コメントありがとうございます。

セキュリティ機能は、電話の個人情報やデータに対する脅威を含む、あらゆる脅威から保護します。これらの機能は、電話機とCisco Unified Communications Managerサーバー間の認証済み通信ストリームを確立および維持し、電話機がデジタル署名されたファイルのみを使用することを保証します。

Cisco Unified Communications Manager リリース 8.5(1) 以降では、デフォルトでセキュリティ機能が搭載されており、CTL クライアントを実行せずに Cisco IP 電話に対して以下のセキュリティ機能を提供します。

• 電話構成ファイルの署名

• 電話設定ファイルの暗号化

• Tomcatやその他のWebサービスでのHTTPS接続

Cisco Unified Communications Managerシステムにセキュリティを実装することで、電話機やCisco Unified Communications Managerサーバーのなりすまし、データの改ざん、通話信号やメディアストリームの改ざんを防ぐことができます。

これらの脅威を軽減するために、Cisco IP電話ネットワークは、電話機とサーバー間の安全な（暗号化された）通信ストリームを確立および維持し、ファイルを電話機に転送する前にデジタル署名を行い、Cisco IP電話機間のメディアストリームと通話シグナリングを暗号化します。

ローカル証明書（LSC）は、認証局プロキシ機能（CAPF）に関連する必要なタスクを実行した後に、電話機にインストールされます。Cisco Unified Communications Manager セキュリティ ガイドに記載されているように、Cisco Unified Communications Manager 管理ツールを使用して LSC を設定できます。または、スマートフォンのセキュリティ設定メニューからLSCのインストールを開始することもできます。このメニューでは、LSCを更新または削除することもできます。

電話機は、端末が安全か非安全かを定義する電話セキュリティプロファイルを使用します。セキュリティプロファイルを電話機に適用する方法については、お使いのCisco Unified Communications Managerのリリース版に関するドキュメントを参照してください。

Cisco Unified Communications Manager Administrationでセキュリティ関連の設定を構成すると、電話機の設定ファイルに機密情報が含まれます。設定ファイルのプライバシーを確保するには、暗号化を設定する必要があります。詳細については、お使いのCisco Unified Communications Managerのリリース版のドキュメントを参照してください。

この電話機は、連邦情報処理標準（FIPS）に準拠しています。FIPSモードが正しく機能するためには、2048ビット以上の鍵サイズが必要です。証明書が2048ビット未満の場合、電話機はCisco Unified Communications Managerに登録されず、電話機に Phone failed to register. Cert key size is not FIPS compliant が表示されます。

電話機にLSCが搭載されている場合、FIPSを有効にする前にLSCキーのサイズを2048ビット以上に更新する必要があります。

以下の表は、これらのスマートフォンがサポートするセキュリティ機能の概要を示しています。詳細については、お使いのCisco Unified Communications Managerのリリース版のドキュメントを参照してください。

セキュリティモードを表示するには、 設定 を押して、 ネットワークとサービス に移動します。 > セキュリティ設定。

以下の表には、信頼リスト更新アラームメッセージとその意味が記載されています。詳細については、Cisco Unified Communications Managerのドキュメントを参照してください。

セキュリティ設定メニューには、さまざまなセキュリティ設定に関する情報が表示されます。このメニューからは、信頼リストメニューにもアクセスでき、CTLファイルまたはITLファイルが電話機にインストールされているかどうかも表示されます。

以下の表は、セキュリティ設定メニューのオプションについて説明しています。

Cisco IP電話は802.1X認証をサポートしています。

Cisco IP電話とCisco Catalystスイッチは、従来、Cisco Discovery Protocol（CDP）を使用して互いを識別し、VLAN割り当てやインライン電源要件などのパラメータを決定します。CDPはローカルに接続されたワークステーションを識別しません。Cisco IP電話は、EAPOLパススルー機構を提供します。この仕組みにより、Cisco IP電話に接続されたワークステーションは、EAPOLメッセージをLANスイッチの802.1X認証器に送信することができます。パススルー機構により、IP電話がLANスイッチとして機能して、ネットワークにアクセスする前にデータエンドポイントを認証することがなくなります。

