Hartelijk dank voor uw feedback

Beveiligingsfuncties beschermen tegen bedreigingen, waaronder bedreigingen voor de identiteit van de telefoon en gegevens. Deze functies zorgen voor het opzetten en onderhouden van geverifieerde communicatiestromen tussen de telefoon en de Cisco Unified Communications Manager server, en zorgen ervoor dat de telefoon alleen digitaal ondertekende bestanden gebruikt.

Cisco Unified Communications ManagerRelease 8.5 (1) en hoger bevat standaard Security, dat de volgende beveiligingsfuncties biedt voor Cisco IP-telefoons zonder dat de CTL-client hoeft te worden uitgevoerd:

• Ondertekening van de telefoonconfiguratiebestanden

• Versleuteling van bestanden voor telefoonconfiguratie

• HTTPS met Tomcat en andere webservices

Het implementeren van beveiliging in het Cisco Unified Communications Manager systeem voorkomt identiteitsdiefstal van de telefoon en Cisco Unified Communications Manager server, voorkomt manipulatie van gegevens en voorkomt gesprekssignalering en manipulatie van mediastreams.

Om deze bedreigingen het hoofd te bieden, zorgt het Cisco IP-telefonienetwerk voor het opzetten en onderhouden van veilige (versleutelde) communicatiestromen tussen een telefoon en de server, worden bestanden digitaal ondertekend voordat ze naar een telefoon worden overgebracht, en worden mediastreams en gesprekssignalering tussen Cisco IP-telefoons versleuteld.

Een Locally Significant Certificate (LSC) wordt op telefoons geïnstalleerd nadat u de noodzakelijke taken hebt uitgevoerd die verband houden met de Certificate Authority proxyfunctie (CAPF). U kunt dit gebruiken Cisco Unified Communications Manager Administration om een LSC te configureren, zoals beschreven in de Cisco Unified Communications Manager Beveiligingsgids. Als alternatief kunt u de installatie van een LSC starten via het menu Beveiligingsinstellingen op de telefoon. In dit menu kunt u ook een LSC bijwerken of verwijderen.

De telefoons maken gebruik van het telefoonbeveiligingsprofiel, dat bepaalt of het apparaat onveilig of beveiligd is. Voor informatie over het toepassen van het beveiligingsprofiel op de telefoon, zie de documentatie voor uw specifieke Cisco Unified Communications Manager release.

Als u beveiligingsinstellingen configureert inCisco Unified Communications Manager Administration, bevat het telefoonconfiguratiebestand gevoelige informatie. Om de privacy van een configuratiebestand te waarborgen, moet u het configureren voor versleuteling. Zie de documentatie voor uw specifieke Cisco Unified Communications Manager release voor gedetailleerde informatie.

De telefoon voldoet aan de Federal Information Processing Standard (FIPS). Om goed te kunnen functioneren vereist de FIPS-modus een sleutelgrootte van 2048 bits of meer. Als het certificaat minder dan 2048 bits bevat, wordt de telefoon niet geregistreerd Cisco Unified Communications Manager en is de registratie van de telefoon mislukt. De grootte van de certificaatsleutel is niet compatibel met FIPS op de telefoon.

Als de telefoon een LSC heeft, moet u de grootte van de LSC-sleutel bijwerken naar 2048 bits of meer voordat u FIPS inschakelt.

De volgende tabel geeft een overzicht van de beveiligingsfuncties die de telefoons ondersteunen. Zie de documentatie voor uw specifieke Cisco Unified Communications Manager release voor meer informatie.

Om de beveiligingsmodus te bekijken, drukt u op Instellingen en navigeert u naar Netwerk en service > Beveiligingsinstellingen.

De volgende tabel bevat de alarmberichten en de betekenis van de update van de Trust List. Zie de Cisco Unified Communications Manager documentatie voor meer informatie.

Het menu Beveiligingsinstellingen bevat informatie over verschillende beveiligingsinstellingen. Het menu biedt ook toegang tot het menu Vertrouwenlijst en geeft aan of het CTL - of ITL-bestand op de telefoon is geïnstalleerd.

In de volgende tabel worden de opties in het menu Beveiligingsinstellingen beschreven.

