Grazie per il feedback.

Le funzionalità di sicurezza proteggono dalle minacce, comprese quelle all'identità del telefono e ai dati. Queste funzionalità stabiliscono e mantengono flussi di comunicazione autenticati tra il telefono e il server Cisco Unified Communications Manager e garantiscono che il telefono utilizzi solo file con firma digitale.

Cisco Unified Communications Manager Release 8.5(1) e versioni successive includono la sicurezza per impostazione predefinita, che fornisce le seguenti funzionalità di sicurezza per i telefoni IP Cisco senza eseguire il client CTL:

• Firma dei file di configurazione del telefono

• Crittografia del file di configurazione del telefono

• HTTPS con Tomcat e altri servizi web

L'implementazione di misure di sicurezza nel sistema Cisco Unified Communications Manager previene il furto di identità del telefono e del server Cisco Unified Communications Manager, impedisce la manomissione dei dati e previene la manomissione della segnalazione delle chiamate e dei flussi multimediali.

Per mitigare queste minacce, la rete di telefonia IP Cisco stabilisce e mantiene flussi di comunicazione sicuri (crittografati) tra un telefono e il server, firma digitalmente i file prima che vengano trasferiti a un telefono e crittografa i flussi multimediali e la segnalazione delle chiamate tra i telefoni IP Cisco.

Un certificato localmente significativo (LSC) viene installato sui telefoni dopo aver eseguito le operazioni necessarie associate alla funzione proxy dell'autorità di certificazione (CAPF). È possibile utilizzare Cisco Unified Communications Manager Administration per configurare un LSC, come descritto nella Guida alla sicurezza di Cisco Unified Communications Manager. In alternativa, è possibile avviare l'installazione di un LSC dal menu delle impostazioni di sicurezza del telefono. Questo menu consente anche di aggiornare o rimuovere un LSC.

I telefoni utilizzano il profilo di sicurezza del telefono, che definisce se il dispositivo è sicuro o non sicuro. Per informazioni sull'applicazione del profilo di sicurezza al telefono, consultare la documentazione relativa alla specifica versione di Cisco Unified Communications Manager in uso.

Se si configurano impostazioni relative alla sicurezza in Cisco Unified Communications Manager Administration, il file di configurazione del telefono contiene informazioni sensibili. Per garantire la riservatezza di un file di configurazione, è necessario configurarlo per la crittografia. Per informazioni dettagliate, consultare la documentazione relativa alla specifica versione di Cisco Unified Communications Manager in uso.

Il telefono è conforme allo standard federale di elaborazione delle informazioni (FIPS). Per funzionare correttamente, la modalità FIPS richiede una dimensione della chiave di 2048 bit o superiore. Se il certificato è inferiore a 2048 bit, il telefono non si registrerà con Cisco Unified Communications Manager e sul telefono verrà visualizzato Phone failed to register. Cert key size is not FIPS compliant.

Se il telefono è dotato di LSC, è necessario aggiornare la dimensione della chiave LSC a 2048 bit o superiore prima di abilitare FIPS.

La tabella seguente fornisce una panoramica delle funzionalità di sicurezza supportate dai telefoni. Per ulteriori informazioni, consultare la documentazione relativa alla specifica versione di Cisco Unified Communications Manager in uso.

Per visualizzare la modalità di sicurezza, premere Impostazioni e navigare in Rete e servizi > Impostazioni di sicurezza.

La tabella seguente contiene i messaggi di allarme relativi all'aggiornamento dell'elenco di attendibilità e il relativo significato. Per ulteriori informazioni, consultare la documentazione di Cisco Unified Communications Manager.

Il menu Impostazioni di sicurezza fornisce informazioni su diverse impostazioni di sicurezza. Il menu consente inoltre di accedere al menu Elenco attendibili e indica se sul telefono è installato il file CTL o ITL.

La tabella seguente descrive le opzioni presenti nel menu Impostazioni di sicurezza.

