コメントありがとうございます。

セキュリティ機能は、 電話のIDやデータへの脅威を含む脅威から保護します。 これらの機能は、 Cisco Unified Communications Manager電話とサーバー間の認証された通信ストリームを確立して維持し、 電話がデジタル署名されたファイルのみを使用することを保証します。

Cisco Unified Communications Managerリリース 8.5 (1) 以降には、デフォルトでセキュリティが含まれています。 これにより、 CTLクライアントを実行しなくてもCisco IP Phoneに次のセキュリティ機能が提供されます。

• 電話設定ファイルの署名

• 電話設定ファイルの暗号化

• Tomcatやその他のウェブサービスでの HTTPS

Cisco Unified Communications Managerシステムにセキュリティを実装することで、 Cisco Unified Communications Manager電話やサーバーの個人情報の盗難、データの改ざんを防ぎ、 通話信号やメディアストリームの改ざんを防ぎます。

これらの脅威を軽減するために、Cisco IPテレフォニーネットワークは、電話とサーバー間の安全な （暗号化された）通信ストリームを確立して維持し、 電話に転送される前にファイルにデジタル署名し、Cisco IP電話間のメディアストリームとコールシグナリングを暗号化します。

ローカルで有効な証明書（LSC）は、Certificate Authorityプロキシ機能（CAPF） に関連する必要なタスクを実行した後に電話にインストールされます。 Cisco Unified Communications Managerセキュリティガイドで説明されているように、Cisco Unified Communications Manager Administrationを使用してLSCを設定できます。 または、電話機のセキュリティ設定メニューからLSCのインストールを開始することもできます。 このメニューでは、 LSCの更新や削除もできます。

電話は、 デバイスが非セキュアかセキュアかを定義する電話セキュリティプロファイルを使用します。 セキュリティプロファイルを電話に適用する方法については、 Cisco Unified Communications Manager特定のリリースのドキュメントを参照してください。

でセキュリティ関連の設定を行うとCisco Unified Communications Manager Administration、電話設定ファイルには機密情報が含まれます。 設定ファイルのプライバシーを確保するには、暗号化するように設定する必要があります。 詳細については、 Cisco Unified Communications Manager特定のリリースのドキュメントを参照してください。

電話は連邦情報処理標準（FIPS）に準拠しています。 FIPSモードが正しく機能するには、2048ビット以上のキーサイズが必要です。 証明書が2048ビット未満の場合、Cisco Unified Communications Manager電話はに登録されず、電話は登録できませんでした。証明書のキーサイズは、電話機のFIPSに準拠していません。

電話にLSCが搭載されている場合は、FIPSを有効にする前にLSCキーサイズを2048ビット以上に更新する必要があります。

次の表は、 電話がサポートするセキュリティ機能の概要を示しています。 詳細については、Cisco Unified Communications Manager特定のリリースのドキュメントを参照してください。

セキュリティモードを表示するには、設定を押して、ネットワークとサービス > セキュリティ設定に移動します。

次の表には、トラストリストの更新アラームメッセージと意味が含まれています。 詳細については、Cisco Unified Communications Manager ドキュメントを参照してください。

セキュリティ設定メニューには、さまざまなセキュリティ設定に関する情報が表示されます。 このメニューからは、Trust Listメニューにもアクセスでき、 CTLファイルとITLファイルのどちらが電話にインストールされているかがわかります。

次の表では、セキュリティ設定メニューのオプションについて説明しています。

シスコのIP電話は802.1X認証をサポートしています。

Cisco IP電話とCisco Catalystスイッチは従来、互いを識別し、VLAN割り当てやインライン電力要件などのパラメータを決定するためにCisco Discovery Protocol（CDP）を使用していました。 CDPはローカルに接続されたワークステーションを識別しません。 Cisco IP電話はEAPOLパススルーメカニズムを提供します。 このメカニズムにより、Cisco IP Phoneに接続されたワークステーションは、EAPOLメッセージをLANスイッチの802.1Xオーセンティケータに渡すことができます。 パススルーメカニズムは、IP電話がネットワークにアクセスする前にデータエンドポイントを認証するためのLANスイッチとして機能しないようにします。

Cisco IP電話には、プロキシEAPOLログオフメカニズムもあります。 ローカルに接続されたPCがIP電話から切断されても、LANスイッチとIP電話の間のリンクは維持されるため、LANスイッチは物理リンク障害を認識しません。 ネットワークの完全性が損なわれないように、IP電話はダウンストリームPCに代わってEAPOL-Logoffメッセージをスイッチに送信します。これにより、LANスイッチはダウンストリームPCの認証エントリをクリアします。

802.1X認証のサポートにはいくつかのコンポーネントが必要です。

• Cisco IP電話：電話はネットワークへのアクセスの要求を開始します。 シスコのIP電話には802.1Xサプリカントが含まれています。 このサプリカントにより、ネットワーク管理者はIP電話のLANスイッチポートへの接続を制御できます。 電話機の802.1Xサプリカントの現在のリリースでは、ネットワーク認証にEAP-FASTとEAP-TLSのオプションを使用しています。

• 認証サーバー：認証サーバーとスイッチの両方に、電話を認証する共有シークレットを設定する必要があります。

• スイッチ：スイッチは802.1Xをサポートしている必要があります。そうすれば、オーセンティケータとして機能し、電話と認証サーバーの間でメッセージを渡すことができます。 交換が完了すると、スイッチはネットワークへの電話アクセスを許可または拒否します。

802.1Xを設定するには 、次の操作を実行する必要があります。

• 電話で802.1X認証を有効にする前に、 他のコンポーネントを設定してください。

• PCポートの設定：802.1X規格はVLANを考慮していないため、特定のスイッチポートで認証されるのは1つのデバイスのみであることが推奨されています。 ただし、一部のスイッチはマルチドメイン認証をサポートしています。 スイッチの設定によって、PCを電話機のPCポートに接続できるかどうかが決まります。

  • 有効：マルチドメイン認証をサポートするスイッチを使用している場合は、PCポートを有効にしてPCを接続できます。 この場合、Cisco IP PhoneはプロキシEAPOL-Logoffをサポートして、スイッチと接続されているPC間の認証交換を監視します。

    Cisco Catalyst スイッチでの IEEE 802.1X サポートの詳細については、次の Cisco Catalyst スイッチの設定ガイドを参照してください。

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • 無効：スイッチが同じポート上の複数の802.1X対応デバイスをサポートしていない場合は、802.1X認証が有効になっているときにPCポートを無効にする必要があります。 このポートを無効にせずにPCを接続しようとすると、スイッチは電話とPCの両方へのネットワークアクセスを拒否します。

• 音声VLANの設定：802.1X標準ではVLANは考慮されていないので、スイッチのサポートに基づいてこの設定を行う必要があります。
  • 有効：マルチドメイン認証をサポートするスイッチを使用している場合は、引き続き音声VLANを使用できます。
  • 無効：スイッチがマルチドメイン認証をサポートしていない場合は、音声VLANを無効にして、ポートをネイティブVLANに割り当てることを検討してください。
• (シスコデスクフォン 9800シリーズのみ)

  シスコデスクフォン 9800シリーズのPIDのプレフィックスは、他のシスコ電話とは異なります。 電話機が802.1X認証を通過できるようにするには、Radius·User-NameパラメータにCiscoデスクフォン9800シリーズが含まれるように設定してください。

  たとえば、電話9841のPIDはDP-9841です。半径・ユーザー名をDPで始まる、またはDPを含むように設定できます。 次の両方のセクションで設定できます。

  • ポリシー > 条件 > 図書館利用規約

  • ポリシー > ポリシーセット > 承認ポリシー > 承認ルール1

電話にセキュリティが実装されている場合、 電話画面のアイコンで安全な通話であることがわかります。 通話の開始時にセキュリティトーンが鳴れば、 接続されている電話が安全で保護されているかどうかを判断することもできます。

安全な通話では、すべての通話信号とメディアストリームが暗号化されます。 安全な通話は高レベルのセキュリティを提供し、通話に完全性とプライバシーを提供します。 進行中の通話が暗号化されると、回線に安全なアイコンが表示されます。 安全な電話の場合は、電話メニュー（設定 > このデバイスについて）の接続サーバーの横に認証済みアイコンまたは暗号化されたアイコンを表示することもできます。

