Sicurezza Cisco Webex Teams

Webex Teams è un'applicazione sicura che garantisce connessioni sicure a Webex e BroadWorks. I dati archiviati nel cloud Webex ed esposti all'utente attraverso l'interfaccia teams, vengono crittografati sia in transito che inattivi.

Ulteriori dettagli sullo scambio dei dati sono disponibili nella sezione riferimento di questo documento.

Lettura aggiuntiva

• https://www.cisco.com/c/dam/en/us/td/docs/voice_ip_comm/cloudCollaboration/spark/esp/cisco-spark-security-white-paper.pdf

• https://trustportal.cisco.com/c/dam/r/ctp/docs/privacydatasheet/collaboration/cisco-broadcloud-uc-one-saas-privacy-data-sheet.pdf

• https://www.Cisco.com/c/en/us/Products/Security/General-Data-Protection-Regulation.html

• https://www.Cisco.com/c/en/us/about/Trust-Center/gdpr.html

• https://www.Cisco.com/c/en/us/Products/Security/comply-with-GDPR.html

• https://www.cisco.com/c/it_it/about/legal/privacy-full.htmlhttps://www.cisco.com/c/en/us/about/legal/privacy-full.html

Residenza dati organizzazione

I dati Webex Teams vengono memorizzati nel centro dati che corrisponde più strettamente alla regione. Vedere residenza dei dati in Cisco Webex teams.

Ruoli

Amministratore provider di servizi (utente): Per le attività di manutenzione quotidiane, è possibile gestire le parti locali (chiamate) della soluzione utilizzando i propri sistemi. È possibile gestire le Webex parti della soluzione attraverso Control Hub.

Team di Cisco Cloud Operations: Crea l'' organizzazione partner ' in Control Hub, se non esiste già, durante il proprio onboarding.

Dopo aver configurato l'account di Control Hub, è possibile configurare le interfacce Webex per i propri sistemi, creare "modelli cliente" per rappresentare le suite/pacchetti servite attraverso tali sistemi e il provisioning dei clienti/sottoscrittori.

Cosa c'è nel diagramma?

Client

• Webex Teams funge da applicazione principale in Webex per le offerte di BroadWorks. Teams è disponibile su piattaforme desktop, mobili e Web.

  Il client dispone di riunioni native di messaggistica, presenza e audio/video riunioni fornite da Cisco Webex Cloud. Il client teams utilizza l'infrastruttura BroadWorks per le chiamate SIP e PSTN.

• I telefoni Cisco IP e gli accessori correlati utilizzano anche l'infrastruttura BroadWorks per le chiamate SIP e PSTN. Ci aspettiamo di essere in grado di supportare telefoni di terze parti.

• Portale di attivazione utente per gli utenti che si attivano autonomamente per Cisco Webex, immissione e convalida e-mail.

• Control Hub è un'interfaccia Web per la gestione dell'organizzazione Webex e delle organizzazioni dei clienti. Qui è possibile configurare l'integrazione tra l'infrastruttura di BroadWorks e Cisco Webex. È possibile utilizzare questa opzione anche per gestire la configurazione e la fatturazione del client.

provider di servizi rete

La rete è rappresentata dal blocco verde a sinistra del diagramma. I componenti ospitati nella rete forniscono i seguenti servizi e interfacce ad altre parti della soluzione:

• XSP di fronte pubblico, per Webex per BroadWorks: Piattaforma servizi xcurati (la casella rappresenta una o più farm XSP, che può essere fronteggiato da bilanciamenti del carico)

  • Ospita l'interfaccia dei servizi Xcurati per gli altri sistemi BroadWorks, per i telefoni e i client Webex Teams per eseguire l'autenticazione, scaricare i file di configurazione della chiamata e effettuare/ricevere chiamate.

  • Pubblica la Rubrica per Webex Teams client.

• XSP rivolto a pubblico, in esecuzione NPS:

  • Server Push notifiche chiamate Organizzatore: Un server di notifica push su un XSP nel proprio ambiente. Si interfaccia tra il server applicazioni e il proxy NPS. Il proxy interagisce con i servizi di notifica di terze parti per eseguire il push delle notifiche di chiamata ai client Webex Teams su Apple iOS e dispositivi Google Android.

• Server applicazioni

  • Fornisce controllo chiamate e interfacce ad altri sistemi BroadWorks (generalmente)

    Utilizzato dall'amministratore partner per attivare gli utenti per Webex per BroadWorks

    Spinge profilo utente in BroadWorks

    Provisioning degli utenti in Webex, se si sceglie di fornire il flusso

• OSS/BSS: Le attività supportano i servizi SIP di sistema/business per l'amministrazione delle aziende BroadWorks.