De Cisco IP-telefoons ondersteunen 802.1X-authenticatie.

Cisco IP-telefoons en Cisco Catalyst-switches gebruiken traditioneel Cisco Discovery Protocol CDP om elkaar te identificeren en parameters te bepalen, zoals VLAN-toewijzing en inline-stroomvereisten. CDP identificeert geen lokaal verbonden werkstations. Cisco IP-telefoons bieden een EAPOL-doorvoermechanisme. Met dit mechanisme kan een werkstation dat is aangesloten op de Cisco IP-telefoon EAPOL-berichten doorsturen naar de 802.1X-authenticator op de LAN-switch. Het pass-through-mechanisme zorgt ervoor dat de IP-telefoon niet fungeert als LAN-switch om een gegevenseindpunt te verifiëren voordat toegang wordt verkregen tot het netwerk.

Cisco IP-telefoons bieden ook een EAPOL-afmeldingsmechanisme voor proxy's. Als de lokaal aangesloten pc de verbinding met de IP-telefoon verbreekt, ziet de LAN-switch niet dat de fysieke verbinding uitvalt, omdat de verbinding tussen de LAN-switch en de IP-telefoon behouden blijft. Om te voorkomen dat de netwerkintegriteit in gevaar wordt gebracht, stuurt de IP-telefoon namens de downstream-pc een EAPOL-afmeldingsbericht naar de switch, waardoor de LAN-switch de authenticatie-invoer voor de downstream-pc wordt gewist.

Voor ondersteuning van 802.1X-authenticatie zijn verschillende componenten vereist:

• Cisco IP-telefoon: De telefoon initieert het verzoek om toegang tot het netwerk. Cisco IP-telefoons bevatten een 802.1X-supplicant. Met dit verzoek kunnen netwerkbeheerders de connectiviteit van IP-telefoons met de LAN-switchpoorten regelen. De huidige versie van de 802.1X-telefoonaanbieder maakt gebruik van de opties EAP-FAST en EAP-TLS voor netwerkverificatie.

• Authenticatieserver: De authenticatieserver en de switch moeten beide worden geconfigureerd met een gedeeld geheim waarmee de telefoon wordt geverifieerd.

• Switch: De switch moet 802.1X ondersteunen, zodat deze als authenticator kan fungeren en de berichten kan doorgeven tussen de telefoon en de authenticatieserver. Nadat de uitwisseling is voltooid, verleent of weigert de overstap de telefoontoegang tot het netwerk.

U moet de volgende acties uitvoeren om 802.1X te configureren.

• Configureer de andere componenten voordat u 802.1X-verificatie op de telefoon inschakelt.

• PC-poort configureren: De 802.1X-standaard houdt geen rekening met VLAN's en raadt daarom aan dat slechts één apparaat wordt geverifieerd op een specifieke switchpoort. Sommige switches ondersteunen echter authenticatie met meerdere domeinen. De configuratie van de switch bepaalt of u een pc kunt aansluiten op de PC-poort van de telefoon.

  • Ingeschakeld: Als u een switch gebruikt die verificatie met meerdere domeinen ondersteunt, kunt u de PC-poort inschakelen en er een pc op aansluiten. In dit geval ondersteunen Cisco IP-telefoons proxy EAPOL-Logoff om de authenticatie-uitwisselingen tussen de switch en de aangesloten pc te controleren.

    Voor meer informatie over IEEE 802.1X-ondersteuning op Cisco Catalyst-switches, zie de Cisco Catalyst-switchconfiguratiehandleidingen op:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Uitgeschakeld: Als de switch niet meerdere 802.1X-compatibele apparaten op dezelfde poort ondersteunt, moet u de PC-poort uitschakelen wanneer 802.1X-verificatie is ingeschakeld. Als u deze poort niet uitschakelt en er vervolgens een pc op probeert aan te sluiten, weigert de switch de netwerktoegang tot zowel de telefoon als de pc.

