Grazie per il feedback.

Le funzionalità di sicurezza proteggono dalle minacce, comprese le minacce all'identità del telefono e ai dati. Queste funzionalità stabiliscono e mantengono flussi di comunicazione autenticati tra il telefono e il Cisco Unified Communications Manager server e assicurano che il telefono utilizzi solo file con firma digitale.

Cisco Unified Communications ManagerLa versione 8.5 (1) e successive include Security per impostazione predefinita, che fornisce le seguenti funzionalità di sicurezza per i telefoni IP Cisco senza eseguire il client CTL:

• Firma dei file di configurazione del telefono

• Crittografia dei file di configurazione del telefono

• HTTPS con Tomcat e altri servizi web

L'implementazione della sicurezza nel Cisco Unified Communications Manager sistema previene il furto di identità del telefono e del Cisco Unified Communications Manager server, previene la manomissione dei dati e previene la segnalazione delle chiamate e la manomissione del flusso multimediale.

Per alleviare queste minacce, la rete di telefonia IP Cisco stabilisce e mantiene flussi di comunicazione sicuri (crittografati) tra un telefono e il server, firma digitalmente i file prima che vengano trasferiti su un telefono e crittografa i flussi multimediali e la segnalazione delle chiamate tra telefoni IP Cisco.

Un Locally Significant Certificate (LSC) si installa sui telefoni dopo aver eseguito le attività necessarie associate alla funzione Certificate Authority proxy (CAPF). Può usarlo Cisco Unified Communications Manager Administration per configurare un LSC, come descritto nella Guida alla Cisco Unified Communications Manager sicurezza. In alternativa, può avviare l'installazione di un LSC dal menu delle impostazioni di sicurezza del telefono. Questo menu Le consente anche di aggiornare o rimuovere un LSC.

I telefoni utilizzano il profilo di sicurezza del telefono, che definisce se il dispositivo non è sicuro o è protetto. Per informazioni sull'applicazione del profilo di sicurezza al telefono, consulti la documentazione della sua Cisco Unified Communications Manager versione specifica.

Se configura le impostazioni relative alla sicurezza inCisco Unified Communications Manager Administration, il file di configurazione del telefono contiene informazioni sensibili. Per garantire la privacy di un file di configurazione, deve configurarlo per la crittografia. Per informazioni dettagliate, consulti la documentazione per la sua Cisco Unified Communications Manager versione specifica.

Il telefono è conforme al Federal Information Processing Standard (FIPS). Per funzionare correttamente, la modalità FIPS richiede una dimensione della chiave di 2048 bit o superiore. Se il certificato è inferiore a 2048 bit, il telefono non si registra Cisco Unified Communications Manager e Phone non è riuscito a registrarsi. La dimensione della chiave del certificato non è quella dei display conformi a FIPS sul telefono.

Se il telefono ha un LSC, deve aggiornare la dimensione della chiave LSC a 2048 bit o più prima di abilitare FIPS.

La tabella seguente fornisce una panoramica delle funzionalità di sicurezza supportate dai telefoni. Per ulteriori informazioni, consulti la documentazione per la sua Cisco Unified Communications Manager versione specifica.

Per visualizzare la modalità Sicurezza, prema Impostazioni e acceda a Rete e servizi > Impostazioni di sicurezza.

La tabella seguente contiene i messaggi di allarme e il significato dell'aggiornamento della Trust List. Per ulteriori informazioni, consulti la Cisco Unified Communications Manager documentazione.

Il menu Security Setup fornisce informazioni su varie impostazioni di sicurezza. Il menu fornisce anche l'accesso al menu Trust List e indica se il file CTL o ITL è installato sul telefono.

La tabella seguente descrive le opzioni del menu Security Setup.

I telefoni IP Cisco supportano l'autenticazione 802.1X.

I telefoni IP Cisco e gli switch Cisco Catalyst utilizzano tradizionalmente Cisco Discovery Protocol (CDP) per identificarsi e determinare parametri come l'allocazione della VLAN e i requisiti di alimentazione in linea. CDP non identifica le workstation collegate localmente. I telefoni IP Cisco forniscono un meccanismo pass-through EAPOL. Questo meccanismo consente a una workstation collegata al telefono IP Cisco di trasmettere i messaggi EAPOL all'autenticatore 802.1X sullo switch LAN. Il meccanismo pass-through assicura che il telefono IP non funga da switch LAN per autenticare un endpoint di dati prima di accedere alla rete.