Cisco IP電話は、プロキシEAPOLログオフメカニズムも提供します。ローカルに接続されたPCがIP電話との接続を切断しても、LANスイッチとIP電話間のリンクは維持されるため、LANスイッチは物理的なリンク障害を認識しません。ネットワークの整合性を損なわないようにするため、IP電話は下流のPCに代わってスイッチにEAPOL-Logoffメッセージを送信し、これによりLANスイッチは下流のPCの認証エントリをクリアします。

802.1X認証をサポートするには、いくつかのコンポーネントが必要です。

• シスコIP電話：電話機がネットワークへのアクセス要求を開始する。Cisco IP電話には802.1Xサプリカントが搭載されています。このサプリカントを使用すると、ネットワーク管理者はIP電話とLANスイッチポートの接続を制御できます。現行バージョンの電話機用802.1Xサプリカントは、ネットワーク認証にEAP-FASTおよびEAP-TLSオプションを使用します。

• 認証サーバー: 認証サーバーとスイッチの両方に、電話機を認証するための共有シークレットを設定する必要があります。

• スイッチ：スイッチは802.1Xをサポートしている必要があり、認証器として機能し、電話機と認証サーバー間でメッセージをやり取りできるようにする必要があります。交換が完了すると、スイッチは電話機のネットワークへのアクセスを許可または拒否します。

802.1Xを設定するには、以下の手順を実行する必要があります。

• 電話機で802.1X認証を有効にする前に、他のコンポーネントを設定してください。

• PCポートの設定：802.1X規格はVLANを考慮していないため、特定のスイッチポートに対して認証されるデバイスは1台のみにすることを推奨しています。ただし、一部のスイッチはマルチドメイン認証をサポートしています。スイッチの設定によって、PCを電話機のPCポートに接続できるかどうかが決まります。

  • 有効済み: マルチドメイン認証に対応したスイッチを使用している場合は、PCポートを有効にしてPCを接続できます。この場合、Cisco IP電話はプロキシEAPOL-Logoffをサポートしており、スイッチと接続されたPC間の認証通信を監視します。

    Cisco CatalystスイッチにおけるIEEE 802.1Xサポートの詳細については、Cisco Catalystスイッチの設定ガイドを参照してください。

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • 無効済み: スイッチが同じポート上で複数の802.1X準拠デバイスをサポートしていない場合、802.1X認証を有効にする際にはPCポートを無効にする必要があります。このポートを無効にせずにPCを接続しようとすると、スイッチは電話とPCの両方へのネットワークアクセスを拒否します。

• 音声VLANの設定：802.1X規格はVLANに対応していないため、この設定はスイッチのサポート状況に基づいて構成する必要があります。
  • 有効済み: マルチドメイン認証をサポートするスイッチを使用している場合は、音声VLANの使用を継続できます。
  • 無効済み: スイッチがマルチドメイン認証をサポートしていない場合は、音声VLANを無効にして、ポートをネイティブVLANに割り当てることを検討してください。
• （Cisco Desk Phone 9800シリーズ専用）

  Cisco Desk Phone 9800シリーズのPIDのプレフィックスは、他のCisco製電話機とは異なります。電話機が 802.1X 認証を通過するようにするには、 Radius·User-Name パラメーターに Cisco Desk Phone 9800 シリーズを含めるように設定します。

  例えば、電話機9841のPIDはDP-9841です 。Radius ·User-NameをStart with DP または Contains DPに設定できます。以下の2つのセクションで設定できます。

  • ポリシー > 条件 > 図書館利用条件

  • ポリシー > ポリシーセット > 承認ポリシー > 承認ルール 1

電話にセキュリティ機能が実装されている場合、電話画面上のアイコンで安全な通話を識別できます。通話開始時にセキュリティ音が鳴るかどうかで、接続されている電話が安全で保護されているかどうかも判断できます。

安全な通話では、すべての通話信号とメディアストリームが暗号化されます。セキュア通話は高いレベルのセキュリティを提供し、通話の完全性とプライバシーを確保します。通話が暗号化されている場合、回線上にセキュリティアイコン が表示されます。安全な電話の場合、電話メニュー（設定 ）で接続されているサーバーの横に認証アイコン または暗号化アイコン を表示することもできます。 > このデバイスについて)

