コメントありがとうございます。

セキュリティ機能は、電話機の ID やデータへの脅威などの脅威を防止します。 セキュリティ機能は、電話機と Cisco Unified Communications Manager サーバ間に認証された通信ストリームを確立し、これを維持するとともに、電話機がデジタル署名されたファイルのみ使用することを確認します。

Cisco Unified Communications Manager リリース 8.5(1) 以降のはデフォルトでセキュリティ機能が搭載されており、CTL クライアントを実行しなくても、Cisco IP 電話 に次のセキュリティ機能が提供されます。

• 電話機の設定ファイルの署名

• 電話機の設定ファイルの暗号化

• HTTPS with Tomcat および他の Web サービスの利用

Cisco Unified Communications Manager システムにセキュリティを実装すると、電話機や Cisco Unified Communications Manager サーバの ID 盗用、データの改ざん、およびコール シグナリングとメディア ストリームの改ざんを防止できます。

これらの脅威を軽減するため、Cisco Unified IP テレフォニー ネットワークは、電話機とサーバの間にセキュアな（暗号化された）通信ストリームを確立し、維持します。ファイルはデジタル署名してから電話機に転送し、Cisco IP 電話 間では、メディア ストリームとコール シグナリングを暗号化します。

認証局プロキシ関数（CAPF）に関連付けられた必要なタスクの実行後、ローカルで有効な証明書（LSC）が電話機にインストールされます。 Cisco Unified Communications Manager Administration を使って LSC を設定することができ、 Cisco Unified Communications Manager セキュリティガイドで説明されています。 あるいは、電話の Security メニューから LSC のインストールを開始することもできます。 このメニューでは、LSC の更新および削除も実行できます。

電話機では電話セキュリティ プロファイルを使用します。この中では、デバイスがセキュリティ保護の対象になるかどうかを定義します。 電話へセキュリティ プロファイルを適用する方法の詳細は、該当する Cisco Unified Communications Manager リリースのマニュアルを参照してください。

Cisco Unified Communications Manager Administration でセキュリティ関連の設定を行うと、電話機の設定ファイルに重要な情報が保存されます。 設定ファイルのプライバシーを確保するには、そのファイルを暗号化用に設定する必要があります。 詳細については、該当する Cisco Unified Communications Manager リリースのマニュアルを参照してください。

次の表に、電話機でサポート対象セキュリティ機能の概要を示します。 詳細については、お使いの Cisco Unified Communications Manager リリースのマニュアルを参照してください。

次の表に、信頼リストの更新アラームのメッセージとその意味を示します。 詳細については、Cisco Unified Communications Manager のマニュアルを参照してください。

電話機にセキュリティを実装している場合は、電話スクリーンに表示されるアイコンによって、セキュアな電話コールや暗号化された電話コールを識別できます。 また、コールの開始時にセキュリティ トーンが再生される場合は、接続された電話機がセキュアであり保護されているかどうかも判断できます。

セキュアなコールでは、すべてのコール シグナリングとメディア ストリームが暗号化されます。 セキュアなコールは高度なレベルのセキュリティを提供し、コールに整合性とプライバシーを提供します。 通話が暗号化されている場合、セキュリティアイコンが表示されます。 回線が繋がっている。

Cisco Unified Communications Manager では、セキュア(暗号化され信頼されている)として設定された電話に保護ステータスを割り当てることができます。 一度保護されると、これらのデバイスは各通話の開始時にセキュリティトーンを再生するように設定できます。

• 保護デバイス:

  セキュアフォンのステータスを保護された端末に変更するには:

  1. Cisco Unified Communications Manager Administration で、 デバイス > 電話 を選択します。
  2. 設定する電話機を見つけます。
  3. 電話設定ウィンドウで Protected Device チェックボックスを選択してください。
  4. [保存（Save）]をクリックします。

• セキュアインジケーショントーンを再生する:

  保護された電話が安全または非安全な表示音を再生できるようにするには:

  1. Cisco Unified Communications Manager Administration で、 System > Service Parametersを選択します。
  2. サーバを選択し、次に Cisco CallManager service 。
  3. Clusterwide パラメータ(機能 - セキュアトーン) エリアで、 Play Tone をセキュア/非セキュア通話ステータスを示すように設定 設定を Trueに設定します。
  4. [保存（Save）]をクリックします。