I telefoni IP Cisco forniscono anche un meccanismo proxy EAPOL Logoff. Se il PC collegato localmente si disconnette dal telefono IP, lo switch LAN non vede il collegamento fisico fallire, perché il collegamento tra lo switch LAN e il telefono IP viene mantenuto. Per evitare di compromettere l'integrità della rete, il telefono IP invia un messaggio di logoff EAPOL allo switch per conto del PC a valle, che attiva lo switch LAN per cancellare la voce di autenticazione per il PC a valle.

Il supporto per l'autenticazione 802.1X richiede diversi componenti:

• Telefono IP Cisco: Il telefono avvia la richiesta di accesso alla rete. I telefoni IP Cisco contengono un supporto 802.1X. Questo supplicante consente agli amministratori di rete di controllare la connettività dei telefoni IP alle porte dello switch LAN. L'attuale versione del telefono che supporta lo standard 802.1X utilizza le opzioni EAP-FAST ed EAP-TLS per l'autenticazione di rete.

• Server di autenticazione: Il server di autenticazione e lo switch devono essere entrambi configurati con un segreto condiviso che autentica il telefono.

• Switch: Lo switch deve supportare 802.1X, quindi può fungere da autenticatore e passare i messaggi tra il telefono e il server di autenticazione. Una volta completato lo scambio, lo switch concede o nega al telefono l'accesso alla rete.

È necessario eseguire le seguenti azioni per configurare 802.1X.

• Configuri gli altri componenti prima di abilitare l'autenticazione 802.1X sul telefono.

• Configura la porta PC: Lo standard 802.1X non considera le VLAN e quindi consiglia di autenticare un solo dispositivo su una porta dello switch specifica. Tuttavia, alcuni switch supportano l'autenticazione multidominio. La configurazione dello switch determina se è possibile connettere un PC alla porta PC del telefono.

  • Abilitato: se utilizza uno switch che supporta l'autenticazione multidominio, può abilitare la porta PC e collegarvi un PC. In questo caso, i telefoni IP Cisco supportano il proxy EAPOL-Logoff per monitorare gli scambi di autenticazione tra lo switch e il PC collegato.

    Per ulteriori informazioni sul supporto IEEE 802.1X sugli switch Cisco Catalyst, consultare le guide alla configurazione dello switch Cisco Catalyst all'indirizzo:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Disabilitato: Se lo switch non supporta più dispositivi conformi allo standard 802.1X sulla stessa porta, deve disabilitare la porta PC quando l'autenticazione 802.1X è abilitata. Se non disabilita questa porta e poi tenta di collegarvi un PC, lo switch nega l'accesso alla rete sia al telefono che al PC.

• Configura la VLAN vocale: Poiché lo standard 802.1X non tiene conto delle VLAN, deve configurare questa impostazione in base al supporto dello switch.
  • Abilitato: se utilizza uno switch che supporta l'autenticazione multidominio, può continuare a utilizzare la VLAN vocale.
  • Disabilitato: se lo switch non supporta l'autenticazione multidominio, disabiliti la VLAN vocale e valuta la possibilità di assegnare la porta alla VLAN nativa.
• (Solo per Cisco Desk Phone serie 9800)

  Il telefono da tavolo Cisco serie 9800 ha un prefisso diverso nel PID da quello degli altri telefoni Cisco. Per consentire al suo telefono di superare l'autenticazione 802.1X, imposti il parametro Radius·User-Name per includere il suo telefono da tavolo Cisco serie 9800.

  Ad esempio, il PID del telefono 9841 è DP-9841; può impostare Radius·User-Name su Start with DP o Contains DP. Può impostarlo in entrambe le seguenti sezioni:

  • Politica > Condizioni > Condizioni della biblioteca

  • Politica > Set di politiche > Politica di autorizzazione > Regola di autorizzazione 1

Quando la sicurezza è implementata per un telefono, può identificare le telefonate sicure tramite le icone sullo schermo del telefono. Può anche determinare se il telefono connesso è sicuro e protetto se viene emesso un tono di sicurezza all'inizio della chiamata.

In una chiamata sicura, tutti i segnali di chiamata e i flussi multimediali sono crittografati. Una chiamata sicura offre un elevato livello di sicurezza, garantendo integrità e privacy alla chiamata. Quando una chiamata in corso è crittografata, può vedere l'icona sicura sulla linea. Per un telefono sicuro, può anche visualizzare l'icona autenticata o l'icona crittografata accanto al server connesso nel menu del telefono (Impostazioni > Informazioni su questo dispositivo).