セキュア通話では、通話開始時にセキュリティトーンが鳴り、接続されている相手の電話機もセキュアな音声を受信および送信していることを示します。通話がセキュリティ保護されていない電話機に接続された場合、セキュリティ音は鳴りません。

Cisco Unified Communications Managerで電話機がセキュア（暗号化され信頼されている）として構成されると、 保護 ステータスが付与されます。その後、必要に応じて、保護対象の電話機は通話開始時に通知音を鳴らすように設定できます。

• 保護対象デバイス: セキュア電話のステータスを保護済みに変更するには、Cisco Unified Communications Manager Administration (デバイス )の電話構成ウィンドウで [保護済みデバイス] チェックボックスをオンにします。 > 電話）。

• セキュリティ表示音を再生してください。保護対象の電話機でセキュアまたは非セキュアの表示音を鳴らすには、「セキュア表示音を鳴らす」設定を「True」に設定します。デフォルトでは、「セキュリティ表示音を再生する」は「False」に設定されています。このオプションは、Cisco Unified Communications Manager Administration (システム で設定します。 > サービスパラメータ) サーバーを選択し、次にUnified Communications Managerサービスを選択します。サービスパラメータ設定ウィンドウで、「機能 - セキュアトーン」領域のオプションを選択します。デフォルト値はFalseです。

通信範囲内にあるすべてのWLANデバイスは他のすべてのWLANトラフィックを受信できるため、WLANにおける音声通信のセキュリティ確保は非常に重要です。侵入者が音声トラフィックを操作したり傍受したりしないようにするため、Cisco SAFE Securityアーキテクチャは電話機をサポートしています。ネットワークのセキュリティに関する詳細については、以下を参照してください。 http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

CiscoのワイヤレスIP電話ソリューションは、電話機がサポートする以下の認証方法を使用することで、不正なサインインや通信の侵害を防ぐワイヤレスネットワークセキュリティを提供します。

• オープン認証: オープンシステムでは、あらゆる無線機器が認証を要求できる。リクエストを受信したアクセスポイントは、任意のリクエスト元に認証を許可することも、ユーザーリストに登録されているリクエスト元にのみ認証を許可することもできます。無線機器とアクセスポイント（AP）間の通信は暗号化されていない可能性がある。

• 拡張認証プロトコル - セキュアトンネリングによる柔軟な認証 (EAP-FAST) 認証: このクライアント/サーバー型セキュリティアーキテクチャでは、アクセスポイント（AP）と、アイデンティティサービスエンジン（ISE）などのRADIUSサーバー間のトランスポート層セキュリティ（TLS）トンネル内でEAPトランザクションを暗号化します。

  TLSトンネルは、クライアント（電話）とRADIUSサーバー間の認証に保護アクセス認証情報（PAC）を使用します。サーバーは認証局ID（AID）をクライアント（電話）に送信し、クライアントはそれに応じて適切なPACを選択します。クライアント（電話機）はRADIUSサーバーにPAC-Opaqueを返します。サーバーはプライマリキーを使用してPACを復号します。両方のエンドポイントにPACキーが格納され、TLSトンネルが作成されます。EAP-FASTはPACの自動プロビジョニングをサポートしていますが、RADIUSサーバーで有効にする必要があります。

  ISEでは、デフォルトではPACは1週間後に期限切れになります。電話機のPAC（パーソナルアクセスコントロール）の有効期限が切れている場合、電話機が新しいPACを取得するまで、RADIUSサーバーとの認証に時間がかかります。PACのプロビジョニング遅延を回避するには、ISEまたはRADIUSサーバーでPACの有効期限を90日以上に設定してください。

• 拡張認証プロトコル - トランスポート層セキュリティ (EAP-TLS) 認証: EAP-TLSでは、認証とネットワークアクセスにクライアント証明書が必要です。無線EAP-TLSの場合、クライアント証明書はMIC、LSC、またはユーザーがインストールした証明書のいずれかを使用できます。