安全な通話では、通話の開始時にセキュリティトーンが鳴り、接続されている他の電話も安全な音声を送受信していることを示します。 通話がセキュリティで保護されていない電話につながると、セキュリティトーンは鳴りません。

電話が安全（暗号化され信頼されている）に設定されているとCisco Unified Communications Manager、保護された状態になります。 その後、必要に応じて、保護対象の電話が通話の開始時に通知音を鳴らすように設定できます。

• 保護対象デバイス：安全な電話の状態を保護済みに変更するには、電話の設定ウィンドウCisco Unified Communications Manager Administration（[デバイス] > [電話]）の [保護対象デバイス] チェックボックスをチェックしてください。

• 安全な通知音を再生：保護された電話で安全な通知音または非安全な通知音を再生できるようにするには、「安全な通知音を再生」の設定を「True」に設定します。 デフォルトでは、プレイ・セキュア・インディケーション・トーンはFalseに設定されています。 このオプションはCisco Unified Communications Manager Administration（システム > サービスパラメータ）で設定します。 サーバーを選択し、次にユニファイドコミュニケーションマネージャーサービスを選択します。 「サービスパラメータ設定」ウィンドウで、「機能-セキュアトーン」エリアのオプションを選択します。 デフォルトは False です。

範囲内にあるすべてのWLANデバイスは他のすべてのWLANトラフィックを受信できるため、WLANでは音声通信を保護することが重要です。 侵入者が音声トラフィックを操作したり傍受したりしないように、Cisco SAFEセキュリティアーキテクチャは電話をサポートしています。 ネットワークのセキュリティの詳細については、http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html を参照してください。

シスコワイヤレスIPテレフォニーソリューションは、電話がサポートする次の認証方法を使用して、不正なサインインや通信の侵害を防ぐワイヤレスネットワークセキュリティを提供します。

• オープン認証:どのワイヤレスデバイスでも、オープンシステムでの認証を要求できます。 リクエストを受信したAPは、任意の要求者に認証を与えることも、ユーザーのリストに記載されている要求者にのみ認証を与えることもできます。 ワイヤレスデバイスとアクセスポイント（AP）間の通信は暗号化されていない可能性があります。

• 拡張可能な認証プロトコル-セキュアトンネリング（EAP-FAST）認証による柔軟な認証：このクライアント/サーバーセキュリティアーキテクチャは、IDサービスエンジン（ISE）などのAPとRADIUSサーバー間のトランスポートレベルセキュリティ（TLS）トンネル内のEAPトランザクションを暗号化します。

  TLSトンネルは、クライアント（電話）とRADIUSサーバー間の認証に保護アクセス証明書（PAC）を使用します。 サーバーはオーソリティID（AID）をクライアント（電話）に送信し、クライアント（電話）は適切なPACを選択します。 クライアント（電話）は、PAC-OPEQUEをRADIUSサーバーに返します。 サーバーは主キーでPACを復号化します。 これで、両方のエンドポイントにPACキーが含まれ、TLSトンネルが作成されました。 EAP-FASTは自動PACプロビジョニングをサポートしていますが、RADIUSサーバーで有効にする必要があります。

  ISEでは、デフォルトで、PACは1週間で期限切れになります。 電話機のPACの有効期限が切れている場合、電話機が新しいPACを取得するまでの間、RADIUSサーバーでの認証に時間がかかります。 PACプロビジョニングの遅延を避けるには、ISEまたはRADIUSサーバーでPACの有効期限を90日以上に設定してください。

• 拡張認証プロトコル-トランスポート層セキュリティ（EAP-TLS）認証：EAP-TLSでは、認証とネットワークアクセスにクライアント証明書が必要です。 ワイヤレスEAP-TLSの場合、クライアント証明書はMIC、LSC、またはユーザーがインストールした証明書です。

• 保護された拡張認証プロトコル（PEAP）：クライアント（電話）とRADIUSサーバー間のシスコ独自のパスワードベースの相互認証方式。 電話はワイヤレスネットワークでの認証にPEAPを使用できます。 PEAP-MSCHAPV2とPEAP-GTCの両方の認証方法がサポートされています。

