Fysieke beveiliging

Het is belangrijk om fysieke beveiliging te bieden aan Equinix Meet-Me Room-locaties en Cisco Dedicated Instance Data Center-faciliteiten. Wanneer de fysieke beveiliging in gevaar is, kunnen eenvoudige aanvallen worden geïnitieerd, zoals een onderbreking van de service door de stroom naar de switches van een klant uit te schakelen. Met fysieke toegang kunnen aanvallers toegang krijgen tot serverapparaten, wachtwoorden opnieuw instellen en toegang krijgen tot switches. Fysieke toegang maakt ook geavanceerdere aanvallen mogelijk, zoals man-in-the-middle-aanvallen. Daarom is de tweede beveiligingslaag, de netwerkbeveiliging, van cruciaal belang.

Zelfversleutelende schijven worden gebruikt in datacenters met speciale instanties die UC-toepassingen hosten.

Raadpleeg de documentatie op de volgende locatie voor meer informatie over algemene beveiligingspraktijken: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Netwerkbeveiliging

Partners moeten ervoor zorgen dat alle netwerkelementen worden beveiligd in een Dedicated Instance-infrastructuur (die verbinding maakt via Equinix). Het is de verantwoordelijkheid van de partner om te zorgen voor de beste beveiligingspraktijken, zoals:

• Afzonderlijk VLAN voor spraak en data

• Schakel poortbeveiliging in om het aantal toegestane MAC-adressen per poort te beperken, tegen overstroming van de CAM-tabel

• IP Source Guard tegen vervalste IP-adressen

• Dynamic ARP Inspection (DAI) onderzoekt het protocol voor adresresolutie (ARP) en gratis ARP (GARP) op overtredingen (tegen ARP-spoofing)

• 802.1x beperkt de netwerktoegang om apparaten op toegewezen VLAN's te authenticeren (telefoons ondersteunen wel 802.1x)

• Configuratie van de servicekwaliteit (QoS) voor de juiste markering van spraakpakketten

• Configuraties van firewallpoorten om elk ander verkeer te blokkeren

Beveiliging van eindpunten

Cisco-eindpunten ondersteunen standaardbeveiligingsfuncties zoals ondertekende firmware, veilig opstarten (bepaalde modellen), door de fabrikant geïnstalleerd certificaat (MIC) en ondertekende configuratiebestanden, die een bepaald beveiligingsniveau bieden voor eindpunten.

Daarnaast kan een partner of klant extra beveiliging inschakelen, zoals:

• IP-telefoondiensten versleutelen (via HTTPS) voor diensten zoals Extension Mobility

• Lokaal belangrijke certificaten (LSC's) uitgeven via de proxyfunctie van de certificeringsinstantie (CAPF) of een openbare certificeringsinstantie (CA)

• Configuratiebestanden versleutelen

• Media en signalering versleutelen

• Schakel deze instellingen uit als ze niet worden gebruikt: PC-poort, PC Voice VLAN-toegang, gratis ARP, webtoegang, knop Instellingen, SSH, console

De implementatie van beveiligingsmechanismen in de Dedicated Instance voorkomt identiteitsdiefstal van de telefoons en de Unified CM server, datamanipulatie en manipulatie van gesprekssignalering en mediastreams.

Dedicated instance via het netwerk:

• Creëert en onderhoudt geverifieerde communicatiestromen

• Ondertekent bestanden digitaal voordat het bestand naar de telefoon wordt overgebracht

• Versleutelt mediastreams en gesprekssignalering tussen Cisco Unified IP-telefoons

Beveiliging biedt standaard de volgende automatische beveiligingsfuncties voor Cisco Unified IP-telefoons:

• Ondertekening van de telefoonconfiguratiebestanden

• Ondersteuning voor versleuteling van bestanden voor telefoonconfiguratie

• HTTPS met Tomcat en andere webservices (MIDLETS)

Voor Unified CM release 8.0 later worden deze beveiligingsfuncties standaard geleverd zonder dat de Certificate Trust List (CTL) -client wordt uitgevoerd.

Omdat er een groot aantal telefoons in een netwerk is en IP-telefoons beperkt geheugen hebben, Cisco Unified CM fungeert ze als een externe vertrouwenswinkel via de Trust Verification Service (TVS), zodat er niet op elke telefoon een trust store voor certificaten hoeft te worden geplaatst. De Cisco IP-telefoons nemen contact op met de TVS-server voor verificatie omdat ze een handtekening of certificaat niet kunnen verifiëren via CTL- of ITL-bestanden. Het hebben van een centrale trust store is eenvoudiger te beheren dan een trust store op elke Cisco Unified IP-telefoon.

Met TVS kunnen Cisco Unified IP-telefoons toepassingsservers, zoals EM-services, telefoonboek en MIDlet, verifiëren tijdens het instellen van HTTPS.

Het bestand Initial Trust List (ITL) wordt gebruikt voor de initiële beveiliging, zodat de eindpunten kunnen vertrouwen. Cisco Unified CM ITL heeft geen beveiligingsfuncties nodig die expliciet moeten worden ingeschakeld. Het ITL-bestand wordt automatisch aangemaakt wanneer het cluster wordt geïnstalleerd. De privésleutel van de Unified CM Trivial File Transfer Protocol (TFTP) -server wordt gebruikt om het ITL-bestand te ondertekenen.

Als het Cisco Unified CM cluster of de server in niet-beveiligde modus staat, wordt het ITL-bestand gedownload op elke ondersteunde Cisco IP-telefoon. Een partner kan de inhoud van een ITL-bestand bekijken met het CLI-commando, admin:show itl.

Cisco IP-telefoons hebben het ITL-bestand nodig om de volgende taken uit te voeren:

• Veilig communiceren met CAPF, een vereiste om de versleuteling van het configuratiebestand te ondersteunen

• De handtekening van het configuratiebestand verifiëren

• Authenticeer applicatieservers, zoals EM-services, telefoonboek en MIDlet tijdens het instellen van HTTPS met behulp van TVS

Apparaat-, bestands- en signaleringsverificatie is afhankelijk van het aanmaken van het Certificate Trust List (CTL) -bestand, dat wordt aangemaakt wanneer de partner of klant de Cisco Certificate Trust List Client installeert en configureert.

Het CTL-bestand bevat gegevens voor de volgende servers of beveiligingstokens:

• Beveiligingstoken voor systeembeheerder (SAST)

• Cisco CallManageren Cisco TFTP-services die op dezelfde server draaien

• Certificate AuthorityProxy-functie (CAPF)

• TFTP-server (s)

• ASA-firewall

Het CTL-bestand bevat een servercertificaat, openbare sleutel, serienummer, handtekening, naam van de uitgever, onderwerpnaam, serverfunctie, DNS-naam en IP-adres voor elke server.

Telefoonbeveiliging met CTL biedt de volgende functies:

• Authenticatie van gedownloade TFTP-bestanden (configuratie, landinstellingen, ringlijst, enzovoort) met behulp van een ondertekeningssleutel

• Versleuteling van TFTP-configuratiebestanden met behulp van een ondertekeningssleutel

• Gecodeerde oproepsignalering voor IP-telefoons

• Versleutelde gespreksaudio (media) voor IP-telefoons

Dedicated Instance biedt eindpuntregistratie en gespreksverwerking. De signalering tussen Cisco Unified CM en eindpunten is gebaseerd op het Secure Skinny Client Control Protocol (SCCP) of het Session Initiation Protocol (SIP) en kan worden versleuteld met behulp van Transport Layer Security (TLS). De media van/naar de eindpunten zijn gebaseerd op het Real-time Transport Protocol (RTP) en kunnen ook worden versleuteld met Secure RTP (SRTP).

Door de gemengde modus Unified CM in te schakelen, kan de signalering en het mediaverkeer van en naar de Cisco-eindpunten worden versleuteld.

Veilige UC-toepassingen

De gemengde modus is standaard ingeschakeld in Dedicated Instance.

Door de gemengde modus in Dedicated Instance in te schakelen, is het mogelijk om de signalering en het mediaverkeer van en naar de Cisco-eindpunten te versleutelen.

Vanaf Cisco Unified CM release 12.5 (1) werd een nieuwe optie toegevoegd om encryptie van signalering en media mogelijk te maken op basis van SIP OAuth in plaats van gemengde modus/CTL voor Jabber- en Webex-clients. Daarom kunnen in Unified CM release 12.5 (1) SIP OAuth en SRTP worden gebruikt om encryptie mogelijk te maken voor signalering en media voor Jabber- of Webex-clients. Het inschakelen van de gemengde modus blijft op dit moment vereist voor Cisco IP-telefoons en andere Cisco-eindpunten. Er is een plan om in een toekomstige release ondersteuning voor SIP OAuth toe te voegen aan 7800/8800 eindpunten.

Beveiliging van de communicatie tussen Cisco Unified CM en CUBE

Voor veilige communicatie tussen Cisco Unified CM en CUBE moeten partners/klanten een zelfondertekend certificaat of een door de CA ondertekend certificaat gebruiken.

Voor zelfondertekende certificaten:

1. CUBE en Cisco Unified CM genereer zelfondertekende certificaten

2. CUBE exporteert het certificaat naar Cisco Unified CM

3. Cisco Unified CMexporteert certificaat naar CUBE

Voor door de CA ondertekende certificaten:

1. De klant genereert een sleutelpaar en stuurt een Certificate Signing Request (CSR) naar de Certificate Authority (CA)

2. De CA ondertekent het met een privésleutel, waarmee een identiteitscertificaat wordt aangemaakt

3. De klant installeert de lijst met vertrouwde CA Root- en Intermediaire Certificaten en het Identiteitscertificaat

Samenvatting van het protocol

De volgende tabel toont de protocollen en bijbehorende services die in de Unified CM oplossing worden gebruikt.

Voor meer informatie over de MRA-configuratie, zie: sectie MRA-implementatiescenario's van de Mobile and Remote Access Through Cisco Expressway Deployment Guide.

Jabber en Webex beveiligen met SIP OAuth

Jabber- en Webex-clients worden geverifieerd via een OAuth-token in plaats van een lokaal significant certificaat (LSC), waarvoor geen certificeringsautoriteitsproxyfunctie (CAPF) vereist is (ook voor MRA). SIP OAuth met of zonder gemengde modus werd geïntroduceerd in Cisco Unified CM 12.5 (1) en later, Jabber 12.5 en hoger, en Expressway X12.5.

In Cisco Unified CM 12.5 en later hebben we een nieuwe optie in Phone Security Profile die versleuteling mogelijk maakt zonder LSC/CAPF, met behulp van een enkel Transport Layer Security (TLS) + OAuth-token in SIP REGISTER. Expressway-C-knooppunten gebruiken de Administrative XML Web Service (AXL) API om informatie te geven over de SN/SAN Cisco Unified CM in hun certificaat. Cisco Unified CMgebruikt deze informatie om het Exp-C-certificaat te valideren bij het tot stand brengen van een wederzijdse TLS-verbinding.

SIP OAuth maakt versleuteling van media en signalen mogelijk zonder een eindpuntcertificaat (LSC).

Cisco Jabbermaakt gebruik van tijdelijke poorten en beveiligde poorten 6971 en 6972 via een HTTPS-verbinding met de TFTP-server om de configuratiebestanden te downloaden. Poort 6970 is een niet-beveiligde poort om via HTTP te downloaden.

Meer informatie over de SIP OAuth-configuratie: SIP OAuth-modus.