• 保護拡張認証プロトコル (PEAP): クライアント（電話機）とRADIUSサーバー間の、シスコ独自のパスワードベースの相互認証方式。この電話機は、無線ネットワークとの認証にPEAPを使用できます。PEAP-MSCHAPV2とPEAP-GTCの両方の認証方式がサポートされています。

• 事前共有鍵 (PSK): この電話機はASCII形式に対応しています。設定時にはこの形式を使用する必要があります WPA/WPA2/SAE 事前共有キー：

  ASCII: 長さ8～63文字のASCII文字列（0～9、小文字と大文字のAZ、および特殊文字）

  例: GREG123567@9ZX & W

以下の認証方式は、RADIUSサーバーを使用して認証キーを管理します。

• WPA/WPA2/WPA3: RADIUSサーバーの情報を使用して、認証用の固有キーを生成します。これらのキーは中央RADIUSサーバーで生成されるため、 WPA2/WPA3 アクセスポイントと電話機に保存されるWPA事前共有キーよりも高いセキュリティを提供します。

• 高速で安全なローミング：RADIUSサーバーと無線ドメインサーバー（WDS）の情報を使用して、キーの管理と認証を行います。WDSは、FT対応クライアントデバイス向けにセキュリティ認証情報のキャッシュを作成し、高速かつ安全な再認証を実現します。Cisco Desk Phone 9861および9871、Cisco Video Phone 8875は802.11r（FT）をサポートしています。高速かつ安全なローミングを実現するため、無線とDS端末の両方での通信がサポートされています。しかし、802.11r（FT）無線方式の利用を強くお勧めします。

と WPA/WPA2/WPA3, 暗号化キーは電話機に入力する必要はなく、アクセスポイントと電話機の間で自動的に生成されます。しかし、認証に使用されるEAPのユーザー名とパスワードは、各電話機に入力する必要があります。

音声通信の安全性を確保するため、この電話機はTKIPとAESによる暗号化をサポートしています。これらのメカニズムが暗号化に使用される場合、シグナリングSIPパケットと音声リアルタイムトランスポートプロトコル（RTP）パケットの両方が、アクセスポイントと電話機の間で暗号化されます。

TKIP

WPAは、WEPに比べていくつかの改良が加えられたTKIP暗号化方式を採用しています。TKIPは、パケットごとの鍵暗号化と、暗号化を強化するより長い初期化ベクトル（IV）を提供します。さらに、メッセージ整合性チェック（MIC）により、暗号化されたパケットが改ざんされていないことが保証されます。TKIPは、侵入者がWEPキーを解読するのに役立つWEPの予測可能性を排除します。

AES

暗号化方式 WPA2/WPA3 認証。この国家標準の暗号化方式は、暗号化と復号に同じ鍵を使用する対称暗号方式を採用しています。AESは、128ビットサイズの暗号ブロッキングチェーン（CBC）暗号化方式を使用しており、最小で128ビット、192ビット、256ビットの鍵サイズをサポートしています。この電話機は256ビットの鍵サイズに対応しています。

無線LAN内では、認証および暗号化方式が設定されます。VLANはネットワークおよびアクセスポイント（AP）上で設定され、認証と暗号化のさまざまな組み合わせを指定します。SSIDは、VLANおよび特定の認証方式と暗号化方式に関連付けられます。無線クライアントデバイスが正常に認証されるためには、アクセスポイントと電話機の両方で、同じSSID、認証方式、暗号化方式を設定する必要があります。

認証方式によっては、特定の種類の暗号化が必要となる場合がある。

次の表に示す認証および暗号化方式は、AP構成に対応する電話機のネットワーク構成オプションを示しています。

Assured Services SIP（AS-SIP）は、Cisco IP電話およびサードパーティ製電話機向けに、非常に安全な通話フローを提供する機能とプロトコルの集合体です。以下の機能は総称してAS-SIPと呼ばれます。

• 多段階優先順位および優先権（MLPP）
• 差別化サービスコードポイント（DSCP）
• トランスポート層セキュリティ（TLS）とセキュアリアルタイムトランスポートプロトコル（SRTP）
• インターネットプロトコルバージョン6（IPv6）

AS-SIPは、緊急時に通話の優先順位付けを行うために、マルチレベル優先順位およびプリエンプション（MLPP）と組み合わせて使用されることが多い。MLPPでは、発信通話に優先度レベル（レベル1（低）からレベル5（高）まで）を割り当てることができます。電話がかかってくると、電話機に通話の優先順位を示すアイコンが表示されます。

AS-SIPを設定するには、Cisco Unified Communications Managerで以下の手順を実行してください。

• ダイジェスト認証ユーザーを設定する—エンドユーザーがSIPリクエストにダイジェスト認証を使用するように設定します。
• SIP電話のセキュアポートを設定する—Cisco Unified Communications Managerはこのポートを使用して、TLS経由でSIP回線登録を行うためにSIP電話をリッスンします。
• サービスの再起動—セキュアポートの設定後、Cisco Unified Communications ManagerおよびCisco CTL Providerサービスを再起動してください。AS-SIP の SIP プロファイルを構成します - AS-SIP エンドポイントと SIP トランクの SIP 設定を含む SIP プロファイルを構成します。電話機固有のパラメータは、サードパーティ製のAS-SIP電話機にはダウンロードされません。これらはCisco Unified Managerでのみ使用されます。サードパーティ製の電話機は、同じ設定をローカルで構成する必要があります。
• AS-SIP 用の電話セキュリティプロファイルを構成する—電話セキュリティプロファイルを使用すると、TLS、SRTP、ダイジェスト認証などのセキュリティ設定を割り当てることができます。
• AS-SIPエンドポイントの設定—Cisco IP電話またはAS-SIPをサポートするサードパーティ製エンドポイントを設定します。
• デバイスをエンドユーザーに関連付ける—エンドポイントをユーザーに関連付けます。
• AS-SIP の SIP トランク セキュリティ プロファイルを構成する—SIP トランク セキュリティ プロファイルを使用すると、TLS やダイジェスト認証などのセキュリティ機能を SIP トランクに割り当てることができます。
• AS-SIP 用の SIP トランクの設定 — AS-SIP をサポートする SIP トランクを設定します。
• AS-SIP機能の設定—MLPP、TLS、V.150、IPv6などの追加のAS-SIP機能を設定します。

AS-SIP の設定に関する詳細については、 Cisco Unified Communications Manager の機能設定ガイドの「AS-SIP エンドポイントの設定」の章を参照してください。

電話機に強制認証コード（FAC）または顧客案件コード（CMC）、あるいはその両方が設定されている場合、ユーザーは発信番号をダイヤルするために必要なパスワードを入力する必要があります。

Cisco Unified Communications Manager で FAC と CMC を設定する方法の詳細については、[] Cisco Unified Communications Manager リリース 12.5(1) 以降の機能構成ガイドの「クライアントマターコードと強制認証コード」の章を参照してください。

証明書認証と VPN ネットワークの操作に関する詳細については、 ASA で証明書認証を使用して AnyConnect VPN 電話を構成するを参照してください。

パスワード、またはユーザー名とパスワードを使用する方式では、ユーザーはサインインに必要な認証情報の入力を求められます。会社のセキュリティポリシーに従って、ユーザーのサインイン認証情報を設定してください。また、「パスワードの永続化を有効にする」設定を構成することで、ユーザーパスワードを電話機に保存することもできます。ユーザーパスワードは、ログイン試行が失敗するか、ユーザーが手動でパスワードを削除するか、または電話機がリセットされるか電源が切れるまで保存されます。

もう一つ便利なツールは、「ネットワークの自動検出を有効にする」設定です。このチェックボックスを有効にすると、VPNクライアントは社内ネットワーク外にあることを検出した場合にのみ実行されます。この設定は既定では無効になっています。

お使いのCisco電話機は、クライアントタイプとしてCisco SVC IPPhone Client v1.0をサポートしています。

Unified CM で VPN を構成する方法の詳細については、 Cisco Unified Communications Manager の機能構成ガイドを参照してください。

CiscoのVPN機能は、ネットワークセキュリティを維持するためにSSL（Secure Sockets Layer）を使用します。