• 事前共有キー（PSK）：電話はASCII形式をサポートしています。 WPA/WPA2/SAE事前共有キーを設定するときは、次の形式を使用する必要があります。

  ASCII：長さ8～63文字のASCII文字列（0～9、小文字と大文字のA～Z、特殊文字）

  例:グレッグ123567 @9ZX &W

次の認証方式では、RADIUSサーバーを使用して認証キーを管理します。

• WPA/WPA2/WPA3：RADIUSサーバーの情報を使用して、認証用のユニークなキーを生成します。 これらのキーは集中型のRADIUSサーバーで生成されるため、WPA2/WPA3はAPと電話に保存されているWPA事前共有キーよりもセキュリティが高くなります。

• 高速で安全なローミング：RADIUSサーバーとワイヤレスドメインサーバー（WDS）の情報を使用して、キーを管理および認証します。 WDSは、FT対応のクライアントデバイスのセキュリティ認証情報のキャッシュを作成して、迅速かつ安全な再認証を行います。 シスコデスクフォン 9861と9871とシスコビデオフォン 8875は802.11r（FT）をサポートしています。 高速で安全なローミングを可能にするために、無線とDS経由の両方がサポートされています。 しかし、802.11r（FT）オーバーエア方式を利用することを強くお勧めします。

WPA/WPA2/WPA3では、暗号化キーは電話では入力されませんが、APと電話の間で自動的に生成されます。 ただし、認証に使用するEAPのユーザー名とパスワードは、各電話で入力する必要があります。

音声トラフィックの安全を確保するために、電話はTKIPとAESの暗号化をサポートしています。 これらのメカニズムを暗号化に使用すると、シグナリングSIPパケットと音声リアルタイム転送プロトコル（RTP）パケットの両方がAPと電話の間で暗号化されます。

TKIP

WPAはTKIP暗号化を使用しており、WEPに比べていくつか改善されています。 TKIPは、パケットごとのキー暗号化と、暗号化を強化するより長い初期化ベクトル（IV）を提供します。 さらに、メッセージ整合性チェック（MIC）は、暗号化されたパケットが変更されていないことを確認します。 TKIPは、侵入者がWEPキーを解読するのに役立つWEPの予測可能性を排除します。

AES

WPA2/WPA3認証に使用される暗号化方法です。 この暗号化に関する国家標準では、暗号化と復号化に同じ鍵を使用する対称アルゴリズムを使用しています。 AESは128ビットの暗号ブロックチェーン（CBC）暗号化を使用しており、最低でも128ビット、192ビット、256ビットのキーサイズをサポートしています。 電話は256ビットのキーサイズをサポートしています。

認証と暗号化の仕組みは、無線LAN内に設定されています。 VLANはネットワークとAPで設定され、認証と暗号化のさまざまな組み合わせを指定します。 SSIDはVLANと特定の認証および暗号化スキームに関連付けられます。 ワイヤレスクライアントデバイスを正常に認証するには、APと電話で同じSSIDを認証および暗号化スキームで設定する必要があります。

一部の認証方式では、特定の種類の暗号化が必要です。

次の表の認証および暗号化スキームは、AP構成に対応する電話のネットワーク構成オプションを示しています。

アシュアードサービスSIP（AS-SIP）は、Cisco IP電話やサードパーティ電話に非常に安全なコールフローを提供する機能とプロトコルの集まりです。 次の機能をまとめてAS-SIPと呼びます。

• マルチレベルの優先順位とプリエンプション（MLPP）
• ディファレンシエーテッドサービスコードポイント（DSCP）
• トランスポート層セキュリティ（TLS）とセキュアリアルタイムトランスポートプロトコル（SRTP）
• インターネットプロトコルバージョン6（IPv6）

AS-SIPは、緊急時に通話に優先順位を付けるために、マルチレベル優先プリエンプション（MLPP）と併用されることがよくあります。 MLPPでは、発信通話にレベル1（低）からレベル5（高）までの優先順位を割り当てます。 電話を受けると、通話の優先度を示す優先レベルのアイコンが電話に表示されます。

AS-SIPを設定するには、で次のタスクを実行してください。Cisco Unified Communications Manager

• ダイジェストユーザーを設定する — SIPリクエストにダイジェスト認証を使用するようにエンドユーザーを設定します。
• SIP電話セキュアポートの設定-Cisco Unified Communications Manager このポートを使用して、TLS経由でSIP回線登録のSIP電話をリッスンします。
• サービスの再起動：セキュアポートを設定したら、Cisco Unified Communications ManagerとCisco CTL Providerサービスを再起動します。 AS-SIP用のSIPプロファイルの設定-AS-SIPエンドポイントとSIPトランクのSIP設定を使用してSIPプロファイルを設定します。 電話固有のパラメータは、サードパーティのAS-SIP電話にはダウンロードされません。 これらはシスコユニファイドマネージャーでのみ使用されます。 サードパーティの電話は、ローカルで同じ設定を行う必要があります。
• AS-SIP用の電話セキュリティプロファイルの設定-電話セキュリティプロファイルを使用して、TLS、SRTP、ダイジェスト認証などのセキュリティ設定を割り当てることができます。
• AS-SIPエンドポイントの設定-Cisco IP PhoneまたはAS-SIPをサポートするサードパーティのエンドポイントを設定します。
• デバイスをエンドユーザーに関連付ける-エンドポイントをユーザーに関連付けます。
• AS-SIP用のSIPトランクセキュリティプロファイルの設定—SIPトランクのセキュリティプロファイルを使用して、TLSやダイジェスト認証などのセキュリティ機能をSIPトランクに割り当てることができます。
• AS-SIP用にSIPトランクを設定する—AS-SIPをサポートするSIPトランクを設定します。
• AS-SIP機能の設定-MLPP、TLS、V.150、IPv6などの追加のAS-SIP機能を設定します。

AS-SIPの設定の詳細については、の「機能設定ガイド」の「AS-SIPエンドポイントの設定」の章を参照してください。Cisco Unified Communications Manager

強制認証コード（FAC）またはクライアント識別コード（CMC）、あるいはその両方が電話に設定されている場合、ユーザーは番号をダイヤルする際に必要なパスワードを入力する必要があります。

でFACとCMCを設定する方法の詳細についてはCisco Unified Communications ManagerCisco Unified Communications Manager、リリース12.5 (1) 以降の機能設定ガイドの「クライアント識別コードと強制認証コード」の章を参照してください。

Cisco VPN機能は、ユーザーに安全で信頼できる方法で企業ネットワークに接続できるようにしながら、ネットワークのセキュリティを維持するのに役立ちます。 この機能は次の場合に使用してください。

• 電話は信頼できるネットワークの外にあります
• Cisco Unified Communications Manager電話機とが信頼できないネットワークを経由するネットワークトラフィック

VPNでは、クライアント認証には3つの一般的な方法があります。

• デジタル証明書です
• パスワード
• ユーザー名とパスワード

それぞれの方法には利点があります。 しかし、企業のセキュリティポリシーで許可されている場合は、証明書ベースのアプローチをお勧めします。証明書を使用すると、ユーザーの介入なしにシームレスにサインインできるからです。 LSC証明書とMIC証明書の両方がサポートされています。

VPN機能を設定するには、まずデバイスをオンプレミスでプロビジョニングしてから、デバイスをオフプレミスに展開できます。

証明書認証とVPNネットワークでの作業の詳細については、「AnyConnect VPNASAでの証明書認証付き電話の設定」を参照してください。

パスワード、またはユーザー名とパスワードによる方法では、ユーザーはサインイン資格情報の入力を求められます。 会社のセキュリティポリシーに従って、ユーザーのログイン認証情報を設定してください。 また、ユーザーパスワードが電話に保存されるように、「パスワード永続化を有効にする」設定を構成することもできます。 ユーザーパスワードは、ログインに失敗するか、ユーザーが手動でパスワードをクリアするか、電話機がリセットされるか電源が切れるまで保存されます。

もう1つの便利なツールは、自動ネットワーク検出を有効にする設定です。 このチェックボックスを有効にすると、VPNクライアントは、企業ネットワークの外部にあることを検出した場合にのみ実行できます。 この設定はデフォルトでは無効になっています。

お使いのシスコ電話は、クライアントタイプとしてCisco SVC IPphoneクライアントv1.0をサポートしています。

VPNの設定方法の詳細についてはUnified CM、の「機能設定ガイド」を参照してくださいCisco Unified Communications Manager。

Cisco VPN機能はセキュア・ソケット・レイヤー（SSL）を使用してネットワークのセキュリティを保護します。