• Voice VLAN configureren: Omdat de 802.1X-standaard geen rekening houdt met VLAN's, moet u deze instelling configureren op basis van de ondersteuning van de switch.
  • Ingeschakeld: Als u een switch gebruikt die multidomeinauthenticatie ondersteunt, kunt u deze blijven gebruiken om de spraak-VLAN te gebruiken.
  • Uitgeschakeld: Als de switch geen ondersteuning biedt voor multidomeinauthenticatie, schakel dan de Voice VLAN uit en overweeg om de poort toe te wijzen aan het oorspronkelijke VLAN.
• (Alleen voor Cisco Desk Phone 9800 Series)

  De Cisco Desk Phone 9800 Series heeft een andere prefix in de PID dan die voor de andere Cisco-telefoons. Om ervoor te zorgen dat uw telefoon de 802.1X-authenticatie doorstaat, stelt u de parameter Radius·User-Name in op uw Cisco Desk Phone 9800 Series.

  De PID van telefoon 9841 is bijvoorbeeld DP-9841; u kunt Radius·Username instellen om te beginnen met DP of Bevat DP. U kunt dit in beide van de volgende secties instellen:

  • Beleid > Voorwaarden > Bibliotheekvoorwaarden

  • Beleid > Beleidssets > Autorisatiebeleid > Autorisatieregel 1

Wanneer beveiliging is geïmplementeerd voor een telefoon, kunt u beveiligde telefoongesprekken herkennen aan de pictogrammen op het telefoonscherm. U kunt ook bepalen of de verbonden telefoon veilig en beschermd is als er aan het begin van het gesprek een beveiligingstoon klinkt.

Bij een beveiligd gesprek worden alle gesprekssignalen en mediastreams versleuteld. Een veilig gesprek biedt een hoog beveiligingsniveau en zorgt voor integriteit en privacy tijdens het gesprek. Als een lopend gesprek versleuteld is, ziet u het beveiligde pictogram op de lijn. Voor een veilige telefoon kunt u ook het geverifieerde pictogram of het gecodeerde pictogram naast de verbonden server bekijken in het telefoonmenu (Instellingen > Over dit apparaat).

Bij een beveiligd gesprek wordt aan het begin van een gesprek een beveiligingstoon afgespeeld om aan te geven dat de andere verbonden telefoon ook beveiligde audio ontvangt en verzendt. Als uw gesprek wordt verbonden met een onbeveiligde telefoon, wordt de beveiligingstoon niet afgespeeld.

Als een telefoon is geconfigureerd als veilig (versleuteld en vertrouwd) inCisco Unified Communications Manager, kan deze een beschermde status krijgen. Daarna kan, indien gewenst, de beveiligde telefoon zo worden geconfigureerd dat aan het begin van een gesprek een indicatietoon wordt afgespeeld:

• Beveiligd apparaat: Als u de status van een beveiligde telefoon wilt wijzigen naar beveiligd, vinkt u het selectievakje Beveiligd apparaat aan in het venster Telefoonconfiguratie in Cisco Unified Communications Manager Administration (Apparaat > Telefoon).

• Secure Indication Tone afspelen: Om ervoor te zorgen dat de beveiligde telefoon een veilige of onveilige indicatietoon kan afspelen, stelt u de instelling Play Secure Indication Tone in op True. Play Secure Indication Tone is standaard ingesteld op False. U hebt deze optie ingesteld in Cisco Unified Communications Manager Administration (Systeem > Serviceparameters). Selecteer de server en vervolgens de Unified Communications Manager-service. Selecteer in het venster Configuratie van de serviceparameters de optie in het gedeelte Feature - Secure Tone. De standaardinstelling is False.

Omdat alle WLAN-apparaten binnen bereik al het andere WLAN-verkeer kunnen ontvangen, is de beveiliging van spraakcommunicatie van cruciaal belang in WLAN's. Om ervoor te zorgen dat indringers spraakverkeer niet manipuleren of onderscheppen, ondersteunt de Cisco SAFE Security-architectuur de telefoon. Voor meer informatie over beveiliging in netwerken, zie http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

De Cisco draadloze IP-telefonieoplossing biedt draadloze netwerkbeveiliging die ongeoorloofde aanmeldingen en gecompromitteerde communicatie voorkomt door gebruik te maken van de volgende authenticatiemethoden die de telefoon ondersteunt:

• Open authenticatie: Elk draadloos apparaat kan authenticatie aanvragen in een open systeem. De AP die het verzoek ontvangt, kan authenticatie verlenen aan elke aanvrager of alleen aan aanvragers die op een lijst van gebruikers voorkomen. De communicatie tussen het draadloze apparaat en het access point (AP) kan niet-versleuteld zijn.