In una chiamata sicura, all'inizio di una chiamata viene emesso un tono di sicurezza per indicare che anche l'altro telefono connesso sta ricevendo e trasmettendo audio sicuro. Se la sua chiamata si connette a un telefono non sicuro, il tono di sicurezza non viene riprodotto.

Quando un telefono è configurato come sicuro (crittografato e affidabile) inCisco Unified Communications Manager, può avere lo stato protetto. Dopodiché, se lo si desidera, il telefono protetto può essere configurato per riprodurre un segnale acustico all'inizio di una chiamata:

• Dispositivo protetto: Per modificare lo stato di un telefono sicuro in protetto, seleziona la casella di controllo Dispositivo protetto nella finestra di configurazione del telefono in Cisco Unified Communications Manager Administration (Dispositivo > Telefono).

• Play Secure Indication Tone: Per consentire al telefono protetto di riprodurre un tono di indicazione sicuro o non sicuro, imposti l'impostazione Play Secure Indication Tone su True. Per impostazione predefinita, Play Secure Indication Tone è impostato su False. Lei ha impostato questa opzione in Cisco Unified Communications Manager Administration (Sistema > Parametri del servizio). Seleziona il server e poi il servizio Unified Communications Manager. Nella finestra Configurazione dei parametri del servizio, selezioni l'opzione nell'area Funzionalità - Secure Tone. L'impostazione predefinita è False.

Poiché tutti i dispositivi WLAN che si trovano nel raggio d'azione possono ricevere tutto il resto del traffico WLAN, la protezione delle comunicazioni vocali è fondamentale nelle WLAN. Per garantire che gli intrusi non manipolino né intercettino il traffico vocale, l'architettura Cisco SAFE Security supporta il telefono. Per ulteriori informazioni sulla sicurezza nelle reti, vedere http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

La soluzione di telefonia IP wireless Cisco fornisce una sicurezza della rete wireless che impedisce accessi non autorizzati e comunicazioni compromesse utilizzando i seguenti metodi di autenticazione supportati dal telefono:

• Autenticazione aperta: Qualsiasi dispositivo wireless può richiedere l'autenticazione in un sistema aperto. L'AP che riceve la richiesta può concedere l'autenticazione a qualsiasi richiedente o solo ai richiedenti presenti in un elenco di utenti. La comunicazione tra il dispositivo wireless e l'Access Point (AP) potrebbe essere non crittografata.

• Extensible Authentication Protocol-Autenticazione flessibile tramite Secure Tunneling (EAP-FAST) Autenticazione: questa architettura di sicurezza client-server crittografa le transazioni EAP all'interno di un tunnel Transport Level Security (TLS) tra l'AP e il server RADIUS, come Identity Services Engine (ISE).

  Il tunnel TLS utilizza le credenziali di accesso protetto (PAC) per l'autenticazione tra il client (telefono) e il server RADIUS. Il server invia un Authority ID (AID) al cliente (telefono), che a sua volta seleziona il PAC appropriato. Il client (telefono) restituisce un PAC opaco al server RADIUS. Il server decrittografa il PAC con la chiave primaria. Entrambi gli endpoint ora contengono la chiave PAC e viene creato un tunnel TLS. EAP-FAST supporta il provisioning automatico del PAC, ma deve abilitarlo sul server RADIUS.

  In ISE, per impostazione predefinita, il PAC scade tra una settimana. Se il telefono ha un PAC scaduto, l'autenticazione con il server RADIUS richiede più tempo mentre il telefono riceve un nuovo PAC. Per evitare ritardi nell'approvvigionamento del PAC, imposta il periodo di scadenza del PAC su 90 giorni o più sul server ISE o RADIUS.

• Autenticazione Extensible Authentication Protocol-Transport Layer Security (EAP-TLS): EAP-TLS richiede un certificato client per l'autenticazione e l'accesso alla rete. Per l'EAP-TLS wireless, il certificato client può essere MIC, LSC o un certificato installato dall'utente.

• Protected Extensible Authentication Protocol (PEAP): schema di autenticazione reciproca proprietario di Cisco basato su password tra il client (telefono) e un server RADIUS. Il telefono può utilizzare PEAP per l'autenticazione con la rete wireless. Sono supportati entrambi i metodi di autenticazione PEAP-MSCHAPV2 e PEAP-GTC.

