セキュリティ機能は、電話機の ID やデータに対する脅威を含む脅威から保護します。これらの機能によって、電話機と Cisco Unified Communications Manager サーバ間で認証された通信ストリームが確立され、維持され、電話機がデジタル署名されたファイルのみを使用していることを確認します。

Cisco Unified Communications Manager リリース 8.5(1) 以降には、デフォルトでセキュリティが追加されています。これは、CTL クライアントを実行せずに Cisco IP Phone に次のセキュリティ機能を提供します。

• 電話構成ファイルの署名

• 電話機設定ファイルの暗号化

• Tomcat およびその他の Web サービスの HTTPS

Cisco Unified Communications Manager システムでセキュリティを実装することで、電話機と Cisco Unified Communications Manager サーバの ID 盗難を防ぎ、データの改ざんを防ぎ、コール シグナリングとメディア ストリームの改ざんを防ぎます。

これらの脅威を軽減するために、Cisco IP テレフォニー ネットワークは、電話機とサーバ間のセキュア（暗号化された）通信ストリームを確立して維持し、ファイルを電話機に転送する前にデジタル署名し、Cisco IP 電話間のメディア ストリームとコール シグナリングを暗号化します。

Certificate Authority Proxy Function（CAPF）に関連付けられた必要なタスクを実行すると、ローカルで有効な証明書（LSC）が電話機にインストールされます。『Cisco Unified Communications Manager Security Guide』の説明に従って、Cisco Unified Communications Manager の管理ページを使用して LSC を設定できます。または、電話機の [セキュリティ設定（Security settings）] メニューから LSC のインストールを開始できます。このメニューでは、LSC を更新または削除することもできます。

WLAN 認証を使用した EAP-TLS のユーザー証明書として LSC を使用することはできません。

電話機は、電話セキュリティ プロファイルを使用します。これは、デバイスが非セキュアであるかどうかを定義します。電話機にセキュリティ プロファイルを適用する方法については、該当する Cisco Unified Communications Manager リリースのマニュアルを参照してください。

[Cisco Unified Communications Manager の管理（Cisco Unified Communications Manager Administration）] でセキュリティ関連の設定値を設定すると、電話機設定ファイルには機密情報が含まれます。設定ファイルのプライバシーを確保するには、暗号化用に設定する必要があります。詳細については、ご使用の Cisco Unified Communications Manager リリースのマニュアルを参照してください。

電話機は、連邦情報処理標準（FIPS）に準拠しています。FIPS モードが正しく機能するには、2048 ビット以上のキー サイズが必要です。証明書が 2048 ビット未満の場合、電話機は Cisco Unified Communications Manager に登録されず、電話機を登録できませんでした。[証明書キー サイズは FIPS に準拠していません（Cert key size is not FIPS compliant）] が電話に表示されます。

電話機に LSC がある場合は、FIPS を有効にする前に、LSC キー サイズを 2048 ビット以上に更新する必要があります。

次の表に、電話機がサポートするセキュリティ機能の概要を示します。詳細については、ご使用の Cisco Unified Communications Manager リリースのマニュアルを参照してください。

セキュリティ モードを表示するには、[設定] を押し、[ネットワークとサービス] > [セキュリティ設定] に移動します。

次の表に、信頼リストの更新アラームメッセージと意味を示します。詳細については、Cisco Unified Communications Manager のマニュアルを参照してください。

[セキュリティのセットアップ（Security Setup）] メニューには、さまざまなセキュリティ設定に関する情報が表示されます。このメニューには、[信頼リスト（Trust List）] メニューへのアクセスも提供され、CTL ファイルまたは ITL ファイルが電話機にインストールされているかどうかを示します。

次の表に、[セキュリティのセットアップ（Security Setup）] メニューのオプションを示します。

Cisco IP 電話は 802.1X 認証をサポートしています。

Cisco IP 電話と Cisco Catalyst スイッチは、伝統的に Cisco Discovery Protocol（CDP）を使用して互いを識別し、VLAN 割り当てやインライン電源要件などのパラメータを決定します。CDP は、ローカルに接続されているワークステーションを特定しません。Cisco IP 電話は、EAPOL パススルー メカニズムを提供します。このメカニズムにより、Cisco IP 電話に接続されたワークステーションは、LAN スイッチの 802.1X オーセンティケータに EAPOL メッセージを渡すことができます。パススルー メカニズムにより、IP 電話がネットワークにアクセスする前にデータ エンドポイントを認証するための LAN スイッチとして機能しません。

Cisco IP 電話は、プロキシ EAPOL ログオフ メカニズムも提供します。ローカルに接続された PC が IP フォンから切断された場合、LAN スイッチと IP フォン間のリンクが維持されているため、LAN スイッチは物理的なリンクが失敗しません。ネットワークの整合性が損なわれないようにするため、IP 電話はダウンストリーム PC の代わりに EAPOL ログオフ メッセージをスイッチに送信します。これにより、LAN スイッチがダウンストリーム PC の認証エントリを消去します。

802.1X 認証のサポートには、いくつかのコンポーネントが必要です。

• Cisco IP 電話: 電話機は、ネットワークへのアクセス要求を開始します。Cisco IP 電話には、802.1X サプリカントが含まれています。このサプリカントを使用すると、ネットワーク管理者は IP 電話と LAN スイッチ ポートの接続を制御できます。電話機 802.1X サプリカントの現在のリリースでは、ネットワーク認証に EAP-FAST および EAP-TLS オプションを使用します。

• 認証サーバー: 認証サーバとスイッチの両方が電話機を認証する共有秘密で設定されている必要があります。

• スイッチ: スイッチは、オーセンティケータとして機能し、電話機と認証サーバの間でメッセージを渡すことができるように、802.1X をサポートしている必要があります。交換が完了すると、スイッチは電話機のネットワークへのアクセスを許可または拒否します。

802.1X を設定するには、次のアクションを実行する必要があります。

• 電話機で 802.1X 認証を有効にする前に、他のコンポーネントを設定します。

• PC ポートの設定: 802.1X 標準では VLAN は考慮しないため、特定のスイッチ ポートに対して 1 つのデバイスだけを認証することを推奨します。ただし、一部のスイッチはマルチドメイン認証をサポートしています。スイッチ設定は、PC を電話機の PC ポートに接続できるかどうかを決定します。

  • 有効済み: マルチドメイン認証をサポートするスイッチを使用している場合、PC ポートを有効にして PC を接続できます。この場合、Cisco IP 電話は、スイッチと接続された PC 間の認証交換を監視するプロキシ EAPOL-Logoff をサポートします。

    Cisco Catalyst スイッチでの IEEE 802.1X サポートの詳細については、次の場所にある Cisco Catalyst スイッチ設定ガイドを参照してください。

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • 無効済み: スイッチが同じポート上の複数の 802.1X 準拠デバイスをサポートしていない場合、802.1X 認証が有効になっているときに PC ポートを無効にする必要があります。このポートを無効にしてから PC を接続しようとすると、スイッチは電話機と PC の両方へのネットワーク アクセスを拒否します。

• 音声 VLAN の設定: 802.1X 標準では VLAN が考慮されていないため、この設定はスイッチ サポートに基づいて設定する必要があります。
  • 有効済み: マルチドメイン認証をサポートするスイッチを使用している場合は、音声の VLAN を引き続き使用できます。
  • 無効済み: スイッチがマルチドメイン認証をサポートしていない場合は、音声 VLAN を無効にし、ポートをネイティブ VLAN に割り当てることを検討してください。
• (Cisco Desk Phone 9800 シリーズのみ)

  Cisco Desk Phone 9800 シリーズには、他の Cisco 電話の PID と異なるプレフィックスがあります。電話機が 802.1X 認証をパスできるようにするには、Radius·User-Name パラメータを設定して、Cisco Desk Phone 9800 シリーズを含めます。

  たとえば、電話 9841 の PID は DP-9841 です。Radius·User-Name を DP で開始する または DP を含む に設定できます。次の両方のセクションで設定できます。

  • ポリシー > 条件 > ライブラリ条件

  • ポリシー > ポリシー設定 > 認証ポリシー > 認証ルール 1

電話機にセキュリティが実装されている場合、電話画面のアイコンによってセキュアな電話コールを識別できます。また、コールの開始時にセキュリティ トーンが再生される場合、接続されている電話機がセキュアで保護されているかどうかを判断することもできます。

セキュアなコールでは、すべてのコール シグナリングとメディア ストリームが暗号化されます。セキュアなコールは、高いレベルのセキュリティを提供し、コールに整合性とプライバシーを提供します。進行中の通話が暗号化されている場合、 回線上にセキュアなアイコンが表示されます。セキュアな電話の場合、電話メニュー ([設定] > [このデバイスについて]) で接続されたサーバの隣に、認証済みアイコン または暗号化されたアイコン を表示することもできます。

セキュア コールでは、コールの開始時にセキュリティ トーンが再生され、接続されている他の電話機もセキュア オーディオを受信および送信していることを示します。コールが非セキュアな電話機に接続されている場合、セキュリティ トーンは再生されません。

電話機が Cisco Unified Communications Manager でセキュア（暗号化および信頼性）として設定されている場合、保護された ステータスを与えることができます。その後、必要に応じて、保護された電話機を設定して、コールの開始時に通知トーンを再生できます。

• 保護されたデバイス: セキュアな電話機のステータスを保護に変更するには、Cisco Unified Communications Manager Administration (デバイス > 電話) の [電話の設定（Phone Configuration）] ウィンドウの [保護されたデバイス（Protected Device）] チェックボックスをオンにします。

• セキュア通知トーンを再生: 保護された電話機でセキュアまたは非セキュア通知トーンを再生できるようにするには、[セキュア通知トーンの再生(Play Secure Indication Tone)] の設定を [はい(True)] に設定します。デフォルトでは、[セキュア通知トーンの再生(Play Secure Indication Tone)] が [いいえ(False)] に設定されています。このオプションは、Cisco Unified Communications Manager Administration (システム > サービスパラメータ) で設定します。サーバを選択し、Unified Communications Manager サービスを選択します。[サービスパラメータ設定(Service Parameter Configuration)] ウィンドウで、[機能 - セキュア トーン(Feature - Secure Tone)] 領域でオプションを選択します。デフォルトは False です。

範囲内にあるすべての WLAN デバイスは、他の WLAN トラフィックをすべて受信できるため、WLAN では音声通信のセキュリティが重要です。侵入者が音声トラフィックを操作または傍受しないようにするために、Cisco SAFE Security アーキテクチャは電話機をサポートします。ネットワークのセキュリティの詳細については、次を参照してください。 http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Cisco ワイヤレス IP テレフォニー ソリューションは、電話機がサポートする次の認証方法を使用して、不正なサインインと通信を妨げるワイヤレス ネットワーク セキュリティを提供します。

• 認証を開く: 任意のワイヤレス デバイスは、オープン システムで認証を要求できます。リクエストを受信する AP は、任意のリクエスト者に認証を付与するか、またはユーザのリストで見つかったリクエスト者にのみ付与できます。ワイヤレス デバイスと Access Point (AP) 間の通信は暗号化されませんでした。

• 拡張認証プロトコル - セキュア トンネリング (EAP-FAST) 認証による柔軟な認証: このクライアント サーバ セキュリティ アーキテクチャは、AP と Identity Services Engine（ISE）などの RADIUS サーバ間のトランスポート レベル セキュリティ（TLS）トンネル内の EAP トランザクションを暗号化します。

