피드백을 보내 주셔서 감사합니다.

보안 기능은 휴대전화의 신원 및 데이터에 대한 위협을 포함한 다양한 위협으로부터 보호합니다. 이러한 기능은 전화기와 Cisco Unified Communications Manager 서버 간에 인증된 통신 스트림을 설정 및 유지하고 전화기가 디지털 서명된 파일만 사용하도록 보장합니다.

Cisco Unified Communications Manager 릴리스 8.5(1) 이상에는 기본적으로 보안 기능이 포함되어 있어 CTL 클라이언트를 실행하지 않고도 Cisco IP 전화기에 다음과 같은 보안 기능을 제공합니다.

• 전화 구성 파일 서명

• 휴대폰 설정 파일 암호화

• Tomcat 및 기타 웹 서비스에서 HTTPS 사용

Cisco Unified Communications Manager 시스템에 보안을 구현하면 전화기 및 Cisco Unified Communications Manager 서버의 신원 도용, 데이터 변조, 통화 신호 및 미디어 스트림 변조를 방지할 수 있습니다.

이러한 위협을 완화하기 위해 시스코 IP 전화 네트워크는 전화기와 서버 간에 안전한(암호화된) 통신 스트림을 설정 및 유지하고, 파일을 전화기로 전송하기 전에 디지털 서명하며, 시스코 IP 전화기 간의 미디어 스트림과 통화 신호를 암호화합니다.

로컬 중요 인증서(LSC)는 인증 기관 프록시 기능(CAPF)과 관련된 필수 작업을 수행한 후 휴대전화에 설치됩니다. Cisco Unified Communications Manager 보안 가이드에 설명된 대로 Cisco Unified Communications Manager 관리 기능을 사용하여 LSC를 구성할 수 있습니다. 또는 휴대폰의 보안 설정 메뉴에서 LSC 설치를 시작할 수도 있습니다. 이 메뉴를 통해 LSC를 업데이트하거나 삭제할 수도 있습니다.

휴대전화는 휴대전화 보안 프로필을 사용하는데, 이 프로필은 기기가 안전하지 않은지 또는 안전한지를 정의합니다. 전화기에 보안 프로필을 적용하는 방법에 대한 자세한 내용은 사용 중인 Cisco Unified Communications Manager 릴리스의 설명서를 참조하십시오.

Cisco Unified Communications Manager 관리에서 보안 관련 설정을 구성하는 경우, 전화 구성 파일에 민감한 정보가 포함될 수 있습니다. 설정 파일의 개인 정보 보호를 위해 암호화 설정을 해야 합니다. 자세한 내용은 사용 중인 Cisco Unified Communications Manager 릴리스의 설명서를 참조하십시오.

이 전화기는 연방 정보 처리 표준(FIPS)을 준수합니다. FIPS 모드가 올바르게 작동하려면 키 크기가 2048비트 이상이어야 합니다. 인증서 크기가 2048비트 미만인 경우 전화기가 Cisco Unified Communications Manager에 등록되지 않고 전화기에 Phone failed to register. Cert key size is not FIPS compliant 가 표시됩니다.

휴대폰에 LSC가 있는 경우 FIPS를 활성화하기 전에 LSC 키 크기를 2048비트 이상으로 업데이트해야 합니다.

다음 표는 휴대폰에서 지원하는 보안 기능에 대한 개요를 제공합니다. 자세한 내용은 사용 중인 Cisco Unified Communications Manager 릴리스의 설명서를 참조하십시오.

보안 모드를 보려면 설정 을 누르고 네트워크 및 서비스 로 이동하세요. > 보안 설정.

다음 표에는 신뢰 목록 업데이트 알림 메시지와 그 의미가 나와 있습니다. 자세한 내용은 Cisco Unified Communications Manager 설명서를 참조하십시오.

보안 설정 메뉴는 다양한 보안 설정에 대한 정보를 제공합니다. 이 메뉴는 또한 신뢰 목록 메뉴에 대한 접근을 제공하며, CTL 또는 ITL 파일이 휴대폰에 설치되어 있는지 여부를 표시합니다.