Cloud Cisco Webex

Cisco Webex è rappresentato dal blocco blu nel diagramma. Cisco Webex microservizi supportano lo spettro completo delle funzionalità di collaborazione Cisco Webex.

• Cisco Common Identity (CI) è il servizio di identità all'interno di Cisco Webex.

• Webex per BroadWorks rappresenta il set di microservizi che supportano l'integrazione tra Cisco Webex e provider di servizi BroadWorks ospitati:

  • API di provisioning utente

  • Configurazione provider di servizi

  • Accesso utente con credenziali BroadWorks

• Casella di messaggistica Webex Teams per i microservizi correlati alla messaggistica.

• Webex Meetings casella che rappresenta i server di elaborazione multimediale e gli SBC per più riunioni video dei partecipanti (SIP & SRTP)

Servizi Web di terze parti

I componenti di terze parti sono rappresentati alla base del diagramma.

• APNS (Apple Push Notification Service) spinge le notifiche delle chiamate e dei messaggi a Webex Teams applicazioni sui dispositivi Apple.
• FCM (FireBase Cloud Messaging) spinge le notifiche delle chiamate e dei messaggi a Webex Teams applicazioni sui dispositivi Android.

Considerazioni sull'architettura XSP

Il ruolo dei server XSP con accesso pubblico in Webex per BroadWorks

Il XSP pubblico nell'ambiente offre le seguenti interfacce/Servizi a Cisco Webex e client:

• Interfacce azioni ed eventi xsi (interfaccia di servizi estesi) per il controllo delle chiamate sottoscrivente, directory di contatti e elenchi di chiamate e configurazione del servizio di telefonia per gli utenti finali.

• Interfaccia xsi, protetta da mTLS, per provisioning flowthrough; intendiamo sfasare questa cosa.

• Servizio DM (Device Management) per i client per recuperare i file di configurazione della chiamata.

• Servizio di autenticazione (AuthService), protetto da mTLS, che risponde alle richieste Webex di BroadWorks JWT (token Web JSON) per conto dell'utente.

È necessario fornire gli URL per queste interfacce quando si configurano Webex per BroadWorks (vedere Configurazione dei cluster BroadWorks in Control Hub). Per ciascun cluster, è possibile fornire solo un URL per ciascuna interfaccia. Se sono presenti più interfacce nell'infrastruttura BroadWorks, è possibile creare più cluster.

Architettura XSP consigliata

È richiesto l'uso di un XSP dedicato separato per ospitare l'applicazione NPS (server di push di notifica). Gli stessi criteri di rete possono essere utilizzati con la collaborazione UC-One SaaS o UC-One. Tuttavia, non è possibile ospitare altre applicazioni richieste per Webex per BroadWorks sullo stesso XSP che ospita l'applicazione NPS.

Se si sceglie di collocate Webex per le applicazioni BroadWorks su XSPs utilizzate per altri scopi, l'utente è in grado di monitorare l'utilizzo, gestire la complessità risultante e pianificare l'aumento della scala.

Si consiglia vivamente di utilizzare un'istanza XSP/farm dedicata per ospitare le applicazioni richieste per l'integrazione Webex. Ad esempio, se si sta offrendo SaaS UC-One, si consiglia di creare una nuova farm XSP per Webex per BroadWorks, in modo che i due servizi possano funzionare in modo indipendente durante la migrazione dei sottoscrittori.

Il Webex dedicato per BroadWorks XSP (s) deve ospitare le seguenti applicazioni:

• XSI-Actions (mTLS)
• XSI-Actions (non-mTLS)
• XSI-Events (non-mTLS)
• AuthService (mTLS)
• DMS (non-mTLS)

Il calcolatore di capacità (vedere lettura correlata) presuppone XSPs dedicati e potrebbe non essere accurato se lo si utilizza per i calcoli di collocazione.

A causa dell'attuale requisito di disporre di due interfacce XSI-actions, una delle quali deve essere garantita da mTLS, si consiglia una delle seguenti opzioni:

• One XSP con due interfacce: un'interfaccia mTLS per AuthService e l'interfaccia XSI-Actions e una interfacce non-mTLS per XSI-Actions.

  o

• Due XSPs, uno con interfaccia mTLS per AuthService e XSI-actions, e l'altro con un'interfaccia non-mTLS per XSI-Actions.

Poiché il servizio di autenticazione richiede un'interfaccia protetta da (autenticazione) TLS reciproca (mTLS), si consiglia una delle seguenti opzioni:

• One XSP con due interfacce: un'interfaccia mTLS per AuthService e una interfacce non-mTLS per altre applicazioni.

  o

• Due XSPs, uno con interfaccia mTLS per AuthService e l'altro con un'interfaccia non-mTLS per altre applicazioni.

Configurazione della sincronizzazione NTP su XSP

La sincronizzazione dell'ora è richiesta per tutti gli XSPs utilizzati con Webex.

È necessario installare il pacchetto NTP dopo aver installato il sistema operativo e prima di installare il software BroadWorks. È possibile configurare NTP durante l'installazione del software XSP. Per ulteriori dettagli, vedere la guida alla gestione del software di Broadworks .

Durante l'installazione interattiva del software XSP, è possibile configurare NTP. Procedere come segue:

1. Quando il programma di installazione richiede, configurare NTP?, immettere y.
2. Quando il programma di installazione richiede, questo server sta per essere un server NTP?, immettere n.
3. Quando il programma di installazione richiede, Qual è l'indirizzo NTP, il nome host o nome di dominio completo?, inserire l'indirizzo del server NTP o un servizio NTP pubblico, ad esempio, pool.NTP.org.

Se XSPs utilizza l'installazione invisibile all'utente (non interattiva), il file di configurazione del programma di installazione deve includere le seguenti chiavi = coppie di valori:

Ntp

NTP_SERVER =<NTP Server address, e.g., pool.ntp.org>

Requisiti di identità e sicurezza XSP

Sfondo

I protocolli e i cifrari delle connessioni TLS Cisco BroadWorks sono configurabili a diversi livelli di specificità. Questi spaziano dal più generale (provider SSL) alla più specifica (interfaccia individuale). Un'impostazione più specifica sostituisce sempre un'impostazione più generale. Le impostazioni SSL di livello inferiore vengono ereditate dai livelli ' superiori ', se non sono specificate.

Se le impostazioni predefinite non vengono modificate, tutti i livelli erediteranno le impostazioni predefinite del provider SSL (estensione JSSE Java Secure Sockets).

Elenco requisiti

• Il XSP deve autenticarsi ai client utilizzando un certificato firmato dalla CA in cui il nome comune o il nome alternativo del subject corrisponde alla parte del dominio dell'interfaccia XSI.

• Le interfacce xsi e CTI devono supportare il protocollo TLSv 1.2.

• Le interfacce xsi e CTI devono utilizzare una suite di crittografia che soddisfi i seguenti requisiti.

  • Il tasto effimero Diffie-Hellman (DHE) o le curve Elliche Diffie-Hellman Ephemeral (ECDHE)-scambio di chiavi

  • Crittografia AES (Advanced Encryption Standard) con una dimensione di blocco minima di 128 bit (ad esempio, AES-128 o AES-256)

  • Modalità crittografia GCM (Galois/Counter) o CBC (Cipher Block Chaining)

    • Se viene utilizzata una crittografia CBC, solo la famiglia SHA2 di funzioni hash è consentita per la derivazione della chiave (SHA256, SHA384, SHA512)

Ad esempio, i seguenti cifrari soddisfano i requisiti:

• ECDHE-ECDSA-AES256-GCM-SHA384

• ECDHE-RSA-AES256-GCM-SHA384

• DHE-RSA-AES256-GCM-SHA384

• DHE-PSK-AES256-CBC-SHA384

Cifrari TLS supportati per le interfacce CTI, AuthService e XSI

Questo elenco è soggetta a modifiche poiché i requisiti di sicurezza cloud si evolvono. Seguire l'attuale raccomandazione di sicurezza Cisco Cloud sulla selezione di crittografia, come descritto nell' elenco dei requisiti precedente in questo documento.