• Extensible Authentication Protocol-Flexibele authenticatie via Secure Tunneling (EAP-FAST) Authenticatie: Deze client-serverbeveiligingsarchitectuur versleutelt EAP-transacties binnen een Transport Level Security-tunnel (TLS) tussen de AP en de RADIUS-server, zoals Identity Services Engine (ISE).

  De TLS-tunnel maakt gebruik van Protected Access Credentials (PAC's) voor authenticatie tussen de client (telefoon) en de RADIUS-server. De server stuurt een autoriteits-ID (AID) naar de client (telefoon), die op zijn beurt de juiste PAC selecteert. De client (telefoon) stuurt een PAC-ondoorzichtig terug naar de RADIUS-server. De server decodeert de PAC met de primaire sleutel. Beide eindpunten bevatten nu de PAC-sleutel en er wordt een TLS-tunnel gemaakt. EAP-FAST ondersteunt automatische PAC-provisioning, maar u moet deze inschakelen op de RADIUS-server.

  In ISE verloopt de PAC standaard over een week. Als de PAC van de telefoon is verlopen, duurt de authenticatie met de RADIUS-server langer, terwijl de telefoon een nieuwe PAC krijgt. Om vertragingen bij de levering van PAC te voorkomen, stelt u de PAC vervaldatum in op 90 dagen of langer op de ISE- of RADIUS-server.

• Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) Authenticatie: EAP-TLS vereist een clientcertificaat voor authenticatie en netwerktoegang. Voor draadloze EAP-TLS kan het clientcertificaat een MIC-, LSC- of door de gebruiker geïnstalleerd certificaat zijn.

• Protected Extensible Authentication Protocol (PEAP): een gepatenteerd systeem voor wederzijdse authenticatie op basis van een wachtwoord van Cisco tussen de client (telefoon) en een RADIUS-server. De telefoon kan PEAP gebruiken voor authenticatie met het draadloze netwerk. Zowel PEAP-MSCHAPV2- als PEAP-GTC-authenticatiemethoden worden ondersteund.

• Pre-Shared Key (PSK): De telefoon ondersteunt het ASCII-formaat. U moet dit formaat gebruiken bij het instellen van een vooraf gedeelde WPA/WPA2/SAE-sleutel:

  ASCII: een ASCII-tekenreeks met een lengte van 8 tot 63 tekens (0-9, kleine letters en hoofdletters A-Z en speciale tekens)

  Voorbeeld: GREG123567 @9ZX &W

De volgende authenticatieschema's gebruiken de RADIUS-server om authenticatiesleutels te beheren:

• WPA/WPA2/WPA3: Gebruikt RADIUS-serverinformatie om unieke sleutels voor authenticatie te genereren. Omdat deze sleutels worden gegenereerd op de gecentraliseerde RADIUS-server, biedt WPA2/WPA3 meer beveiliging dan vooraf gedeelde WPA-sleutels die zijn opgeslagen op het toegangspunt en de telefoon.

• Fast Secure Roaming: Maakt gebruik van RADIUS-server en informatie over een draadloze domeinserver (WDS) om sleutels te beheren en te verifiëren. Het WDS creëert een cache met beveiligingsgegevens voor clientapparaten met FT-ondersteuning voor snelle en veilige herauthenticatie. Cisco Desk Phone 9861 en 9871 en Cisco Video Phone 8875 ondersteunen 802.11r (FT). Zowel via de ether als via de DS worden ondersteund om snel en veilig roamen mogelijk te maken. Maar we raden ten zeerste aan om de 802.11r (FT) over-air-methode te gebruiken.

Met WPA/WPA2/WPA3 worden coderingssleutels niet ingevoerd op de telefoon, maar automatisch afgeleid tussen het toegangspunt en de telefoon. Maar de EAP-gebruikersnaam en -wachtwoord die voor authenticatie worden gebruikt, moeten op elke telefoon worden ingevoerd.