通信圏内にあるすべての WLAN デバイスは他の WLAN トラフィックをすべて受信できるため、WLAN 内の音声通信の保護は重要です。 侵入者が音声トラフィックを操作したり傍受したりしないようにするため、Cisco SAFE Security アーキテクチャは電話機をサポートしています。 ネットワークにおけるセキュリティに関する詳細は http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.htmlを参照してください。

Cisco Wireless IP 電話ソリューションは、電話がサポートする以下の認証方法を用いて、不正サインインや通信の侵害を防ぐワイヤレスネットワークセキュリティを提供します。

• オープン認証：オープン システムでは、任意のワイヤレス デバイスが認証を要求できます。 要求を受けた AP は、任意のリクエスタまたはユーザのリスト上にあるリクエスタだけに認証を与える場合があります。 無線機器とアクセスポイント（AP）間の通信は暗号化されていない可能性がある。

• 拡張可能な認証プロトコル - セキュアトンネリングによる柔軟な認証 (EAP-FAST) 認証このクライアント/サーバセキュリティアーキテクチャは、アクセスポイントと、Identity Services Engine (ISE) などの RADIUS サーバ間のトランスポートレベルセキュリティ (TLS) トンネル内で EAP トランザクションを暗号化します。

  TLS トンネルでは、クライアント（電話機）と RADIUS サーバの間の認証に Protected Access Credential（PAC）が使用されます。 サーバは Authority ID（AID）をクライアント（電話機）に送信します。それを受けてクライアントは適切な PAC を選択します。 クライアント（電話機）は PAC-Opaque を RADIUS サーバに返します。 サーバは、プライマリキーで PAC を復号します。 これで両方のエンドポイントに同じ PAC キーが含まれ、TLS トンネルが構築されます。 EAP-FAST では、自動 PAC プロビジョニングがサポートされていますが、RADIUS サーバ上で有効にする必要があります。

  ISE では、デフォルトでは PAC は 1 週間後に期限切れになります。 電話機に期限切れの PAC が存在する場合、電話機が新しい PAC を取得するまでの間は、RADIUS サーバでの認証に比較的長い時間がかかります。 PAC のプロビジョニング遅延を回避するには、ISE または RADIUS サーバで PAC の有効期限を 90 日以上に設定してください。

• 拡張認証プロトコル - トランスポート層セキュリティ（EAP-TLS）認証：EAP-TLS では、認証とネットワークアクセスにクライアント証明書が必要です。 ワイヤレス EAP-TLS の場合、クライアント証明書は MIC, LSC, またはユーザがインストールした証明書になります。

• Protected Extensible Authentication Protocol（PEAP）：クライアント（電話機）と RADIUS サーバ間の、シスコ独自のパスワードベースの相互認証方式です。 電話機は、無線ネットワークとの認証に PEAP を使用できます。 PEAP-MSCHAPV2 と PEAP-GTC の両方の認証メカニズムがサポートされます。

• 事前共有キー(PSK):電話は ASCII および 16 進数(HEX)フォーマットをサポートしています。 WPA2/SAE 事前共有キーを設定する際は、これらのフォーマットを使用しなければなりません。

  ASCII:8〜63 文字(0-9、小文字 a-z、大文字 A-Z、特殊文字)を持つ ASCII 文字列。 例えば、 GREG123567@9ZX&W。

  HEX:長さ 64 桁(0-9、a-f、A-F)を持つ HEX 文字の文字列です。

次の認証方式では、RADIUS サーバを使用して認証キーを管理します。

• WPA2/WPA3: 一意の認証キーを生成するために RADIUS サーバの情報を使用します。 これらのキーは中央の RADIUS サーバで生成されるため、WPA2/WPA3 は、AP と電話に保存されている事前共有キーよりも高いセキュリティを提供します。

• 高速安全ローミング： RADIUS サーバとワイヤレス ドメイン サーバ（WDS）上の情報を使用してキーを管理および認証します。 WDS は、FT 対応クライアントデバイス向けにセキュリティ認証情報のキャッシュを作成し、高速かつ安全な再認証を実現します。

WPA2/WPA3 では、暗号化鍵は電話側に入力されるのではなく、AP と電話間で自動的に派生されます。 ただし認証で使用する EAP ユーザ名とパスワードは、各電話機に入力する必要があります。