• ECDHE-ECDSA-AES256-GCM-SHA384

• ECDHE-RSA-AES256-GCM-SHA384

• DHE-RSA-AES256-GCM-SHA384

• ECDHE-ECDSA-CHACHA20-POLY1305

• ECDHE-RSA-CHACHA20-POLY1305

• DHE-RSA-CHACHA20-POLY1305

• ECDHE-ECDSA-AES128-GCM-SHA256

• ECDHE-RSA-AES128-GCM-SHA256

• DHE-RSA-AES128-GCM-SHA256

• ECDHE-ECDSA-AES256-SHA384

• ECDHE-RSA-AES256-SHA384

• DHE-RSA-AES256-SHA256

• ECDHE-ECDSA-AES128-SHA256

• ECDHE-RSA-AES128-SHA256

• DHE-RSA-AES128-SHA256

• ECDHE-ECDSA-AES256-SHA

• ECDHE-RSA-AES256-SHA

• DHE-RSA-AES256-SHA

• ECDHE-ECDSA-AES128-SHA

• ECDHE-RSA-AES128-SHA

• DHE-RSA-AES128-SHA

• RSA-PSK-AES256-GCM-SHA384

• DHE-PSK-AES256-GCM-SHA384

• RSA-PSK-CHACHA20-POLY1305

• DHE-PSK-CHACHA20-POLY1305

• ECDHE-PSK-CHACHA20-POLY1305

• AES256-GCM-SHA384

• PSK-AES256-GCM-SHA384

• PSK-CHACHA20-POLY1305

• RSA-PSK-AES128-GCM-SHA256

• DHE-PSK-AES128-GCM-SHA256

• AES128-GCM-SHA256

• PSK-AES128-GCM-SHA256

• AES256-SHA256

• AES128-SHA256

• ECDHE-PSK-AES256-CBC-SHA384

• ECDHE-PSK-AES256-CBC-SHA

• SRP-RSA-AES-256-CBC-SHA

• SRP-AES-256-CBC-SHA

• RSA-PSK-AES256-CBC-SHA384

• DHE-PSK-AES256-CBC-SHA384

• RSA-PSK-AES256-CBC-SHA

• DHE-PSK-AES256-CBC-SHA

• AES256-SHA

• PSK-AES256-CBC-SHA384

• PSK-AES256-CBC-SHA

• ECDHE-PSK-AES128-CBC-SHA256

• ECDHE-PSK-AES128-CBC-SHA

• SRP-RSA-AES-128-CBC-SHA

• SRP-AES-128-CBC-SHA

• RSA-PSK-AES128-CBC-SHA256

• DHE-PSK-AES128-CBC-SHA256

• RSA-PSK-AES128-CBC-SHA

• DHE-PSK-AES128-CBC-SHA

• AES128-SHA

• PSK-AES128-CBC-SHA256

• PSK-AES128-CBC-SHA

Parametri di scala eventi xsi

Potrebbe essere necessario aumentare la dimensione della coda xsi-Events e il numero di thread per gestire il volume di eventi richiesto dalla Webex per la soluzione BroadWorks. È possibile aumentare i parametri ai valori minimi mostrati, come segue (non diminuirli se sono al di sopra di questi valori minimi):

XSP_CLI/applicazioni/xsi-Events/bwintegration > eventqueuesize = 2000

XSP_CLI/applicazioni/xsi-Events/bwintegration > eventhandlerthreadcount = 50

Più XSPs

Elemento Edge di bilanciamento del carico

Se si dispone di un elemento di bilanciamento del carico sul bordo di rete, è necessario gestire in modo trasparente la distribuzione del traffico tra i server XSP multipli e la Webex per il cloud e i client BroadWorks. In questo caso, è necessario fornire l'URL del servizio di bilanciamento del carico al Webex per la configurazione di BroadWorks.

• È necessario configurare DNS in modo che i client possano trovare il servizio di bilanciamento del carico quando ci si connette all'interfaccia xsi (vedere configurazione DNS).

• Si consiglia di configurare l'elemento Edge in modalità proxy SSL inverso per garantire la crittografia dei dati Point to Point.

• I certificati di XSP01 e XSP02 devono essere entrambi in possesso del dominio XSP, ad esempio, your-xsp.example.com, nel nome alternativo dell'Subject. Devono avere i propri nomi di dominio privato, ad esempio, xsp01.example.com, nel nome comune. È possibile utilizzare certificati con caratteri jolly, ma non è consigliabile.

Server XSP con connessione a Internet

Se si espongono direttamente le interfacce xsi, è necessario utilizzare il DNS per distribuire il traffico ai più server XSP.

Note sull'architettura precedente:

• È necessario utilizzare record A/AAAA Round-Robin per indirizzare i diversi indirizzi IP XSP, poiché teams non può eseguire SRV ricerca. Per esempi, vedere Configurazione DNS .

• I certificati di XSP01 e XSP02 devono essere entrambi in possesso del dominio XSP, ad esempio, your-xsp.example.com, nel nome alternativo dell'Subject. Devono avere i propri nomi di dominio privato, ad esempio, xsp01.example.com, nel nome comune.

• È possibile utilizzare certificati con caratteri jolly, ma non è consigliabile.

Evita reindirizzamenti HTTP

In alcuni casi, il DNS è configurato per risolvere l'URL XSP con un servizio di bilanciamento del carico HTTP e il sistema di bilanciamento del carico è configurato per il reindirizzamento attraverso un proxy inverso per i server XSP. Si consiglia vivamente di non questa configurazione.

Questa configurazione presenta il potenziale per gli attacchi di avvelenamento da cache man-in-the-Middle e DNS e impediremo ai client di effettuare connessioni HTTP non protette in una release futura.

Se si dispone di questo tipo di configurazione per la ridondanza geografica, è necessario configurare BroadWorks per token di lunga duratae condividere le chiavi per la crittografia/decrittografia di tali token tra gli XSPs (questo è un requisito per Webex per Broadworks; vedere configurazione del servizio di autenticazione su XSPs). È quindi possibile configurare il DNS per la risoluzione dei record A/AAAA Round-Robin o di un servizio di bilanciamento del carico che può invertire il proxy a più XSPs.