I telefoni IP Cisco supportano l'autenticazione 802.1X.

I telefoni IP Cisco e gli switch Cisco Catalyst utilizzano tradizionalmente il Cisco Discovery Protocol (CDP) per identificarsi reciprocamente e determinare parametri quali l'assegnazione delle VLAN e i requisiti di alimentazione in linea. CDP non identifica le workstation collegate localmente. I telefoni IP Cisco offrono un meccanismo di pass-through EAPOL. Questo meccanismo consente a una workstation collegata al telefono IP Cisco di trasmettere messaggi EAPOL all'autenticatore 802.1X presente sullo switch LAN. Il meccanismo pass-through garantisce che il telefono IP non funga da switch LAN per autenticare un endpoint dati prima di accedere alla rete.

I telefoni IP Cisco offrono anche un meccanismo di disconnessione proxy EAPOL. Se il PC collegato localmente si disconnette dal telefono IP, lo switch LAN non rileva l'interruzione del collegamento fisico, poiché la connessione tra lo switch LAN e il telefono IP viene mantenuta. Per evitare di compromettere l'integrità della rete, il telefono IP invia un messaggio EAPOL-Logoff allo switch per conto del PC a valle, il che fa sì che lo switch LAN cancelli la voce di autenticazione per il PC a valle.

Il supporto per l'autenticazione 802.1X richiede diversi componenti:

• Telefono IP Cisco: Il telefono avvia la richiesta di accesso alla rete. I telefoni IP Cisco includono un supplicant 802.1X. Questo supplicant consente agli amministratori di rete di controllare la connettività dei telefoni IP alle porte dello switch LAN. La versione attuale del supplicant 802.1X per telefoni utilizza le opzioni EAP-FAST e EAP-TLS per l'autenticazione di rete.

• Server di autenticazione: Sia il server di autenticazione che lo switch devono essere configurati con una chiave segreta condivisa che autentichi il telefono.

• Interruttore: Lo switch deve supportare lo standard 802.1X, in modo da poter fungere da autenticatore e inoltrare i messaggi tra il telefono e il server di autenticazione. Al termine dello scambio, il centralino concede o nega al telefono l'accesso alla rete.

Per configurare 802.1X è necessario eseguire le seguenti operazioni.

• Configura gli altri componenti prima di abilitare l'autenticazione 802.1X sul telefono.

• Configura la porta PC: Lo standard 802.1X non prende in considerazione le VLAN e pertanto raccomanda che a una specifica porta dello switch venga autenticato un solo dispositivo. Tuttavia, alcuni switch supportano l'autenticazione multidominio. La configurazione dello switch determina se è possibile collegare un PC alla porta PC del telefono.

  • Enabled (Abilitato): Se si utilizza uno switch che supporta l'autenticazione multidominio, è possibile abilitare la porta PC e collegarvi un PC. In questo caso, i telefoni IP Cisco supportano il proxy EAPOL-Logoff per monitorare gli scambi di autenticazione tra lo switch e il PC collegato.

    Per ulteriori informazioni sul supporto IEEE 802.1X sugli switch Cisco Catalyst, consultare le guide di configurazione degli switch Cisco Catalyst al seguente indirizzo:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Disabled (Disabilitato): Se lo switch non supporta più dispositivi conformi allo standard 802.1X sulla stessa porta, è necessario disabilitare la porta PC quando l'autenticazione 802.1X è abilitata. Se non si disabilita questa porta e si tenta di collegarvi un PC, lo switch nega l'accesso alla rete sia al telefono che al PC.

• Configurare la VLAN voce: Poiché lo standard 802.1X non supporta le VLAN, è necessario configurare questa impostazione in base alle specifiche dello switch.
  • Enabled (Abilitato): Se si utilizza uno switch che supporta l'autenticazione multidominio, è possibile continuare a utilizzarlo per la VLAN voce.
  • Disabled (Disabilitato): Se lo switch non supporta l'autenticazione multidominio, disabilitare la VLAN voce e valutare la possibilità di assegnare la porta alla VLAN nativa.
• (Solo per telefoni da scrivania Cisco serie 9800)

  I telefoni da scrivania Cisco serie 9800 hanno un prefisso PID diverso rispetto agli altri telefoni Cisco. Per consentire al telefono di superare l'autenticazione 802.1X, impostare il parametro Radius·User-Name in modo che includa il telefono da scrivania Cisco serie 9800.

  Ad esempio, il PID del telefono 9841 è DP-9841; è possibile impostare Radius·User-Name su Start with DP o Contains DP. È possibile impostarlo in entrambe le sezioni seguenti:

  • Politica > Condizioni > Condizioni della biblioteca

  • Politica > Set di criteri > Politica di autorizzazione > Regola di autorizzazione 1

Quando la sicurezza è implementata su un telefono, è possibile identificare le chiamate sicure tramite le icone visualizzate sullo schermo. È inoltre possibile verificare se il telefono connesso è sicuro e protetto se all'inizio della chiamata viene riprodotto un tono di sicurezza.

In una chiamata sicura, tutti i segnali di chiamata e i flussi multimediali sono crittografati. Una chiamata sicura offre un elevato livello di sicurezza, garantendo integrità e riservatezza alla conversazione. Quando una chiamata in corso è crittografata, puoi vedere l'icona di sicurezza sulla linea. Per un telefono sicuro, puoi anche visualizzare l'icona di autenticazione o l'icona di crittografia accanto al server connesso nel menu del telefono (Impostazioni > Informazioni su questo dispositivo).

In una chiamata sicura, all'inizio della conversazione viene riprodotto un tono di sicurezza per indicare che anche l'altro telefono connesso sta ricevendo e trasmettendo audio protetto. Se la chiamata viene connessa a un telefono non protetto, il tono di sicurezza non viene riprodotto.

Quando un telefono è configurato come sicuro (crittografato e attendibile) in Cisco Unified Communications Manager, può essergli assegnato lo stato protected. Dopodiché, se lo si desidera, il telefono protetto può essere configurato per riprodurre un tono di segnalazione all'inizio di una chiamata:

• Dispositivo protetto: Per modificare lo stato di un telefono sicuro in protetto, selezionare la casella di controllo Dispositivo protetto nella finestra Configurazione telefono in Cisco Unified Communications Manager Administration (Dispositivo > Telefono).

• Suono di indicazione di riproduzione sicura: Per consentire al telefono protetto di riprodurre un tono di indicazione sicuro o non sicuro, impostare l'opzione "Riproduci tono di indicazione sicuro" su Vero. Per impostazione predefinita, il tono di indicazione Play Secure è impostato su False. È possibile impostare questa opzione in Cisco Unified Communications Manager Administration (Sistema > Parametri del servizio). Selezionare il server e quindi il servizio Unified Communications Manager. Nella finestra Configurazione parametri di servizio, selezionare l'opzione nell'area Funzionalità - Tono sicuro. Il valore predefinito è False.

Poiché tutti i dispositivi WLAN che si trovano nel raggio d'azione possono ricevere tutto il traffico WLAN, la protezione delle comunicazioni vocali è fondamentale nelle reti WLAN. Per garantire che gli intrusi non manipolino né intercettino il traffico vocale, il telefono è supportato dall'architettura di sicurezza Cisco SAFE. Per ulteriori informazioni sulla sicurezza nelle reti, consultare http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

La soluzione di telefonia IP wireless Cisco offre una sicurezza di rete wireless che impedisce accessi non autorizzati e comunicazioni compromesse, utilizzando i seguenti metodi di autenticazione supportati dal telefono:

• Autenticazione aperta: In un sistema aperto, qualsiasi dispositivo wireless può richiedere l'autenticazione. L'AP che riceve la richiesta può concedere l'autenticazione a qualsiasi richiedente oppure solo ai richiedenti presenti in un elenco di utenti. La comunicazione tra il dispositivo wireless e l'Access Point (AP) potrebbe non essere crittografata.