Om ervoor te zorgen dat het spraakverkeer veilig is, ondersteunt de telefoon TKIP en AES voor versleuteling. Wanneer deze mechanismen worden gebruikt voor versleuteling, worden zowel de SIP-signaalpakketten als de RTP-pakketten (Voice Real-Time Transport Protocol) versleuteld tussen het AP en de telefoon.

TKIP

WPA maakt gebruik van TKIP-versleuteling die verschillende verbeteringen heeft ten opzichte van WEP. TKIP biedt sleutelversleuteling per pakket en langere initialisatievectoren (IV's) die de versleuteling versterken. Bovendien zorgt een berichtintegriteitscontrole (MIC) ervoor dat versleutelde pakketten niet worden gewijzigd. TKIP neemt de voorspelbaarheid van WEP weg, waardoor indringers de WEP-sleutel kunnen ontcijferen.

AES

Een coderingsmethode die wordt gebruikt voor WPA2/WPA3-authenticatie. Deze nationale standaard voor versleuteling maakt gebruik van een symmetrisch algoritme dat dezelfde sleutel heeft voor versleuteling en ontsleuteling. AES maakt gebruik van Cipher Blocking Chain (CBC) -versleuteling van 128 bits, die sleutelgroottes van minimaal 128 bits, 192 bits en 256 bits ondersteunt. De telefoon ondersteunt een sleutelgrootte van 256 bits.

Authenticatie- en coderingsschema's worden ingesteld binnen het draadloze netwerk. VLAN's worden in het netwerk en op de AP's geconfigureerd en specificeren verschillende combinaties van authenticatie en versleuteling. Een SSID is gekoppeld aan een VLAN en het specifieke authenticatie- en coderingsschema. Om draadloze clientapparaten succesvol te kunnen authenticeren, moet u dezelfde SSID's met hun authenticatie- en coderingsschema's configureren op de AP's en op de telefoon.

Voor sommige authenticatieschema's zijn specifieke soorten versleuteling vereist.

De authenticatie- en coderingsschema's in de volgende tabel tonen de netwerkconfiguratieopties voor de telefoon die overeenkomen met de AP-configuratie.

Assured Services SIP (AS-SIP) is een verzameling functies en protocollen die een zeer veilige gespreksstroom bieden voor Cisco IP-telefoons en telefoons van derden. De volgende functies worden gezamenlijk AS-SIP genoemd:

• Prioriteit en voorrang op meerdere niveaus (MLPP)
• Codepunt voor gedifferentieerde diensten (DSCP)
• Transport Layer Security (TLS) en Secure Realtime Transport Protocol (SRTP)
• Internet Protocol versie 6 (IPv6)

AS-SIP wordt vaak gebruikt in combinatie met Multilevel Precedence and Preemption (MLPP) om oproepen te prioriteren in geval van nood. Met MLPP kent u een prioriteitsniveau toe aan uw uitgaande gesprekken, van niveau 1 (laag) tot niveau 5 (hoog). Als u een oproep ontvangt, wordt op de telefoon een pictogram met het voorrangsniveau weergegeven dat de gespreksprioriteit aangeeft.

Om AS-SIP te configureren, voert u de volgende taken uit opCisco Unified Communications Manager:

• Configureer een Digest-gebruiker — Configureer de eindgebruiker om voor SIP-aanvragen digest-authenticatie te gebruiken.
• SIP Phone Secure Port configureren — Cisco Unified Communications Manager gebruikt deze poort om via TLS naar SIP-telefoons te luisteren voor SIP-lijnregistraties.
• Services opnieuw starten — Nadat u de beveiligde poort hebt geconfigureerd, start u de services Cisco Unified Communications Manager en de Cisco CTL Provider-services opnieuw. SIP-profiel configureren voor AS-SIP Configureer een SIP-profiel met SIP-instellingen voor uw AS-SIP-eindpunten en voor uw SIP-trunks. De telefoonspecifieke parameters worden niet gedownload naar een AS-SIP-telefoon van derden. Ze worden alleen gebruikt door Cisco Unified Manager. Telefoons van derden moeten lokaal dezelfde instellingen configureren.
• Configureer het telefoonbeveiligingsprofiel voor AS-SIP. U kunt het telefoonbeveiligingsprofiel gebruiken om beveiligingsinstellingen toe te wijzen, zoals TLS, SRTP en digest-authenticatie.
• AS-SIP-eindpunt configureren — Configureer een Cisco IP-telefoon of een eindpunt van derden met AS-SIP-ondersteuning.
• Apparaat koppelen aan eindgebruiker—Koppel het eindpunt aan een gebruiker.
• SIP Trunk-beveiligingsprofiel configureren voor AS-SIP. U kunt het SIP-trunk-beveiligingsprofiel gebruiken om beveiligingsfuncties zoals TLS of digest-authenticatie toe te wijzen aan een SIP-trunk.
• SIP Trunk configureren voor AS-SIP — Configureer een SIP-trunk met AS-SIP-ondersteuning.
• AS-SIP-functies configureren — Configureer aanvullende AS-SIP-functies zoals MLPP, TLS, V.150 en IPv6.