無線リンク上の音声通信を保護するため、電話機は WPA2/WPA3 認証のための AES ベースの暗号化をサポートしています。 AES は NIST によって標準化された対称ブロック暗号です。 AES は固定された 128 ビットのブロックサイズを使用し、128 ビット、192 ビット、256 ビットの鍵サイズをサポートしています。 Wi-Fi ネットワークでは、AES は CCMP や GCMP などの暗号スイートで使用され、認証は設定された WLAN セキュリティモードに応じて PSK、SAE、または 802.1X/EAP によって別途提供されます。 対応する暗号スイートや鍵のサイズは、電話機のモデルや WLAN 構成によって異なります。

電話が AES 暗号化を使用すると、信号の SIP パケットと音声リアルタイムトランスポートプロトコル(RTP)パケットの両方が AP と電話間で暗号化されます。

認証方式と暗号化方式は、ワイヤレス LAN 内で設定されます。 VLAN は、ネットワーク内および AP 上で設定され、認証と暗号化の異なる組み合わせを指定します。 SSID は、VLAN と VLAN の特定の認証および暗号化方式に関連付けられます。 無線クライアントデバイスが正常に認証されるためには、アクセスポイントと電話機の両方で、同じ SSID、認証方式、暗号化方式を設定する必要があります。

一部の認証方式では、特定のタイプの暗号化が必要です。

以下の表の認証および暗号化方式は、Cisco Wireless Phone 9821 のネットワーク構成オプションを示しており、これは AP 設定に対応しています。

Cisco ワイヤレス電話 9821 は有線ネットワーク用の 802.1X 認証をサポートしています。 これは通常、対応する USB からイーサネットアダプターを介して電話をデスクトップ充電器に接続する 自動プロビジョ ニングの際に使われます。

有線ネットワークでの 802.1X 認証のサポートには、以下のいくつかのコンポーネントが必要です。

• Cisco IP 電話: 電話機は、ネットワークへのアクセス要求を開始します。 Cisco IP Phones には、802.1x サプリカントが含まれています。 このサプリカントを使用して、ネットワーク管理者は IP 電話と LAN スイッチ ポートの接続を制御できます。 電話機に含まれる 802.1X サプリカントの現在のリリースでは、ネットワーク認証に EAP-FAST オプションと EAP-TLS オプションが使用されています。

• 認証サーバ:認証サーバとスイッチの両方が RADIUS 共有シークレットで設定されている必要があります。

• スイッチ:スイッチは 802.1X をサポートしている必要があり、認証機能として機能し、電話と認証サーバ間で EAP メッセージを中継できます。 この交換が完了した後、スイッチはネットワークへの電話機のアクセスを許可または拒否します。

Cisco IP Phones と Cisco Catalyst スイッチは、従来 Cisco Discovery Protocol（CDP）を使用して互いを識別し、VLAN 割り当てやインライン所要電力などのパラメータを決定します。

802.1X を設定するには、次の手順を実行する必要があります。

• CDP/LLDP 音声 VLAN バイパスを設定してください。

• 電話の有線ネットワークで 802.1X 認証を有効にする前に、認証サーバとスイッチを設定してください。

• ボイス VLAN の設定：802.1X 標準では VLAN が考慮されないため、この設定をスイッチのサポートに基づいて行うようにしてください。

  • 有効:マルチドメイン認証をサポートするスイッチを使っている場合、音声 VLAN を使うように設定できます。
  • 無効：スイッチで複数ドメインの認証がサポートされていない場合は、ボイス VLAN を無効にし、ポートをネイティブ VLAN に割り当てることを検討してください。

• Cisco ワイヤレス電話 9821 は、他の Cisco 電話とは PID のプリフィックスが異なります。 802.1X 認証に通すには、 Radius·ユーザ名 パラメータには Cisco ワイヤレス電話 9821 を含めること。

  例えば、Cisco Wireless Phone 9821 の PID は WP-9821 です。 Radius·User-Name to 以下両方のセクションで WP または Contains WP で始めます:

  • ポリシー > 条件 > 図書館の利用条件

  • ポリシー > ポリシーセット > 承認ポリシー > 承認ルール 1