• Chiave precondivisa (PSK): il telefono supporta il formato ASCII. Deve utilizzare questo formato per configurare una chiave precondivisa WPA/WPA2/SAE:

  ASCII: una stringa di caratteri ASCII con una lunghezza compresa tra 8 e 63 caratteri (0-9, lettere minuscole e maiuscole dalla A alla Z e caratteri speciali)

  Esempio: GREG123567 @9ZX &W

I seguenti schemi di autenticazione utilizzano il server RADIUS per gestire le chiavi di autenticazione:

• WPA/WPA2/WPA3: utilizza le informazioni del server RADIUS per generare chiavi univoche per l'autenticazione. Poiché queste chiavi vengono generate sul server RADIUS centralizzato, WPA2/WPA3 offre maggiore sicurezza rispetto alle chiavi WPA precondivise archiviate sull'AP e sul telefono.

• Roaming veloce e sicuro: utilizza il server RADIUS e le informazioni di un server di dominio wireless (WDS) per gestire e autenticare le chiavi. Il WDS crea una cache di credenziali di sicurezza per i dispositivi client abilitati a FT per una riautenticazione rapida e sicura. Il telefono da tavolo Cisco 9861 e 9871 e il videotelefono Cisco 8875 supportano 802.11r (FT). Sia via etere che via DS sono supportati per consentire un roaming veloce e sicuro. Ma consigliamo vivamente di utilizzare il metodo 802.11r (FT) over air.

Con WPA/WPA2/WPA3, le chiavi di crittografia non vengono inserite sul telefono, ma vengono derivate automaticamente tra l'AP e il telefono. Ma il nome utente e la password EAP utilizzati per l'autenticazione devono essere inseriti su ogni telefono.

Per garantire la sicurezza del traffico vocale, il telefono supporta la crittografia TKIP e AES. Quando questi meccanismi vengono utilizzati per la crittografia, sia i pacchetti SIP di segnalazione che i pacchetti RTP (Voice Real-Time Transport Protocol) sono crittografati tra l'AP e il telefono.

TKIP

WPA utilizza la crittografia TKIP che presenta diversi miglioramenti rispetto al WEP. TKIP fornisce la crittografia a chiave per pacchetto e vettori di inizializzazione (IV) più lunghi che rafforzano la crittografia. Inoltre, un controllo di integrità dei messaggi (MIC) garantisce che i pacchetti crittografati non vengano alterati. TKIP elimina la prevedibilità del WEP che aiuta gli intrusi a decifrare la chiave WEP.

AES

Un metodo di crittografia utilizzato per l'autenticazione WPA2/WPA3. Questo standard nazionale per la crittografia utilizza un algoritmo simmetrico con la stessa chiave per la crittografia e la decrittografia. AES utilizza la crittografia Cipher Blocking Chain (CBC) di 128 bit, che supporta chiavi di dimensioni minime di 128 bit, 192 bit e 256 bit. Il telefono supporta una chiave di 256 bit.

Gli schemi di autenticazione e crittografia sono impostati all'interno della LAN wireless. Le VLAN sono configurate nella rete e negli AP e specificano diverse combinazioni di autenticazione e crittografia. Un SSID è associato a una VLAN e al particolare schema di autenticazione e crittografia. Affinché i dispositivi client wireless si autentichino correttamente, deve configurare gli stessi SSID con i relativi schemi di autenticazione e crittografia sugli AP e sul telefono.

Alcuni schemi di autenticazione richiedono tipi specifici di crittografia.

Gli schemi di autenticazione e crittografia nella tabella seguente mostrano le opzioni di configurazione di rete per il telefono che corrispondono alla configurazione AP.

Assured Services SIP (AS-SIP) è un insieme di funzionalità e protocolli che offrono un flusso di chiamate altamente sicuro per telefoni IP Cisco e telefoni di terze parti. Le seguenti funzionalità sono note collettivamente come AS-SIP:

• Precedenza e prelazione multilivello (MLPP)
• Differentiated Services Code Point (DSCP)
• Transport Layer Security (TLS) e Secure Real-time Transport Protocol (SRTP)
• Protocollo Internet versione 6 (IPv6)

AS-SIP viene spesso utilizzato con Multilevel Precedence and Preemption (MLPP) per dare priorità alle chiamate durante un'emergenza. Con MLPP, assegna un livello di priorità alle sue chiamate in uscita, dal livello 1 (basso) al livello 5 (alto). Quando riceve una chiamata, sul telefono viene visualizzata un'icona del livello di precedenza che mostra la priorità della chiamata.