• Autenticazione tramite protocollo di autenticazione estensibile-autenticazione flessibile tramite tunneling sicuro (EAP-FAST): Questa architettura di sicurezza client-server crittografa le transazioni EAP all'interno di un tunnel Transport Level Security (TLS) tra l'AP e il server RADIUS, come ad esempio Identity Services Engine (ISE).

  Il tunnel TLS utilizza le Protected Access Credentials (PAC) per l'autenticazione tra il client (telefono) e il server RADIUS. Il server invia un ID di autorizzazione (AID) al client (telefono), che a sua volta seleziona il PAC appropriato. Il client (telefono) restituisce un PAC-Opaque al server RADIUS. Il server decifra il PAC utilizzando la chiave primaria. Entrambi gli endpoint ora contengono la chiave PAC e viene creato un tunnel TLS. EAP-FAST supporta il provisioning automatico dei PAC, ma è necessario abilitarlo sul server RADIUS.

  In ISE, per impostazione predefinita, il PAC scade dopo una settimana. Se il telefono ha un PAC scaduto, l'autenticazione con il server RADIUS richiede più tempo, in attesa che il telefono ottenga un nuovo PAC. Per evitare ritardi nel provisioning dei PAC, impostare il periodo di scadenza dei PAC a 90 giorni o più sul server ISE o RADIUS.

• Autenticazione tramite protocollo di autenticazione estensibile - Transport Layer Security (EAP-TLS): EAP-TLS richiede un certificato client per l'autenticazione e l'accesso alla rete. Per EAP-TLS wireless, il certificato client può essere MIC, LSC o un certificato installato dall'utente.

• Protocollo di autenticazione estensibile protetto (PEAP): Schema di autenticazione reciproca basato su password, proprietario di Cisco, tra il client (telefono) e un server RADIUS. Il telefono può utilizzare PEAP per l'autenticazione con la rete wireless. Sono supportati entrambi i metodi di autenticazione PEAP-MSCHAPV2 e PEAP-GTC.

• Chiave precondivisa (PSK): Il telefono supporta il formato ASCII. È necessario utilizzare questo formato durante la configurazione di un WPA/WPA2/SAE Chiave precondivisa:

  ASCII: Una stringa di caratteri ASCII di lunghezza compresa tra 8 e 63 caratteri (0-9, lettere minuscole e maiuscole AZ e caratteri speciali).

  Esempio: GREG123567@9ZX & W

I seguenti schemi di autenticazione utilizzano il server RADIUS per gestire le chiavi di autenticazione:

• WPA/WPA2/WPA3: Utilizza le informazioni del server RADIUS per generare chiavi univoche per l'autenticazione. Poiché queste chiavi vengono generate sul server RADIUS centralizzato, WPA2/WPA3 Offre una sicurezza maggiore rispetto alle chiavi precondivise WPA memorizzate sull'access point e sul telefono.

• Roaming veloce e sicuro: Utilizza le informazioni del server RADIUS e del server di dominio wireless (WDS) per gestire e autenticare le chiavi. Il WDS crea una cache di credenziali di sicurezza per i dispositivi client abilitati a FT, consentendo una riautenticazione rapida e sicura. I telefoni da scrivania Cisco 9861 e 9871 e il videotelefono Cisco 8875 supportano lo standard 802.11r (FT). Sono supportati sia il roaming via etere che quello via DS per consentire un roaming veloce e sicuro. Tuttavia, raccomandiamo vivamente di utilizzare il metodo 802.11r (FT) via etere.

Con WPA/WPA2/WPA3, Le chiavi di crittografia non vengono inserite sul telefono, ma vengono generate automaticamente tra l'access point e il telefono. Tuttavia, il nome utente e la password EAP utilizzati per l'autenticazione devono essere inseriti su ciascun telefono.

Per garantire la sicurezza del traffico vocale, il telefono supporta i protocolli di crittografia TKIP e AES. Quando questi meccanismi vengono utilizzati per la crittografia, sia i pacchetti SIP di segnalazione che i pacchetti RTP (Real-Time Transport Protocol) vocali vengono crittografati tra l'AP e il telefono.

TKIP

WPA utilizza la crittografia TKIP, che presenta diversi miglioramenti rispetto a WEP. TKIP offre la cifratura a chiave per pacchetto e vettori di inizializzazione (IV) più lunghi che rafforzano la crittografia. Inoltre, un controllo di integrità del messaggio (MIC) garantisce che i pacchetti crittografati non vengano alterati. TKIP elimina la prevedibilità del WEP, che permette agli intrusi di decifrare la chiave WEP.

AES

Un metodo di crittografia utilizzato per WPA2/WPA3 autenticazione. Questo standard nazionale per la crittografia utilizza un algoritmo simmetrico che impiega la stessa chiave sia per la crittografia che per la decrittazione. AES utilizza la crittografia Cipher Blocking Chain (CBC) a 128 bit, che supporta chiavi di dimensioni minime di 128, 192 e 256 bit. Il telefono supporta una dimensione della chiave di 256 bit.

All'interno della rete LAN wireless vengono implementati schemi di autenticazione e crittografia. Le VLAN vengono configurate nella rete e sugli AP e specificano diverse combinazioni di autenticazione e crittografia. Un SSID è associato a una VLAN e a uno specifico schema di autenticazione e crittografia. Affinché i dispositivi client wireless si autentichino correttamente, è necessario configurare gli stessi SSID con i relativi schemi di autenticazione e crittografia sia sugli AP che sul telefono.

Alcuni schemi di autenticazione richiedono tipi specifici di crittografia.

Gli schemi di autenticazione e crittografia nella tabella seguente mostrano le opzioni di configurazione di rete per il telefono corrispondenti alla configurazione AP.

Assured Services SIP (AS-SIP) è un insieme di funzionalità e protocolli che offrono un flusso di chiamate altamente sicuro per i telefoni IP Cisco e per i telefoni di terze parti. Le seguenti caratteristiche sono collettivamente note come AS-SIP:

• Precedenza e prelazione multilivello (MLPP)
• Codice di servizio differenziato (DSCP)
• Transport Layer Security (TLS) e Secure Real-time Transport Protocol (SRTP)
• Protocollo Internet versione 6 (IPv6)

AS-SIP viene spesso utilizzato con Multilevel Precedence and Preemption (MLPP) per dare priorità alle chiamate durante un'emergenza. Con MLPP, si assegna un livello di priorità alle chiamate in uscita, dal livello 1 (basso) al livello 5 (alto). Quando ricevi una chiamata, sul telefono viene visualizzata un'icona che indica il livello di priorità della chiamata.

Per configurare AS-SIP, completare le seguenti attività su Cisco Unified Communications Manager:

• Configura un utente digest: configura l'utente finale in modo che utilizzi l'autenticazione digest per le richieste SIP.
• Configurare la porta sicura del telefono SIP: Cisco Unified Communications Manager utilizza questa porta per ascoltare i telefoni SIP e registrare le linee SIP tramite TLS.
• Riavvia i servizi: dopo aver configurato la porta sicura, riavvia i servizi Cisco Unified Communications Manager e Cisco CTL Provider. Configura il profilo SIP per AS-SIP: configura un profilo SIP con le impostazioni SIP per i tuoi endpoint AS-SIP e per i tuoi trunk SIP. I parametri specifici del telefono non vengono scaricati su un telefono AS-SIP di terze parti. Vengono utilizzati esclusivamente da Cisco Unified Manager. I telefoni di terze parti devono configurare localmente le stesse impostazioni.
• Configura il profilo di sicurezza del telefono per AS-SIP: puoi utilizzare il profilo di sicurezza del telefono per assegnare impostazioni di sicurezza come TLS, SRTP e autenticazione digest.
• Configura l'endpoint AS-SIP: configura un telefono IP Cisco o un endpoint di terze parti con supporto AS-SIP.
• Associa il dispositivo all'utente finale: associa il dispositivo a un utente.
• Configurare il profilo di sicurezza del trunk SIP per AS-SIP: è possibile utilizzare il profilo di sicurezza del trunk SIP per assegnare funzionalità di sicurezza come TLS o l'autenticazione digest a un trunk SIP.
• Configura un trunk SIP per AS-SIP: configura un trunk SIP con supporto AS-SIP.
• Configura le funzionalità AS-SIP: configura funzionalità AS-SIP aggiuntive come MLPP, TLS, V.150 e IPv6.