  TLS トンネルは、クライアント（電話機）と RADIUS サーバ間の認証に、保護されたアクセス クレデンシャル（PAC）を使用します。サーバはクライアント（電話機）に Authority ID（AID）を送信し、その後適切な PAC を選択します。クライアント（電話機）は、PAC-Opaque を RADIUS サーバに返します。サーバはプライマリキーで PAC を復号します。両方のエンドポイントに PAC キーが含まれるようになり、TLS トンネルが作成されます。EAP-FAST は自動 PAC プロビジョニングをサポートしますが、RADIUS サーバで有効にする必要があります。

  ISE では、デフォルトで PAC は 1 週間で期限切れになります。電話機に期限切れの PAC がある場合、電話機が新しい PAC を取得する間、RADIUS サーバでの認証に時間がかかります。PAC プロビジョニングの遅延を回避するには、ISE サーバまたは RADIUS サーバで PAC 有効期限を 90 日以上に設定します。

• Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) 認証: EAP-TLS では、認証とネットワーク アクセスのためのクライアント証明書が必要です。ワイヤレス EAP-TLS の場合、クライアント証明書は MIC、LSC、またはユーザがインストールされた証明書になります。

• Protected Extensible Authentication Protocol (PEAP): クライアント（電話）と RADIUS サーバ間のシスコ独自のパスワードベースの相互認証スキーム。電話機は、ワイヤレス ネットワークでの認証に PEAP を使用できます。PEAP-MSCHAPV2 と PEAP-GTC の両方の認証方式がサポートされています。

• 事前共有キー (PSK): 電話機は ASCII 形式をサポートします。WPA/WPA2/SAE 事前共有キーを設定する場合は、次の形式を使用する必要があります。

  ASCII: 長さ 8 ～ 63 文字の ASCII 文字列 (0 ～ 9、小文字 A ～ Z、特殊文字)

  例: GREG123567@9ZX&W

次の認証スキームは、RADIUS サーバを使用して認証キーを管理します。

• wpa/wpa2/wpa3: RADIUS サーバ情報を使用して、認証に一意のキーを生成します。これらのキーは集中型の RADIUS サーバで生成されるため、WPA2/WPA3 は AP と電話機に保存されている WPA 事前共有キーよりも高いセキュリティを提供します。

• 高速セキュアローミング: RADIUS サーバとワイヤレス ドメイン サーバ（WDS）情報を使用して、キーを管理および認証します。WDS は、高速でセキュアな再認証のために、FT 対応クライアント デバイスのセキュリティ資格情報のキャッシュを作成します。Cisco Desk Phone 9861 および 9871 および Cisco Video Phone 8875 は、802.11r（FT）をサポートしています。高速セキュアローミングを可能にするために、空気と DS 上の両方がサポートされています。ただし、空気を介して 802.11r（FT）を使用することを強くお勧めします。

WPA/WPA2/WPA3 では、暗号化キーは電話機に入力されませんが、AP と電話機の間で自動的に生成されます。ただし、認証に使用される EAP ユーザ名とパスワードは、各電話機に入力する必要があります。

音声トラフィックがセキュアであることを保証するために、電話機は暗号化に対して TKIP および AES をサポートします。これらのメカニズムを暗号化に使用する場合、シグナリング SIP パケットと音声リアルタイム トランスポート プロトコル（RTP）パケットの両方が AP と電話機の間で暗号化されます。

ツキップ

WPA は、WEP 上でいくつかの改善がある TKIP 暗号化を使用します。TKIP は、パケットごとのキーの暗号化と、暗号化を強化するより長い初期化ベクトル（IV）を提供します。さらに、メッセージ整合性チェック（MIC）によって、暗号化されたパケットが変更されないことが保証されます。TKIP は、侵入者が WEP キーを解読するのに役立つ WEP の予測可能性を除去します。

エース

WPA2/WPA3 認証に使用される暗号化方式。この暗号化の国内標準では、暗号化と復号化に同じキーを持つ対称アルゴリズムを使用します。AES は 128 ビットサイズの暗号ブロックチェーン（CBC）暗号化を使用し、少なくとも 128 ビット、192 ビット、256 ビットのキーサイズをサポートします。電話機は 256 ビットのキー サイズをサポートします。