다음 표는 보안 설정 메뉴의 옵션을 설명합니다.

시스코 IP 전화기는 802.1X 인증을 지원합니다.

시스코 IP 전화기와 시스코 카탈리스트 스위치는 전통적으로 시스코 디스커버리 프로토콜(CDP)을 사용하여 서로를 식별하고 VLAN 할당 및 인라인 전원 요구 사항과 같은 매개변수를 확인합니다. CDP는 로컬에 연결된 워크스테이션을 식별하지 않습니다. 시스코 IP 전화기는 EAPOL 패스스루 메커니즘을 제공합니다. 이 메커니즘을 통해 Cisco IP Phone에 연결된 워크스테이션은 EAPOL 메시지를 LAN 스위치의 802.1X 인증기로 전달할 수 있습니다. 통과 메커니즘은 IP 전화기가 네트워크에 접속하기 전에 데이터 엔드포인트를 인증하기 위한 LAN 스위치 역할을 하지 않도록 보장합니다.

시스코 IP 전화기는 프록시 EAPOL 로그오프 메커니즘도 제공합니다. 로컬에 연결된 PC가 IP 전화기에서 연결이 끊어지더라도 LAN 스위치와 IP 전화기 간의 링크는 유지되므로 LAN 스위치는 물리적 링크 장애를 감지하지 못합니다. 네트워크 무결성을 손상시키지 않기 위해 IP 전화기는 하위 PC를 대신하여 스위치에 EAPOL-Logoff 메시지를 전송하고, 이에 따라 LAN 스위치는 하위 PC에 대한 인증 항목을 삭제합니다.

802.1X 인증을 지원하려면 다음과 같은 몇 가지 구성 요소가 필요합니다.

• 시스코 IP 전화: 휴대전화가 네트워크 접속 요청을 시작합니다. 시스코 IP 전화기에는 802.1X 서플리컨트가 포함되어 있습니다. 이 요청 기능을 통해 네트워크 관리자는 IP 전화기와 LAN 스위치 포트 간의 연결을 제어할 수 있습니다. 현재 버전의 휴대폰 802.1X 서플리컨트는 네트워크 인증을 위해 EAP-FAST 및 EAP-TLS 옵션을 사용합니다.

• 인증 서버: 인증 서버와 스위치는 모두 휴대폰을 인증하는 데 사용되는 공유 비밀 키로 구성되어 있어야 합니다.

• 스위치: 스위치는 802.1X를 지원해야 하며, 그래야 인증자 역할을 하여 휴대폰과 인증 서버 간에 메시지를 전달할 수 있습니다. 통신이 완료되면 스위치는 전화기의 네트워크 접속을 허용하거나 거부합니다.

802.1X를 구성하려면 다음 단계를 수행해야 합니다.

• 휴대폰에서 802.1X 인증을 활성화하기 전에 다른 구성 요소를 먼저 설정하십시오.

• PC 포트 구성: 802.1X 표준은 VLAN을 고려하지 않으므로 특정 스위치 포트에 대해 하나의 장치만 인증받도록 권장합니다. 하지만 일부 스위치는 다중 도메인 인증을 지원합니다. 스위치 구성에 따라 PC를 전화기의 PC 포트에 연결할 수 있는지 여부가 결정됩니다.

  • 활성화됨: 다중 도메인 인증을 지원하는 스위치를 사용하는 경우 PC 포트를 활성화하고 PC를 연결할 수 있습니다. 이 경우 시스코 IP 전화기는 스위치와 연결된 PC 간의 인증 교환을 모니터링하기 위해 프록시 EAPOL-Logoff를 지원합니다.

    Cisco Catalyst 스위치의 IEEE 802.1X 지원에 대한 자세한 내용은 다음 링크에서 Cisco Catalyst 스위치 구성 가이드를 참조하십시오.

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • 비활성화됨: 스위치가 동일 포트에서 여러 개의 802.1X 호환 장치를 지원하지 않는 경우, 802.1X 인증을 활성화할 때 PC 포트를 비활성화해야 합니다. 이 포트를 비활성화하지 않은 상태에서 PC를 연결하려고 하면 스위치가 전화기와 PC 모두의 네트워크 접속을 차단합니다.

• 음성 VLAN 구성: 802.1X 표준은 VLAN을 지원하지 않으므로 스위치의 VLAN 지원 여부에 따라 이 설정을 구성해야 합니다.
  • 활성화됨: 다중 도메인 인증을 지원하는 스위치를 사용 중인 경우 음성 VLAN을 계속 사용할 수 있습니다.
  • 비활성화됨: 스위치가 멀티도메인 인증을 지원하지 않는 경우, 음성 VLAN을 비활성화하고 해당 포트를 네이티브 VLAN에 할당하는 것을 고려하십시오.
• (시스코 데스크폰 9800 시리즈에만 해당)

  시스코 데스크폰 9800 시리즈는 다른 시스코 전화기와 달리 PID의 접두사가 다릅니다. 전화기가 802.1X 인증을 통과하도록 하려면 Radius·User-Name 매개변수에 Cisco Desk Phone 9800 시리즈를 포함시키십시오.

  예를 들어, 전화기 9841의 PID는 DP-9841입니다. Radius·User-Name 을 Start with DP 또는 Contains DP로 설정할 수 있습니다. 다음 두 섹션 모두에서 설정할 수 있습니다.

  • 정책 > 조건 > 도서관 이용 약관

  • 정책 > 정책 세트 > 권한 부여 정책 > 권한 부여 규칙 1

휴대전화에 보안 기능이 적용되면 휴대전화 화면의 아이콘을 통해 보안 통화를 확인할 수 있습니다. 통화 시작 시 보안음이 재생되는지 여부를 통해 연결된 전화기가 안전하고 보호되고 있는지 확인할 수 있습니다.

보안 통화에서는 모든 통화 신호와 미디어 스트림이 암호화됩니다. 보안 통화는 높은 수준의 보안을 제공하여 통화의 무결성과 개인 정보 보호를 보장합니다. 통화가 암호화되면 회선에 보안 아이콘 이 표시됩니다. 보안이 강화된 전화의 경우, 전화 메뉴(설정 ) 에서 연결된 서버 옆에 인증됨 아이콘 또는 암호화됨 아이콘 이 표시될 수도 있습니다. > 이 장치에 대하여).

보안 통화에서는 통화 시작 시 보안음이 재생되어 연결된 다른 전화기도 보안 오디오를 수신 및 전송하고 있음을 나타냅니다. 보안되지 않은 전화로 통화가 연결되면 보안음이 재생되지 않습니다.

Cisco Unified Communications Manager에서 전화기가 보안(암호화 및 신뢰)으로 구성되면 보호됨 상태를 부여할 수 있습니다. 그 후, 원하는 경우 보호된 전화기가 통화 시작 시 알림음을 재생하도록 설정할 수 있습니다.

• 보호된 장치: 보안 전화기의 상태를 보호됨으로 변경하려면 Cisco Unified Communications Manager 관리(장치 ) 의 전화 구성 창에서 보호됨 장치 확인란을 선택하십시오. > 핸드폰).

• 안전 확보 신호음 재생: 보호된 휴대전화에서 보안 또는 일반 알림음을 재생하려면 '보안 알림음 재생' 설정을 '참'으로 설정하십시오. 기본적으로 보안 표시음 재생은 비활성화되어 있습니다. 이 옵션은 Cisco Unified Communications Manager 관리(시스템 ) 에서 설정합니다. > 서비스 매개변수). 서버를 선택한 다음 통합 커뮤니케이션 관리자 서비스를 선택하십시오. 서비스 매개변수 구성 창에서 기능 - 보안 톤 영역의 옵션을 선택합니다. 기본값은 False입니다.

무선 LAN 범위 내의 모든 장치는 다른 모든 무선 LAN 트래픽을 수신할 수 있으므로 무선 LAN에서 음성 통신 보안은 매우 중요합니다. 침입자가 음성 트래픽을 조작하거나 가로채지 못하도록 Cisco SAFE 보안 아키텍처가 전화기를 지원합니다. 네트워크 보안에 대한 자세한 내용은 다음을 참조하세요. http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

시스코 무선 IP 전화 솔루션은 전화기가 지원하는 다음과 같은 인증 방법을 사용하여 무단 로그인 및 통신 침해를 방지하는 무선 네트워크 보안을 제공합니다.

• 인증 열기: 개방형 시스템에서는 모든 무선 장치가 인증을 요청할 수 있습니다. 요청을 수신하는 AP는 모든 요청자에게 인증을 부여하거나 사용자 목록에 있는 요청자에게만 인증을 부여할 수 있습니다. 무선 장치와 액세스 포인트(AP) 간의 통신은 암호화되지 않을 수 있습니다.

• 확장 가능 인증 프로토콜-보안 터널링을 통한 유연한 인증(EAP-FAST) 인증: 이 클라이언트-서버 보안 아키텍처는 AP와 RADIUS 서버(예: Identity Services Engine(ISE)) 간의 전송 계층 보안(TLS) 터널 내에서 EAP 트랜잭션을 암호화합니다.

  TLS 터널은 클라이언트(휴대폰)와 RADIUS 서버 간의 인증을 위해 PAC(Protected Access Credentials)를 사용합니다. 서버는 클라이언트(휴대폰)에 인증 ID(AID)를 전송하고, 클라이언트는 이에 따라 적절한 PAC를 선택합니다. 클라이언트(휴대폰)는 RADIUS 서버로 PAC-Opaque를 반환합니다. 서버는 기본 키를 사용하여 PAC를 복호화합니다. 이제 양쪽 엔드포인트 모두 PAC 키를 보유하게 되었으며 TLS 터널이 생성되었습니다. EAP-FAST는 자동 PAC 프로비저닝을 지원하지만, RADIUS 서버에서 해당 기능을 활성화해야 합니다.

  ISE에서 PAC는 기본적으로 1주일 후에 만료됩니다. 휴대전화의 PAC가 만료된 경우, 새 PAC를 발급받는 동안 RADIUS 서버와의 인증 시간이 더 오래 걸립니다. PAC 프로비저닝 지연을 방지하려면 ISE 또는 RADIUS 서버에서 PAC 만료 기간을 90일 이상으로 설정하십시오.

• 확장 가능한 인증 프로토콜-전송 계층 보안(EAP-TLS) 인증: EAP-TLS는 인증 및 네트워크 접근을 위해 클라이언트 인증서를 필요로 합니다. 무선 EAP-TLS의 경우 클라이언트 인증서는 MIC, LSC 또는 사용자가 설치한 인증서일 수 있습니다.

• PEAP(Protected Extendable Authentication Protocol): 클라이언트(휴대폰)와 RADIUS 서버 간에 사용되는 시스코 고유의 암호 기반 상호 인증 체계입니다. 휴대전화는 무선 네트워크와의 인증을 위해 PEAP를 사용할 수 있습니다. PEAP-MSCHAPV2 및 PEAP-GTC 인증 방식이 모두 지원됩니다.

• 사전 공유 키(PSK): 이 휴대폰은 ASCII 형식을 지원합니다. 설정할 때는 반드시 이 형식을 사용해야 합니다. WPA/WPA2/SAE 사전 공유 키:

  ASCII: 길이가 8~63자인 ASCII 문자열(0~9, 소문자 및 대문자 AZ, 특수 문자 포함)

  예: GREG123567@9ZX & W

다음 인증 방식은 RADIUS 서버를 사용하여 인증 키를 관리합니다.

• WPA/WPA2/WPA3: RADIUS 서버 정보를 사용하여 인증을 위한 고유 키를 생성합니다. 이러한 키는 중앙 집중식 RADIUS 서버에서 생성되기 때문에, WPA2/WPA3 AP와 휴대폰에 저장되는 WPA 사전 공유 키보다 더 높은 보안성을 제공합니다.

• 빠르고 안전한 로밍: RADIUS 서버와 무선 도메인 서버(WDS) 정보를 사용하여 키를 관리하고 인증합니다. WDS는 FT 지원 클라이언트 장치의 빠르고 안전한 재인증을 위해 보안 자격 증명 캐시를 생성합니다. Cisco 데스크폰 9861 및 9871과 Cisco 비디오폰 8875는 802.11r(FT)을 지원합니다. 빠르고 안전한 로밍을 위해 무선 및 DS를 통한 로밍이 모두 지원됩니다. 하지만 저희는 802.11r(FT) 무선 방식을 적극 권장합니다.

와 함께 WPA/WPA2/WPA3, 암호화 키는 휴대전화에 입력되는 것이 아니라 AP와 휴대전화 간에 자동으로 생성됩니다. 하지만 인증에 사용되는 EAP 사용자 이름과 비밀번호는 각 전화기에 입력해야 합니다.

음성 트래픽의 보안을 보장하기 위해 전화기는 TKIP 및 AES 암호화를 지원합니다. 이러한 메커니즘을 암호화에 사용하면 AP와 전화기 간에 신호 SIP 패킷과 음성 실시간 전송 프로토콜(RTP) 패킷 모두가 암호화됩니다.

티킵

WPA는 WEP에 비해 여러 가지 개선 사항이 있는 TKIP 암호화를 사용합니다. TKIP는 패킷별 키 암호화와 더 긴 초기화 벡터(IV)를 제공하여 암호화를 강화합니다. 또한 메시지 무결성 검사(MIC)를 통해 암호화된 패킷이 변조되지 않았는지 확인합니다. TKIP는 침입자가 WEP 키를 해독하는 데 도움이 되는 WEP의 예측 가능성을 제거합니다.

에이스

암호화 방법은 다음과 같은 용도로 사용됩니다. WPA2/WPA3 입증. 이 국가 표준 암호화 방식은 암호화와 복호화에 동일한 키를 사용하는 대칭 알고리즘을 사용합니다. AES는 128비트 크기의 암호 블록 체인(CBC) 암호화를 사용하며, 최소 128비트, 192비트, 256비트의 키 크기를 지원합니다. 이 전화기는 256비트 키 크기를 지원합니다.

무선 LAN 내에서 인증 및 암호화 체계가 설정됩니다. VLAN은 네트워크와 AP에 구성되며 다양한 인증 및 암호화 조합을 지정합니다. SSID는 VLAN 및 특정 인증 및 암호화 체계와 연결됩니다. 무선 클라이언트 장치가 성공적으로 인증하려면 AP와 휴대폰에 동일한 SSID와 인증 및 암호화 방식을 구성해야 합니다.

일부 인증 체계는 특정 유형의 암호화를 요구합니다.

다음 표의 인증 및 암호화 방식은 AP 구성에 해당하는 휴대폰의 네트워크 구성 옵션을 보여줍니다.

AS-SIP(Assured Services SIP)는 시스코 IP 전화 및 타사 전화에 대해 매우 안전한 통화 흐름을 제공하는 기능 및 프로토콜 모음입니다. 다음 기능들을 통칭하여 AS-SIP라고 합니다.

• 다단계 우선순위 및 선점(MLPP)
• 차별화된 서비스 코드 포인트(DSCP)
• 전송 계층 보안(TLS) 및 보안 실시간 전송 프로토콜(SRTP)
• 인터넷 프로토콜 버전 6(IPv6)

AS-SIP는 비상 상황 발생 시 통화 우선순위를 지정하기 위해 다단계 우선순위 및 선점(MLPP)과 함께 자주 사용됩니다. MLPP를 사용하면 발신 통화에 1단계(낮음)부터 5단계(높음)까지 우선순위 레벨을 지정할 수 있습니다. 전화가 걸려오면 통화 우선순위를 나타내는 아이콘이 전화기에 표시됩니다.

AS-SIP를 구성하려면 Cisco Unified Communications Manager에서 다음 작업을 완료하십시오.

• 다이제스트 사용자 구성—최종 사용자가 SIP 요청에 대해 다이제스트 인증을 사용하도록 구성합니다.
• SIP 전화 보안 포트 구성—Cisco Unified Communications Manager는 이 포트를 사용하여 TLS를 통해 SIP 회선 등록을 위해 SIP 전화의 신호를 수신합니다.
• 서비스 재시작—보안 포트를 구성한 후 Cisco Unified Communications Manager 및 Cisco CTL Provider 서비스를 재시작하십시오. AS-SIP용 SIP 프로필 구성 - AS-SIP 엔드포인트 및 SIP 트렁크에 대한 SIP 설정을 포함하는 SIP 프로필을 구성합니다. 전화기별 매개변수는 타사 AS-SIP 전화기로 다운로드되지 않습니다. 이 기능은 Cisco Unified Manager에서만 사용됩니다. 타사 휴대폰을 사용하는 경우 동일한 설정을 로컬에서 구성해야 합니다.
• AS-SIP용 전화 보안 프로필 구성 - 전화 보안 프로필을 사용하여 TLS, SRTP 및 다이제스트 인증과 같은 보안 설정을 지정할 수 있습니다.
• AS-SIP 엔드포인트 구성—AS-SIP를 지원하는 Cisco IP 전화 또는 타사 엔드포인트를 구성합니다.
• 기기와 최종 사용자 연결 - 엔드포인트를 사용자와 연결합니다.
• AS-SIP용 SIP 트렁크 보안 프로필 구성 - SIP 트렁크 보안 프로필을 사용하여 TLS 또는 다이제스트 인증과 같은 보안 기능을 SIP 트렁크에 할당할 수 있습니다.
• AS-SIP 지원 SIP 트렁크 구성 - AS-SIP를 지원하는 SIP 트렁크를 구성합니다.
• AS-SIP 기능 구성—MLPP, TLS, V.150 및 IPv6와 같은 추가 AS-SIP 기능을 구성합니다.

AS-SIP 구성에 대한 자세한 내용은 Cisco Unified Communications Manager용 기능 구성 가이드의 "AS-SIP 엔드포인트 구성" 장을 참조하십시오.

Cisco Unified Communications Manager에서 FAC 및 CMC를 설정하는 방법에 대한 자세한 내용은 [] Cisco Unified Communications Manager, 릴리스 12.5(1) 이상의 기능 구성 가이드의 "클라이언트 문제 코드 및 강제 권한 부여 코드" 장을 참조하세요.

인증서 인증 및 VPN 네트워크 작업에 대한 자세한 내용은 ASA에서 인증서 인증을 사용하여 AnyConnect VPN 전화 구성을 참조하세요.

비밀번호 또는 사용자 이름과 비밀번호를 사용하는 방식에서는 사용자가 로그인 자격 증명을 입력하라는 메시지가 표시됩니다. 회사 보안 정책에 따라 사용자 로그인 자격 증명을 설정하십시오. 또한 '암호 저장 활성화' 설정을 구성하여 사용자 암호가 휴대폰에 저장되도록 할 수 있습니다. 사용자 비밀번호는 로그인 시도 실패, 사용자가 직접 비밀번호를 삭제하거나 휴대전화가 재설정되거나 전원이 차단될 때까지 저장됩니다.

또 다른 유용한 기능은 '자동 네트워크 감지 활성화' 설정입니다. 이 확인란을 선택하면 VPN 클라이언트는 회사 네트워크 외부임을 감지했을 때만 실행될 수 있습니다. 이 설정은 기본값으로 비활성화되어 있습니다.

귀하의 시스코 전화기는 클라이언트 유형으로 Cisco SVC IPPhone Client v1.0을 지원합니다.

Unified CM에서 VPN을 구성하는 방법에 대한 자세한 내용은 Cisco Unified Communications Manager용 기능 구성 가이드를 참조하세요.

시스코 VPN 기능은 SSL(Secure Sockets Layer)을 사용하여 네트워크 보안을 유지합니다.