Per informazioni dettagliate sulla configurazione di AS-SIP, consultare il capitolo "Configurazione degli endpoint AS-SIP" nella Guida alla configurazione delle funzionalità per Cisco Unified Communications Manager.

Quando sul telefono sono configurati i codici di autorizzazione forzata (FAC) o i codici di pratica cliente (CMC), o entrambi, gli utenti devono inserire le password richieste per poter effettuare una chiamata.

Per ulteriori informazioni su come configurare FAC e CMC in Cisco Unified Communications Manager, consultare il capitolo "Codici di questione client e codici di autorizzazione forzata" nella Guida alla configurazione delle funzionalità per Cisco Unified Communications Manager, versione 12.5(1) o successiva.

La funzionalità VPN di Cisco ti aiuta a preservare la sicurezza della rete, offrendo al contempo agli utenti un metodo sicuro e affidabile per connettersi alla rete aziendale. Utilizza questa funzione quando:

• Il telefono si trova al di fuori di una rete fidata
• Il traffico di rete tra il telefono e Cisco Unified Communications Manager attraversa una rete non attendibile

Con una VPN, esistono tre approcci comuni per l'autenticazione del client:

• Certificati digitali
• Password
• Nome utente e password

Ciascun metodo presenta i suoi vantaggi. Tuttavia, se la politica di sicurezza aziendale lo consente, consigliamo un approccio basato sui certificati, poiché questi permettono un accesso senza interruzioni e senza alcun intervento da parte dell'utente. Sono supportati sia i certificati LSC che quelli MIC.

Per configurare una qualsiasi delle funzionalità VPN, è necessario prima predisporre il dispositivo in locale e successivamente distribuirlo in remoto.

Per ulteriori informazioni sull'autenticazione tramite certificato e sull'utilizzo di reti VPN, consultare Configurare AnyConnect VPN Phone con autenticazione tramite certificato su un ASA.

Con un approccio basato su password, oppure su nome utente e password, all'utente viene richiesto di inserire le credenziali di accesso. Imposta le credenziali di accesso dell'utente in conformità con le politiche di sicurezza aziendali. È inoltre possibile configurare l'impostazione "Abilita persistenza password" in modo che la password dell'utente venga salvata sul telefono. La password dell'utente viene salvata fino a quando non si verifica un tentativo di accesso non riuscito, l'utente non la cancella manualmente oppure il telefono non viene riavviato o non si spegne.

Un altro strumento utile è l'impostazione "Abilita rilevamento automatico della rete". Quando si abilita questa casella di controllo, il client VPN può essere eseguito solo quando rileva di trovarsi al di fuori della rete aziendale. Questa impostazione è disabilitata per impostazione predefinita.

Il tuo telefono Cisco supporta Cisco SVC IPPhone Client v1.0 come tipo di client.

Per ulteriori informazioni su come configurare la VPN su Unified CM, consultare la Guida alla configurazione delle funzionalità per Cisco Unified Communications Manager.

La funzionalità VPN di Cisco utilizza il protocollo Secure Sockets Layer (SSL) per garantire la sicurezza della rete.