認証および暗号化方式は、ワイヤレス LAN 内でセットアップされます。VLAN はネットワークと AP で構成され、認証と暗号化の異なる組み合わせを指定します。SSID は VLAN と特定の認証および暗号化スキームに関連付けます。ワイヤレス クライアント デバイスを正常に認証するには、認証および暗号化方式で同じ SSID を AP と電話機で設定する必要があります。

一部の認証スキームには、特定の種類の暗号化が必要です。

次の表の認証スキームと暗号化スキームは、AP 設定に対応する電話機のネットワーク設定オプションを示しています。

Assured Services SIP（AS-SIP）は、Cisco IP 電話 およびサードパーティの電話機に高度なセキュアなコール フローを提供する機能とプロトコルのコレクションです。次の機能は総称して AS-SIP と呼ばれます。

• Multilevel Precedence and Preemption（MLPP）
• 差別化サービス コード ポイント（DSCP）
• Transport Layer Security (TLS) および Secure Real-time Transport Protocol (SRTP)
• インターネット プロトコル バージョン 6 (IPv6)

AS-SIP は、緊急時にコールを優先順位付けするために、MLPP (Multilevel Precedence and Preemption) と共に使用されることがよくあります。MLPP では、レベル 1（低）からレベル 5（高）まで、発信コールに優先レベルを割り当てます。コールを受信すると、通話の優先順位を示す優先レベル アイコンが電話機に表示されます。

AS-SIP を設定するには、Cisco Unified Communications Manager で次のタスクを実行します。

• ダイジェストユーザの設定:SIP 要求にダイジェスト認証を使用するエンド ユーザを設定します。
• [SIP 電話セキュア ポートの設定(Configure SIP Phone Secure Port)]:Cisco Unified Communications Manager はこのポートを使用して、TLS を介した SIP 回線登録の SIP 電話をリッスンします。
• サービスの再起動:セキュアポートを設定した後、Cisco Unified Communications Manager および Cisco CTL Provider サービスを再起動します。AS-SIP の SIP プロファイルの設定 AS-SIP エンドポイントおよび SIP トランクの SIP 設定を使用して SIP プロファイルを設定します。電話機固有のパラメータは、サードパーティ AS-SIP 電話機にダウンロードされません。これらは Cisco Unified Manager によってのみ使用されます。サードパーティの電話機は、同じ設定をローカルで設定する必要があります。
• AS-SIP の電話セキュリティ プロファイルの設定:電話セキュリティ プロファイルを使用して、TLS、SRTP、ダイジェスト認証などのセキュリティ設定を割り当てることができます。
• [AS-SIP エンドポイントの設定(AS-SIP Endpoint Configuration)]:AS-SIP サポートを使用して Cisco IP Phone またはサードパーティのエンドポイントを設定します。
• [デバイスとエンド ユーザの関連付け(Associate Device with End User)]:エンドポイントをユーザに関連付けます。
• AS-SIP の SIP トランク セキュリティ プロファイルの設定:SIP トランク セキュリティ プロファイルを使用して、TLS やダイジェスト認証などのセキュリティ機能を SIP トランクに割り当てることができます。
• AS-SIP の SIP トランクの設定:AS-SIP サポートを使用して SIP トランクを設定します。
• [AS-SIP 機能の設定(AS-SIP Feature Configuration)]:MLPP、TLS、V.150、IPv6 などの追加の AS-SIP 機能を設定します。

AS-SIP の設定の詳細については、『Cisco Unified Communications Manager の機能設定ガイド』の「AS-SIP エンドポイントの設定」の章を参照してください。

強制承認コード（FAC）またはクライアント識別コード（CMC）または両方が電話機に設定されている場合、ユーザは番号をダイヤルアウトするために必要なパスワードを入力する必要があります。

Cisco Unified Communications Manager で FAC および CMC をセットアップする方法の詳細については、「Cisco Unified Communications Manager の機能設定ガイド、リリース 12.5(1) 以降」の「クライアント識別コードと強制承認コード」の章を参照してください。