Voor gedetailleerde informatie over het configureren van AS-SIP, zie het hoofdstuk „AS-SIP-eindpunten configureren” in de Functieconfiguratiegids voor. Cisco Unified Communications Manager

Wanneer de Forced Authorization Codes (FAC) of Client Matter Codes (CMC), of beide, op de telefoon zijn geconfigureerd, moeten de gebruikers de vereiste wachtwoorden invoeren om een nummer uit te kiezen.

Voor meer informatie over het instellen van FAC en CMC inCisco Unified Communications Manager, zie het hoofdstuk "Client Matter Codes and Forced Authorization Codes" in de Function Configuration Guide forCisco Unified Communications Manager, Release 12.5 (1) of hoger.

De Cisco VPN-functie helpt u de netwerkbeveiliging te behouden en biedt gebruikers tegelijkertijd een veilige, betrouwbare methode om verbinding te maken met uw bedrijfsnetwerk. Gebruik deze functie wanneer:

• Een telefoon bevindt zich buiten een vertrouwd netwerk
• Netwerkverkeer tussen de telefoon en Cisco Unified Communications Manager via een niet-vertrouwd netwerk

Met een VPN zijn er drie veelgebruikte methoden voor cliëntauthenticatie:

• Digitale certificaten
• Wachtwoorden
• Gebruikersnaam en wachtwoord

Elke methode heeft zijn voordelen. Maar als uw bedrijfsbeveiligingsbeleid dit toestaat, raden we een aanpak op basis van certificaten aan, omdat certificaten een naadloze aanmelding mogelijk maken zonder tussenkomst van de gebruiker. Zowel LSC- als MIC-certificaten worden ondersteund.

Om een van de VPN-functies te configureren, moet u het apparaat eerst op locatie installeren en daarna kunt u het apparaat buiten de locatie implementeren.

Voor meer informatie over certificeringsauthenticatie en het werken met een VPN-netwerk, zie AnyConnect VPNTelefoon configureren met certificaatverificatie op een ASA.

Met een wachtwoord of gebruikersnaam en wachtwoord wordt een gebruiker om inloggegevens gevraagd. Stel de inloggegevens van de gebruiker in overeenstemming met het beveiligingsbeleid van uw bedrijf. U kunt de instelling Enable Password Persistence ook zo configureren dat het gebruikerswachtwoord op de telefoon wordt opgeslagen. Het gebruikerswachtwoord wordt bewaard totdat een mislukte inlogpoging plaatsvindt, een gebruiker het wachtwoord handmatig verwijdert, of de telefoon opnieuw wordt ingesteld of de stroom uitvalt.

Een ander nuttig hulpmiddel is de instelling Enable Auto Network Detect. Als u dit selectievakje inschakelt, kan de VPN-client alleen worden uitgevoerd als hij detecteert dat deze zich buiten het bedrijfsnetwerk bevindt. Deze instelling is standaard uitgeschakeld.

Uw Cisco-telefoon ondersteunt Cisco SVC IPphone Client v1.0 als clienttype.

Voor meer informatie over hoe u VPN kunt configurerenUnified CM, zie de Functieconfiguratiehandleiding voor Cisco Unified Communications Manager.

De Cisco VPN-functie maakt gebruik van Secure Sockets Layer (SSL) om de netwerkbeveiliging te behouden.