazione delle riunioni basata su Edge Audio o SIP interessata. Registrare il nome host effettivo e la porta SIP TLS configurata. Quindi, controlli il certificato di identità TLS installato su quel sistema e gli eventuali certificati CA intermedi di accompagnamento. Su Expressway-E, il certificato del server installato può essere visualizzato in Certificato server. Per CUBE e altri SBC, utilizzare la procedura di ispezione del certificato del fornitore applicabile. Ripetere l'operazione per i sistemi di backup e ridondanti. |
| 2 |
Da un computer con OpenSSL installato e accesso di rete al listener SIP TLS, esegui l'esempio pertinente:
Sostituisca il nome host e la porta di esempio con il suo endpoint SIP TLS effettivo; la porta potrebbe differire in base alla distribuzione. Se l'accesso TLS in entrata è limitato, esegua il controllo da un sistema di gestione autorizzato. Su Expressway-E, la porta SIP TLS utilizzata con Webex può richiedere un certificato client. Il comando può quindi terminare con un errore, ma la catena di certificati è ancora visualizzata. Esamini le voci della catena di certificati, compresi l'oggetto (i) e l'emittente (i:). Cerchi uno dei quattro nomi di CA interessati, incluso un certificato UserTrust RSA Certification Authority emesso da AAA Certificate Services. Esempio di registrazione a catena con firma incrociata interessata:
|
| 3 |
Interpreti i risultati:
|
| 4 |
Contatti il suo fornitore o rivenditore di certificati per un certificato sostitutivo o una catena di certificati alternativa che termina con una radice non elencata sopra. Chieda al fornitore di confermare che la catena di sostituzione è appropriata per l'integrazione SIP Webex.
Ispeziona nuovamente la catena installata per verificare che non dipenda più dalle autorità diffidenti .
|
| 5 |
Convalida la connettività della riunione:
Se i problemi con il certificato o la connettività SIP persistono, contatti il suo partner Cisco o Cisco Technical Assistance Center (TAC). Fornisca il suo Webex Organization ID, il servizio interessato, il sistema e il nome host SIP interessati, i dettagli della catena di certificati ed eventuali messaggi di errore TLS o SIP. Non condivida le chiavi private. |
Informazioni correlate
Per ulteriori informazioni, vedere quanto segue:
