- Start
- /
- Artikel
Hartelijk dank voor uw feedback
In dit artikel
Feedback?Cisco neemt het vertrouwen weg in bepaalde basis-CA's die worden gebruikt om beveiligde SIP-verbindingen te valideren, na het beveiligingsincident met de eMudhra Certificate Authority (CA) van oktober 2026. De handhaving van de getroffen Webex Meetings SIP-integraties begint naar verwachting op 2 november 2026. De uitrol kan in fasen plaatsvinden. Ik ben van plan uw wijzigingen vóór 2 november te voltooien. Klanten van wie de certificaatketens afhankelijk zijn van de autoriteiten die het niet vertrouwen, moeten het betreffende certificaat of de desbetreffende keten vervangen. Anders zal de betreffende beveiligde SIP-verbinding niet slagen voor de TLS-authenticatie, wanneer het bijgewerkte vertrouwensbeleid voor die verbinding wordt gehandhaafd.
Wat kan worden beïnvloed
Integraties
-
Webex MeetingsEdge Audio: Het in- en uitbellen van vergaderingen via getroffen SIP-verbindingen van bedrijven werkt niet meer wanneer de handhaving die verbindingen bereikt.
-
Collaboration Meeting Rooms (CMR): verbindingen van videoapparaten op basis van SIP via de getroffen beveiligde SIP-verbindingen mislukken wanneer de handhaving die verbindingen bereikt.
-
De door de klant beheerde infrastructuur kan bestaan uit Cisco CUBE, Expressway-E en andere Session Border Controllers (SBC's). Bekijk zowel primaire als redundante systemen.
Deze wijzigingen zijn gericht op SIP-integraties waarbij gebruik wordt gemaakt van betrokken certificaatketens; andere toegangsmethoden voor vergaderingen zijn niet afhankelijk van hetzelfde door de klant beheerde SIP-certificaatpad.
Certificaatautoriteiten
Controleer of er certificaatketens zijn die afhankelijk zijn van een van de volgende autoriteiten:
-
eDesign Root TLS AC - 3G
-
eDesign ECC Root CA - 3G
-
eDesign Root CS CA - 3G
-
AAA-certificaatdiensten (hoofdnaam van Comodo AAA Services)
AAA Certificate Services is niet gecompromitteerd, maar het heeft gevolgen gehad voor eMudhra-tussenpersonen en is opgenomen in deze beveiligingsreactie. Sommige door Sectigo uitgegeven certificaten maken mogelijk gebruik van een door AAA ondertekend certificeringstraject, ook al zijn de certificaten van de klanten van Sectigo zelf niet in gevaar gebracht.
eMSign Root CA - G1 is niet opgenomen in deze wijziging van wantrouwen. Vervang of verwijder certificaten niet enkel omdat ze G1 gebruiken.
Controleer en vervang de betrokken certificaten of kettingen
| 1 |
Identificeer de CUBE, Expressway-E of SBC die wordt gebruikt voor de betreffende integratie van vergaderingen op basis van Edge Audio of SIP. Noteer de daadwerkelijke hostnaam en de geconfigureerde SIP TLS-poort. Inspecteer vervolgens het TLS-identiteitscertificaat dat op dat systeem is geïnstalleerd en eventuele bijbehorende tussentijdse CA-certificaten. Op Expressway-E kan het geïnstalleerde servercertificaat worden bekeken onder Servercertificaat. Gebruik voor CUBE en andere SBC's de toepasselijke inspectieprocedure voor leverancierscertificaten. Herhaal dit voor back-up- en redundante systemen. |
| 2 |
Voer vanaf een computer waarop OpenSSL is geïnstalleerd en netwerktoegang tot de SIP TLS-listener het relevante voorbeeld uit:
Vervang de voorbeeldhostnaam en -poort door uw werkelijke SIP TLS-eindpunt; de poort kan per implementatie verschillen. Als de toegang tot binnenkomende TLS beperkt is, voer de controle dan uit via een geautoriseerd beheersysteem. Op Expressway-E is voor de SIP TLS-poort die met Webex wordt gebruikt mogelijk een clientcertificaat vereist. De opdracht kan dan eindigen met een fout, maar de certificaatketen wordt nog steeds weergegeven. Controleer de gegevens in de certificaatketen, met inbegrip van het onderwerp (en) en de uitgever (i:). Zoek naar een van de vier betrokken CA-namen, waaronder een UserTrust RSA Certification Authority-certificaat, uitgegeven door AAA Certificate Services. Voorbeeld van een betrokken kruisgetekende kettinginvoer:
|
| 3 |
Interpreteer de bevindingen:
|
| 4 |
Neem contact op met uw certificaataanbieder of wederverkoper voor een vervangend certificaat of een alternatieve certificaatketen die eindigt op een basiscertificaat dat hierboven niet is vermeld. Vraag de provider om te bevestigen dat de vervangingsketen geschikt is voor de Webex SIP-integratie.
Inspecteer de geïnstalleerde ketting opnieuw om te controleren of deze niet langer afhankelijk is van de wantrouwende autoriteiten.
|
| 5 |
Valideer de connectiviteit van de vergadering:
Als de verbindingsproblemen met het certificaat of de SIP aanhouden, neem dan contact op met uw Cisco-partner of Cisco Technical Assistance Center (TAC). Geef uw Webex-organisatie-ID, de betrokken service, het betreffende systeem en de SIP-hostnaam, de certificaatketengegevens en eventuele TLS- of SIP-foutmeldingen op. Deel geen privésleutels. |
Gerelateerde informatie
Voor meer informatie, zie het volgende:
