Beveiligingsfuncties beschermen tegen bedreigingen, waaronder bedreigingen van de identiteit van de telefoon en gegevens. Met deze functies worden geverifieerde communicatiestromen tussen de telefoon en de Cisco Unified Communications Manager-server tot stand gebracht en onderhouden en zorgen dat de telefoon alleen digitaal ondertekende bestanden gebruikt.

Cisco Unified Communications Manager Release 8.5(1) en hoger bevat standaard beveiliging met de volgende beveiligingsfuncties voor Cisco IP-telefoons waarop de CTL-client niet wordt uitgevoerd:

• Ondertekening van de telefoonconfiguratiebestanden

• Codering telefoonconfiguratiebestand

• HTTPS met Tomcat en andere webservices

Door beveiliging te implementeren in het Cisco Unified Communications Manager-systeem voorkomt u identiteitsdiefstal van de telefoon en de Cisco Unified Communications Manager-server, en ongewenste bewerking van gegevens, gespreksignalen en mediastromen.

Om deze bedreigingen te voorkomen, brengt het Cisco IP-telefonienetwerk beveiligde (gecodeerde) communicatiestromen tot stand tussen een telefoon en de server, worden bestanden digitaal ondertekend voordat ze worden overgedragen naar een telefoon en worden mediastromen en gesprekssignalering tussen Cisco IP-telefoons gecodeerd.

Er wordt een LSC-certificaat (Locally Significant Certificate) op telefoons geïnstalleerd nadat u de vereiste taken hebt uitgevoerd die samenhangen met de CAPF (Certificate Authority Proxy Function). U kunt Cisco Unified Communications Manager Administration gebruiken om een LSC te configureren, zoals beschreven in de beveiligingshandleiding van Cisco Unified Communications Manager. U kunt ook de installatie van een LSC starten via het menu Beveiligingsinstellingen op de telefoon. Met dit menu kunt u ook een LSC bijwerken of verwijderen.

Een LSC kan niet worden gebruikt als het gebruikerscertificaat voor EAP-TLS met WLAN-verificatie.

De telefoons gebruiken het beveiligingsprofiel van de telefoon, dat bepaalt of het apparaat niet-veilig of veilig is. Voor informatie over het toepassen van het beveiligingsprofiel op de telefoon raadpleegt u de documentatie bij uw specifieke versie van Cisco Unified Communications Manager.

Als u de beveiligingsinstellingen in Cisco Unified Communications Manager Administration configureert, bevat het telefoonconfiguratiebestand gevoelige informatie. Om de privacy van een configuratiebestand te garanderen, moet u dit configureren voor codering. Voor gedetailleerde informatie raadpleegt u de documentatie bij uw specifieke versie van Cisco Unified Communications Manager.

De telefoon voldoet aan de Federal Information Processing Standard (FIPS). Om correct te kunnen werken, vereist de FIPS-modus een sleutelgrootte van 2048 bits of meer. Als het certificaat kleiner is dan 2048 bits, wordt de telefoon niet geregistreerd met Cisco Unified Communications Manager en Telefoon wordt niet geregistreerd. Certificaatsleutelgrootte is niet compatibel met FIPS op de telefoon.

Als de telefoon een LSC heeft, moet u de LSC-sleutelgrootte bijwerken naar 2048 bits of meer voordat u FIPS inschakelt.

In de volgende tabel ziet u een overzicht van de beveiligingsfuncties die door de telefoons worden ondersteund. Voor meer informatie raadpleegt u de documentatie bij uw specifieke versie van Cisco Unified Communications Manager.

Als u de beveiligingsmodus wilt weergeven, drukt u op Instellingen en navigeert u naar Netwerk en service > Beveiligingsinstellingen.

De volgende tabel bevat de waarschuwingsberichten voor het bijwerken van de vertrouwde lijst en de betekenis. Zie de documentatie bij Cisco Unified Communications Manager voor meer informatie.

Het menu Beveiligingsinstellingen bevat informatie over de verschillende beveiligingsinstellingen. Het menu biedt ook toegang tot het menu Vertrouwde lijst en geeft aan of het CTL- of ITL-bestand op de telefoon is geïnstalleerd.

In de volgende tabel worden de opties in het menu Beveiligingsinstellingen beschreven.

Cisco IP-telefoons ondersteunen 802.1X-verificatie.

Cisco IP-telefoons en Cisco Catalyst-switches gebruiken traditioneel Cisco Discovery Protocol (CDP) om elkaar te identificeren en parameters te bepalen zoals VLAN-toewijzing en inline voedingsvereisten. CDP identificeert geen lokaal aangesloten werkstations. Cisco IP-telefoons bieden een EAPOL-doorgeefmechanisme. Met dit mechanisme kan een werkstation dat is gekoppeld aan de Cisco IP-telefoon EAPOL-berichten doorgeven aan de 802.1X-authenticator op de LAN-switch. Het doorgeefmechanisme zorgt ervoor dat de IP-telefoon niet fungeert als de LAN-switch voor het verifiëren van een gegevenseindpunt voor toegang tot het netwerk.

Cisco IP-telefoons bieden ook een proxy EAPOL-uitlogmechanisme. Als de lokaal aangesloten pc de verbinding met de IP-telefoon verbreekt, ziet de LAN-switch niet dat de fysieke koppeling mislukt, omdat de koppeling tussen de LAN-switch en de IP-telefoon in stand blijft. Om te voorkomen dat de netwerkintegriteit in gevaar komt, verzendt de IP-telefoon een EAPOL-afmeldbericht naar de switch uit naam van de downstream-pc, waardoor de LAN-switch wordt geactiveerd om de verificatievermelding voor de downstream-pc te wissen.

Voor ondersteuning voor 802.1X-verificatie zijn verschillende componenten vereist:

• Cisco IP-telefoon: De telefoon initieert het verzoek voor toegang tot het netwerk. Cisco IP-telefoons bevatten een 802.1X-supplicant. Met deze supplicant kunnen netwerkbeheerders de verbinding regelen van IP-telefoons met de LAN-switchpoorten. De huidige versie van de 802.1X-supplicant voor de telefoon gebruikt de opties EAP-FAST en EAP-TLS voor netwerkverificatie.

• Verificatieserver: De verificatieserver en de switch moeten beide worden geconfigureerd met een gedeeld geheim waarmee de telefoon wordt geverifieerd.

• Schakelen: De switch moet 802.1X ondersteunen, zodat deze kan optreden als authenticator en de berichten tussen de telefoon en de verificatieserver kan doorgeven. Nadat de uitwisseling is voltooid, verleent of weigert de switch toegang tot het netwerk van de telefoon.

U moet de volgende acties uitvoeren om 802.1X te configureren.

• Configureer de andere componenten voordat u 802.1X-verificatie op de telefoon inschakelt.

• Pc-poort configureren: De 802.1X-standaard houdt geen rekening met VLAN's en beveelt aan om slechts één apparaat te verifiëren voor een specifieke switchpoort. Sommige switches ondersteunen echter verificatie voor meerdere domeinen. De switchconfiguratie bepaalt of u een pc kunt aansluiten op de pc-poort van de telefoon.

  • Ingeschakeld: Als u een switch gebruikt die multidomeinverificatie ondersteunt, kunt u de pc-poort inschakelen en een pc aansluiten. In dat geval ondersteunen Cisco IP-telefoons de proxy-EAPOL-uitlogfunctie om de verificatie-uitwisseling tussen de switch en de aangesloten pc te controleren.

    Voor meer informatie over IEEE 802.1X-ondersteuning op de Cisco Catalyst-switches raadpleegt u de handleidingen voor Cisco Catalyst-switchconfiguratie op:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Uitgeschakeld: Als de switch niet meerdere 802.1X-compatibele apparaten ondersteunt op dezelfde poort, moet u de pc-poort uitschakelen wanneer 802.1X-verificatie wordt ingeschakeld. Als u deze poort niet uitschakelt en er vervolgens een pc op aansluit, weigert de switch netwerktoegang voor zowel de telefoon als de pc.

• Spraak-VLAN configureren: Omdat de 802.1X-standaard geen rekening houdt met VLAN's, moet u deze instelling configureren op basis van de switchondersteuning.
  • Ingeschakeld: Als u een switch gebruikt die multidomeinverificatie ondersteunt, kunt u deze blijven gebruiken om het spraak-VLAN te gebruiken.
  • Uitgeschakeld: Als de switch geen multidomeinverificatie ondersteunt, schakelt u het spraak-VLAN uit en probeert u de poort toe te wijzen aan het systeemeigen VLAN.
• (Alleen voor Cisco Desk Phone 9800-serie)

  De Cisco bureautelefoon 9800-serie heeft een ander voorvoegsel in de PID dan dat voor de andere Cisco-telefoons. Als u wilt inschakelen dat uw telefoon 802.1X-verificatie doorgeeft, stelt u de parameter Radius·User-Name in om uw Cisco Desk Phone 9800-serie op te nemen.

  De PID van telefoon 9841 is bijvoorbeeld DP-9841. U kunt Radius·Gebruikersnaam instellen op Starten met DP of op Bevat DP. U kunt deze in beide volgende gedeelten instellen:

  • Beleid > Voorwaarden > Bibliotheekvoorwaarden

  • Beleid > Beleidssets > Autorisatiebeleid > Autorisatieregel 1

Wanneer beveiliging is geïmplementeerd voor een telefoon, kunt u veilige telefoongesprekken herkennen aan de pictogrammen op het telefoonscherm. U kunt ook bepalen of de verbonden telefoon veilig en beveiligd is als een beveiligingstoon wordt afgespeeld aan het begin van het gesprek.

In een beveiligd gesprek worden alle gesprekssignalering en mediastromen gecodeerd. Een beveiligd gesprek biedt een hoog beveiligingsniveau, met integriteit en privacy voor het gesprek. Wanneer een actief gesprek wordt gecodeerd, ziet u het veilige pictogram op de lijn. Voor een beveiligde telefoon kunt u ook het geverifieerde pictogram of het gecodeerde pictogram weergeven naast de verbonden server in het telefoonmenu (Instellingen > Over dit apparaat).

In een beveiligd gesprek wordt aan het begin van het gesprek een beveiligingstoon afgespeeld om aan te geven dat de andere verbonden telefoon beveiligde audio ontvangt en verzendt. Als uw gesprek tot stand komt met een onbeveiligde telefoon, wordt de beveiligingstoon niet afgespeeld.

Wanneer een telefoon is geconfigureerd als beveiligd (gecodeerd en vertrouwd) in Cisco Unified Communications Manager, kan deze een beschermde status krijgen. Daarna kan de beveiligde telefoon indien gewenst worden geconfigureerd om een indicatietoon af te spelen aan het begin van een gesprek:

• Beveiligd apparaat: Als u de status van een beveiligde telefoon wilt wijzigen in beveiligd, schakelt u het selectievakje Beveiligd apparaat in in het telefoonconfiguratievenster in Cisco Unified Communications Manager Administration (Apparaat > Telefoon).

• Beveiligde indicatietoon afspelen: Als u wilt inschakelen dat de beveiligde telefoon een veilige of onveilige indicatietoon afspeelt, stelt u de instelling Beveiligde indicatietoon afspelen in op Waar. Standaard is Beveiligde indicatietoon afspelen ingesteld op Onwaar. U stelt deze optie in Cisco Unified Communications Manager Administration (Systeem > Serviceparameters). Selecteer de server en vervolgens de Unified Communications Manager-service. Selecteer in het venster Serviceparameterconfiguratie de optie in het gedeelte Functie - Beveiligde toon. De standaardinstelling is onwaar.

Omdat alle WLAN-apparaten die binnen het bereik zijn al het andere WLAN-verkeer kunnen ontvangen, is beveiligde spraakcommunicatie van cruciaal belang in WLAN's. Om ervoor te zorgen dat indringers het spraakverkeer niet manipuleren of onderscheppen, ondersteunt de Cisco SAFE Security-architectuur de telefoon. Zie voor meer informatie over beveiliging in netwerken http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

De Cisco draadloze IP-telefonieoplossing biedt draadloze netwerkbeveiliging die ongeautoriseerde aanmeldingen en verstoorde communicatie voorkomt door de volgende verificatiemethoden te gebruiken die door de telefoon worden ondersteund:

• Open verificatie: Elk draadloos apparaat kan verificatie aanvragen in een open systeem. Het toegangspunt dat het verzoek ontvangt, verleent verificatie aan een aanvrager of alleen aan aanvragers in een lijst met gebruikers. De communicatie tussen het draadloze apparaat en het toegangspunt (AP) kan niet-gecodeerd zijn.

• Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling (EAP-FAST): Deze client-server beveiligingsarchitectuur codeert EAP-transacties binnen een TLS-tunnel (Transport Level Security) tussen het AP en de RADIUS-server, zoals Identity Services Engine (ISE).

  De TLS-tunnel gebruikt PAC (Protected Access Credentials) voor verificatie tussen de client (telefoon) en de RADIUS-server. De server verzendt een Authority ID (AID) naar de client (telefoon), die op zijn beurt de juiste PAC selecteert. De client (telefoon) retourneert een PAC-Opaque naar de RADIUS-server. De server decodeert de PAC met de primaire sleutel. Beide eindpunten bevatten nu de PAC-sleutel en er wordt een TLS-tunnel gemaakt. EAP-FAST ondersteunt automatische PAC-inrichting, maar u moet dit inschakelen op de RADIUS-server.

  In ISE verloopt de PAC standaard over één week. Als de telefoon een verlopen PAC heeft, duurt verificatie met de RADIUS-server langer terwijl de telefoon een nieuwe PAC krijgt. Als u vertragingen in de PAC-levering wilt voorkomen, stelt u de PAC-vervalperiode in op 90 dagen of langer op de ISE- of RADIUS-server.

• EAP-TLS-verificatie (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS vereist een clientcertificaat voor verificatie en netwerktoegang. Voor draadloze EAP-TLS kan het clientcertificaat een MIC-, LSC- of door de gebruiker geïnstalleerd certificaat zijn.

• Protected Extensible Authentication Protocol (PEAP): Cisco's eigen op wachtwoorden gebaseerde wederzijdse verificatieschema tussen de client (telefoon) en een RADIUS-server. De telefoon kan PEAP gebruiken voor verificatie met het draadloze netwerk. Zowel de PEAP-MSCHAPV2- als PEAP-GTC-verificatiemethoden worden ondersteund.

• Vooraf gedeelde sleutel (PSK): De telefoon ondersteunt de ASCII-indeling. U moet deze indeling gebruiken wanneer u een vooraf gedeelde WPA/WPA2/SAE-sleutel instelt:

  ASCII: een reeks ASCII-tekens met een lengte van 8 tot 63 tekens (0-9, kleine letters en hoofdletters A-Z en speciale tekens)

  Bijvoorbeeld: GREG123567@9ZX&W

De volgende verificatieschema's gebruiken de RADIUS-server om verificatiesleutels te beheren:

• wpa/wpa2/wpa3: Gebruikt RADIUS-serverinformatie om unieke sleutels voor verificatie te genereren. Omdat deze sleutels op de centrale RADIUS-server zijn gegenereerd, biedt WPA2/WPA3 meer beveiliging dan vooraf gedeelde WPA-sleutels die zijn opgeslagen op het toegangspunt en de telefoon.

• Snelle beveiligde roaming: Gebruikt de RADIUS-server en de gegevens van een draadloze domeinserver (WDS) voor het beheren en verifiëren van sleutels. De WDS maakt een cache met beveiligingsgegevens voor clientapparaten met FT-ondersteuning voor snelle en veilige verificatie. Cisco bureautelefoon 9861 en 9871 en Cisco videotelefoon 8875 ondersteunen 802.11r (FT). Zowel over the air als over de DS worden ondersteund voor snelle beveiligde roaming. Maar we raden u sterk aan de 802.11r (FT)-methode te gebruiken.

Met WPA/WPA2/WPA3 worden coderingssleutels niet ingevoerd op de telefoon, maar automatisch afgeleid tussen het toegangspunt en de telefoon. Maar de EAP-gebruikersnaam en het wachtwoord die worden gebruikt voor de verificatie, moeten op elke telefoon worden ingevoerd.

Om ervoor te zorgen dat spraakverkeer veilig is, ondersteunt de telefoon TKIP en AES voor codering. Als deze mechanismen voor codering worden gebruikt, worden zowel de SIP-signaleringspakketten als Real-Time Transport Protocol (RTP) spraakpakketten gecodeerd tussen het toegangspunt en de telefoon.

tkip

WPA maakt gebruik van TKIP-codering die verschillende verbeteringen heeft ten opzichte van WEP. TKIP biedt sleutelcodering per pakket en langere initialisatievectoren (IV's) die de codering versterken. Bovendien zorgt een MIC (Message Integrity Check) ervoor dat gecodeerde pakketten niet worden gewijzigd. TKIP verwijdert de voorspelbaarheid van WEP die indringers helpt de WEP-sleutel te ontcijferen.

aes

Een coderingsmethode die wordt gebruikt voor WPA2/WPA3-verificatie. Deze nationale standaard voor codering gebruikt een symmetrisch algoritme dat dezelfde sleutel voor codering en decodering heeft. AES gebruikt CBC-codering (Cipher Blocking Chain) van 128 bits groot, die minimaal de sleutelgrootten 128 bits, 192 bits en 256 bits ondersteunt. De telefoon ondersteunt een sleutelgrootte van 256 bits.

Verificatie- en coderingschema's worden ingesteld binnen het draadloze LAN. VLAN's zijn geconfigureerd in het netwerk en op de toegangspunten en geven verschillende verificatie- en coderingscombinaties op. Een SSID wordt gekoppeld aan een VLAN en het specifieke verificatie- en coderingsschema. Voor een geslaagde verificatie van draadloze clientapparaten moet u dezelfde SSID's configureren met de verificatie- en coderingschema's op de toegangspunten en op de telefoon.

Sommige verificatieschema's vereisen specifieke coderingstypen.

De verificatie- en coderingschema's in de volgende tabel geven de netwerkconfiguratieopties weer voor de telefoon die overeenkomt met de toegangspuntconfiguratie.

Assured Services SIP(AS-SIP) is een verzameling van functies en protocollen die een zeer veilige gespreksstroom bieden voor Cisco IP-telefoons en telefoons van derden. De volgende functies worden gezamenlijk AS-SIP genoemd:

• Multilevel Precedence and Preemption (MLPP)
• Differentiated Services Code Point (DSCP)
• Transport Layer Security (TLS) en Secure Real-time Transport Protocol (SRTP)
• Internet Protocol versie 6 (IPv6)

AS-SIP wordt vaak gebruikt met Multilevel Precedence and Preemption (MLPP) om gesprekken tijdens een noodgeval voorrang te geven. Met MLPP kunt u een prioriteitsniveau toewijzen aan uw uitgaande gesprekken, van niveau 1 (laag) tot niveau 5 (hoog). Wanneer u een gesprek ontvangt, wordt een pictogram voor het voorrangsniveau weergegeven op de telefoon waarmee de prioriteit van het gesprek wordt aangegeven.

Voer de volgende taken uit in Cisco Unified Communications Manager om AS-SIP te configureren:

• Configureer een Digest-gebruiker: configureer de eindgebruiker om digestverificatie te gebruiken voor SIP-aanvragen.
• Configureer de beveiligde poort van de SIP-telefoon: Cisco Unified Communications Manager gebruikt deze poort om te luisteren naar SIP-telefoons voor SIP-lijnregistraties via TLS.
• Services opnieuw starten: na het configureren van de beveiligde poort, start u de Cisco Unified Communications Manager- en Cisco CTL Provider-services opnieuw op. Configureer het SIP-profiel voor AS-SIP: configureer een SIP-profiel met SIP-instellingen voor de AS-SIP-eindpunten en de SIP-trunks. De telefoonspecifieke parameters worden niet gedownload naar een AS-SIP-telefoon van derden. Ze worden alleen gebruikt door Cisco Unified Manager. Telefoons van derden moeten lokaal dezelfde instellingen configureren.
• Configureer het telefoonbeveiligingsprofiel voor AS-SIP: U kunt het telefoonbeveiligingsprofiel gebruiken om beveiligingsinstellingen toe te wijzen zoals TLS, SRTP en digestverificatie.
• Configureer het AS-SIP-eindpunt: configureer een Cisco IP-telefoon of een eindpunt van derden met ondersteuning voor AS-SIP.
• Apparaat koppelen aan eindgebruiker: koppel het eindpunt aan een gebruiker.
• Configureer een beveiligingsprofiel SIP-trunk voor AS-SIP: u kunt het beveiligingsprofiel SIP-trunk gebruiken om beveiligingsfuncties zoals TLS of digestverificatie toe te wijzen aan een SIP-trunk.
• Configureer de SIP-trunk voor AS-SIP: configureer een SIP-trunk met ondersteuning voor AS-SIP.
• Configureer AS-SIP-functies: configureer aanvullende AS-SIP-functies zoals MLPP, TLS, V.150 en IPv6.

Zie het hoofdstuk 'AS-SIP-eindpunten configureren' in de Handleiding voor functieconfiguratie voor Cisco Unified Communications Manager voor meer informatie over het configureren van AS-SIP.

Wanneer de Forced Authorization Codes (FAC) of Client Matter Codes (CMC), of beide zijn geconfigureerd op de telefoon, moeten de gebruikers de vereiste wachtwoorden invoeren om een nummer te bellen.

Meer informatie over het instellen van FAC en CMC in Cisco Unified Communications Manager vindt u in het hoofdstuk 'Client Matter Codes and Forced Authorization Codes' in de Handleiding voor functieconfiguratie voor Cisco Unified Communications Manager, versie 12.5(1) of hoger.