Sicurezza fisica

È importante fornire sicurezza fisica alle sedi delle sale Meet-Me Equinix e alle strutture dei Cisco Dedicated Instance Data Center. Quando la sicurezza fisica è compromessa, possono essere avviati attacchi semplici come l'interruzione del servizio interrompendo l'alimentazione degli switch di un cliente. Con l'accesso fisico, gli aggressori potrebbero accedere ai dispositivi server, reimpostare le password e accedere agli switch. L'accesso fisico facilita anche attacchi più sofisticati come gli attacchi man-in-the-middle, motivo per cui il secondo livello di sicurezza, la sicurezza della rete, è fondamentale.

Le unità con crittografia automatica vengono utilizzate nei data center a istanze dedicate che ospitano applicazioni UC.

Per ulteriori informazioni sulle pratiche generali di sicurezza, consulti la documentazione al seguente indirizzo: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Sicurezza della rete

I partner devono garantire che tutti gli elementi della rete siano protetti nell'infrastruttura di istanze dedicate (che si connette tramite Equinix). È responsabilità del partner garantire le migliori pratiche di sicurezza come:

• VLAN separata per voce e dati

• Abilita Port Security che limita il numero di indirizzi MAC consentiti per porta, contro l'allagamento del tavolo CAM

• IP Source Guard contro gli indirizzi IP contraffatti

• Dynamic ARP Inspection (DAI) esamina il protocollo di risoluzione degli indirizzi (ARP) e l'ARP gratuito (GARP) per le violazioni (contro lo spoofing ARP)

• 802.1x limita l'accesso alla rete per autenticare i dispositivi su VLAN assegnate (i telefoni supportano 802.1x)

• Configurazione della qualità del servizio (QoS) per la marcatura appropriata dei pacchetti vocali

• Configurazioni delle porte del firewall per bloccare qualsiasi altro traffico

Sicurezza degli endpoint

Gli endpoint Cisco supportano funzionalità di sicurezza predefinite come firmware firmato, avvio sicuro (modelli selezionati), certificato installato dal produttore (MIC) e file di configurazione firmati, che forniscono un certo livello di sicurezza per gli endpoint.

Inoltre, un partner o un cliente può abilitare una sicurezza aggiuntiva, come:

• Crittografa i servizi telefonici IP (tramite HTTPS) per servizi come Extension Mobility

• Emettere certificati significativi a livello locale (LSC) dalla funzione proxy dell'autorità di certificazione (CAPF) o da un'autorità di certificazione pubblica (CA)

• Crittografa i file di configurazione

• Crittografa contenuti multimediali e segnalazioni

• Disabiliti queste impostazioni se non vengono utilizzate: porta PC, PC Voice VLAN Access, ARP gratuito, Accesso Web, pulsante Impostazioni, SSH, console

L'implementazione di meccanismi di sicurezza nell'istanza dedicata previene il furto di identità dei telefoni e del Unified CM server, la manomissione dei dati e la manomissione della segnalazione delle chiamate/del flusso multimediale.

Istanza dedicata sulla rete:

• Stabilisce e mantiene flussi di comunicazione autenticati

• Firma digitalmente i file prima di trasferirli sul telefono

• Crittografa i flussi multimediali e la segnalazione delle chiamate tra telefoni IP Cisco Unified

La sicurezza per impostazione predefinita fornisce le seguenti funzionalità di sicurezza automatiche per i telefoni IP Cisco Unified:

• Firma dei file di configurazione del telefono

• Supporto per la crittografia dei file di configurazione del telefono

• HTTPS con Tomcat e altri servizi Web (MIDlet)

Per la Unified CM versione 8.0 successiva, queste funzionalità di sicurezza sono fornite per impostazione predefinita senza eseguire il client Certificate Trust List (CTL).

Poiché ci sono molti telefoni in una rete e i telefoni IP hanno una memoria limitata, Cisco Unified CM funge da archivio fiduciario remoto tramite il Trust Verification Service (TVS) in modo che non sia necessario inserire un archivio di certificati attendibili su ogni telefono. I telefoni IP Cisco contattano il server TVS per la verifica perché non possono verificare una firma o un certificato tramite file CTL o ITL. Avere un trust store centrale è più facile da gestire che avere il trust store su ogni telefono IP Cisco Unified.

TVS consente ai telefoni IP Cisco Unified di autenticare i server delle applicazioni, come i servizi EM, la directory e il MIDlet, durante la creazione di HTTPS.

Il file Initial Trust List (ITL) viene utilizzato per la sicurezza iniziale, in modo che gli endpoint possano fidarsi. Cisco Unified CM ITL non necessita di alcuna funzionalità di sicurezza per essere abilitato esplicitamente. Il file ITL viene creato automaticamente quando il cluster è installato. La chiave privata del server Unified CM Trivial File Transfer Protocol (TFTP) viene utilizzata per firmare il file ITL.

Quando il Cisco Unified CM cluster o il server è in modalità non protetta, il file ITL viene scaricato su tutti i telefoni IP Cisco supportati. Un partner può visualizzare il contenuto di un file ITL utilizzando il comando CLI, admin:show itl.

I telefoni IP Cisco necessitano del file ITL per eseguire le seguenti attività:

• Comunica in modo sicuro con CAPF, un prerequisito per supportare la crittografia dei file di configurazione

• Autenticare la firma del file di configurazione

• Autentica i server delle applicazioni, come i servizi EM, la directory e il MIDlet durante la creazione di HTTPS utilizzando TVS

L'autenticazione di dispositivi, file e segnali si basa sulla creazione del file Certificate Trust List (CTL), che viene creato quando il partner o il cliente installa e configura il client Cisco Certificate Trust List.

Il file CTL contiene voci per i seguenti server o token di sicurezza:

• Token di sicurezza dell'amministratore di sistema (SAST)

• Cisco CallManagere servizi Cisco TFTP in esecuzione sullo stesso server

• Certificate AuthorityFunzione proxy (CAPF)

• server (i) TFTP

• Firewall ASA

Il file CTL contiene un certificato server, una chiave pubblica, un numero di serie, una firma, il nome dell'emittente, il nome del soggetto, la funzione del server, il nome DNS e l'indirizzo IP per ogni server.

La sicurezza del telefono con CTL offre le seguenti funzioni:

• Autenticazione dei file scaricati da TFTP (configurazione, locale, ringlist e così via) utilizzando una chiave di firma

• Crittografia dei file di configurazione TFTP utilizzando una chiave di firma

• Segnalazione di chiamata crittografata per telefoni IP

• Audio di chiamata crittografato (multimediale) per telefoni IP

L'istanza dedicata fornisce la registrazione degli endpoint e l'elaborazione delle chiamate. La segnalazione tra Cisco Unified CM e gli endpoint si basa sul Secure Skinny Client Control Protocol (SCCP) o sul Session Initiation Protocol (SIP) e può essere crittografata utilizzando Transport Layer Security (TLS). I contenuti multimediali da/verso gli endpoint si basano sul Real-time Transport Protocol (RTP) e possono anche essere crittografati utilizzando Secure RTP (SRTP).

L'attivazione della modalità mista Unified CM abilita la crittografia del traffico di segnalazione e multimediale da e verso gli endpoint Cisco.

Applicazioni UC sicure

La modalità mista è abilitata per impostazione predefinita nell'Istanza dedicata.

L'attivazione della modalità mista nell'istanza dedicata consente di eseguire la crittografia del traffico di segnalazione e multimediale da e verso gli endpoint Cisco.

Dalla Cisco Unified CM versione 12.5 (1), è stata aggiunta una nuova opzione per abilitare la crittografia di segnali e contenuti multimediali basata su SIP OAuth anziché sulla modalità mista/CTL per i client Jabber e Webex. Pertanto, nella Unified CM versione 12.5 (1), SIP OAuth e SRTP possono essere utilizzati per abilitare la crittografia della segnalazione e dei contenuti multimediali per i client Jabber o Webex. L'attivazione della modalità mista continua a essere richiesta per i telefoni IP Cisco e altri endpoint Cisco in questo momento . C'è un piano per aggiungere il supporto per SIP OAuth negli endpoint 7800/8800 in una versione futura.

Garantire le comunicazioni tra Cisco Unified CM e CUBE

Per comunicazioni sicure tra CUBE Cisco Unified CM e CUBE, i partner/clienti devono utilizzare certificati autofirmati o certificati firmati dall'autorità di certificazione.

Per i certificati autofirmati:

1. CUBE e Cisco Unified CM generare certificati autofirmati

2. CUBE esporta il certificato in Cisco Unified CM

3. Cisco Unified CMcertificato di esportazione verso CUBE

Per i certificati firmati dall'autorità di certificazione:

1. Il cliente genera una coppia di chiavi e invia una richiesta di firma del certificato (CSR) alla Certificate Authority (CA)

2. La CA lo firma con la sua chiave privata, creando un certificato di identità

3. Il cliente installa l'elenco dei certificati CA Root and Intermediary affidabili e il certificato di identità

Riepilogo del protocollo

La tabella seguente mostra i protocolli e i servizi associati utilizzati nella Unified CM soluzione.

Per ulteriori informazioni sulla configurazione MRA, vedere: sezione Scenari di distribuzione MRA della Mobile and Remote Access Through Cisco Expressway Deployment Guide.

Protezione di Jabber e Webex con SIP OAuth

I client Jabber e Webex sono autenticati tramite un token OAuth anziché un certificato significativo a livello locale (LSC), che non richiede l'abilitazione della funzione proxy dell'autorità di certificazione (CAPF) (anche per MRA). SIP OAuth funzionante con o senza modalità mista è stato introdotto nella Cisco Unified CM 12.5 (1) e versioni successive, Jabber 12.5 e versioni successive e Expressway X12.5 .

Nella versione Cisco Unified CM 12.5 e successive, abbiamo una nuova opzione in Phone Security Profile che abilita la crittografia senza LSC/CAPF, utilizzando un singolo token Transport Layer Security (TLS) + OAuth in SIP REGISTER. I nodi Expressway-C utilizzano l'API Administrative XML Web Service (AXL) per fornire informazioni sull'SN/SAN Cisco Unified CM nel loro certificato. Cisco Unified CMutilizza queste informazioni per convalidare il certificato Exp-C quando stabilisce una connessione TLS reciproca.

SIP OAuth consente la crittografia dei media e dei segnali senza un certificato endpoint (LSC).

Cisco Jabberutilizza le porte effimere e le porte sicure 6971 e 6972 tramite connessione HTTPS al server TFTP per scaricare i file di configurazione. La porta 6970 è una porta non sicura per il download tramite HTTP.

Maggiori dettagli sulla configurazione SIP OAuth: modalità SIP OAuth.