Per configurare AS-SIP, completi le seguenti attività su: Cisco Unified Communications Manager

• Configura un utente digest: configura l'utente finale per utilizzare l'autenticazione digest per le richieste SIP.
• Configura SIP Phone Secure Port: Cisco Unified Communications Manager utilizza questa porta per ascoltare i telefoni SIP per le registrazioni della linea SIP tramite TLS.
• Servizi di riavvio: dopo aver configurato la porta sicura, riavvia i servizi Cisco Unified Communications Manager e Cisco CTL Provider. Configurare il profilo SIP per AS-SIP Configurare un profilo SIP con impostazioni SIP per i suoi endpoint AS-SIP e per i suoi trunk SIP. I parametri specifici del telefono non vengono scaricati su un telefono AS-SIP di terze parti. Sono utilizzati solo da Cisco Unified Manager. I telefoni di terze parti devono configurare localmente le stesse impostazioni.
• Configura il profilo di sicurezza del telefono per AS-SIP: può utilizzare il profilo di sicurezza del telefono per assegnare impostazioni di sicurezza come TLS, SRTP e autenticazione digest.
• Configura un endpoint AS-SIP: configura un telefono IP Cisco o un endpoint di terze parti con supporto AS-SIP.
• Associa il dispositivo all'utente finale: associa l'endpoint a un utente.
• Configurare il profilo di sicurezza SIP Trunk per AS-SIP: può utilizzare il profilo di sicurezza SIP Trunk per assegnare funzionalità di sicurezza come TLS o l'autenticazione digest a un trunk SIP.
• Configura SIP Trunk per AS-SIP: configura un trunk SIP con supporto AS-SIP.
• Configura le funzionalità AS-SIP: configura funzionalità AS-SIP aggiuntive come MLPP, TLS, V.150 e IPv6.

Per informazioni dettagliate sulla configurazione di AS-SIP, vedere il capitolo «Configura gli endpoint AS-SIP» nella Guida alla configurazione delle funzionalità per. Cisco Unified Communications Manager

Quando i codici di autorizzazione forzata (FAC) o i codici Client Matter (CMC), o entrambi, sono configurati sul telefono, gli utenti devono inserire le password richieste per comporre un numero.

Per ulteriori informazioni su come configurare FAC e CMC inCisco Unified Communications Manager, vedere il capitolo «Client Matter Codes and Forced Authorization Codes» nella Guida alla configurazione delle funzionalità per la Cisco Unified Communications Manager versione 12.5 (1) o successiva.

La funzione Cisco VPN La aiuta a preservare la sicurezza della rete offrendo agli utenti un metodo sicuro e affidabile per connettersi alla sua rete aziendale. Utilizza questa funzione quando:

• Un telefono si trova all'esterno di una rete affidabile
• Traffico di rete tra il telefono e l'Cisco Unified Communications Managerattraversamento di una rete non affidabile

Con una VPN, ci sono tre approcci comuni all'autenticazione del cliente:

• Certificati digitali
• Password
• Nome utente e password

Ogni metodo ha i suoi vantaggi. Ma se la sua politica di sicurezza aziendale lo consente, consigliamo un approccio basato sui certificati perché i certificati consentono un accesso senza interruzioni senza alcun intervento da parte dell'utente. Sono supportati sia i certificati LSC che MIC.

Per configurare una qualsiasi delle funzionalità VPN, esegua prima il provisioning del dispositivo in locale e poi può distribuire il dispositivo off-premise.

Per ulteriori informazioni sull'autenticazione con certificazione e sull'utilizzo della rete VPN, vedere Configurare il AnyConnect VPN telefono con autenticazione certificata su un ASA.

Con un approccio basato su password, o nome utente e password, a un utente vengono richieste le credenziali di accesso. Imposta le credenziali di accesso dell'utente in conformità alla sua politica di sicurezza aziendale. Può anche configurare l'impostazione Abilita la persistenza della password in modo che la password dell'utente venga salvata sul telefono. La password dell'utente viene salvata fino a quando non si verifica un tentativo di accesso fallito, un utente cancella la password manualmente o il telefono si ripristina o perde l'alimentazione.

Un altro strumento utile è l'impostazione Abilita Auto Network Detect. Quando abilita questa casella di controllo, il client VPN può essere eseguito solo quando rileva che si trova all'esterno della rete aziendale. Questa impostazione è disattivata per impostazione predefinita.

Il suo telefono Cisco supporta Cisco SVC iPhone Client v1.0 come tipo di client.

Per ulteriori informazioni su come configurare la VPN attivaUnified CM, consulti la Guida alla configurazione delle funzionalità per Cisco Unified Communications Manager.

La funzionalità Cisco VPN utilizza Secure Sockets Layer (SSL) per preservare la sicurezza della rete.