Hartelijk dank voor uw feedback

Dit is bedoeld om u te informeren over een aanstaande wijziging in het browserbeleid van Google Chrome die van invloed is op de uitgifte van openbare TLS-certificaten en om te beschrijven welke maatregelen Cisco zal nemen om te zorgen voor voortdurende ondersteuning van wederzijdse TLS-verbindingen (MTLS) in Cisco Webex Calling Dedicated Instance- en UCM Cloud-omgevingen.

^{Vanaf 1 februari 2027 stoppen de openbare certificeringsinstanties (CA's) die deel uitmaken van het Google Chrome Trust-programma met het ondertekenen van certificaten die de Extended Key Usage (EKU) van Client Authentication (ClientAuth) bevatten.}

Met ingang van 15 maart ²⁰²⁷ handhaaft Google een beleid dat vereist dat Public Root CA's in de Chrome Root Store certificaten uitreiken die alleen de EKU voor serverauthenticatie (ServerAuth) bevatten. Als gevolg hiervan mogen Public Root CA's in de Chrome Root Store niet langer certificaten uitgeven die zowel serverauthenticatie als client-authenticatie-EKU's combineren in één certificaat.

UC-toepassingen voor speciale instanties maken momenteel gebruik van certificaten die zowel serverauthenticatie als client-authenticatie-EKU's bevatten binnen één certificaat om vertrouwen te creëren voor MTLS-verbindingen. Ondersteuning voor afzonderlijke server- en clientcertificaten is nu beschikbaar met UC-toepassingsversie V15su5.

Momenteel gebruikt Dedicated Instance de IdenTrust Commercial Root CA 1, onderdeel van de Google Chrome Root Store, om deze certificaten te ondertekenen. ^{Vanwege de aanstaande wijziging van het Chrome-beleid mag deze CA vanaf 1 februari 2027 echter geen certificaten meer uitgeven die beide EKU's in één certificaat bevatten.}

De certificaten zijn beïnvloed

De volgende UC-toepassingscertificaten zijn ondertekend met een Public Root CA en worden vaak gebruikt voor MTLS-verbindingen:

UC-toepassing	Soort certificaat	Veelgebruikte MTLS-verbindingen
Cisco Unified CM/MKB	Kater/Tomcat-ECDSA	LDAP, Filebeat, Logstash, SIP, OAuth via MRA, Syslog op afstand
	CallManager/CallManager-ECDSA	SIP-trunks, verbindingen tussen nodes en clusters
Cisco Unity Connection	Kater/Tomcat-ECDSA	SIP-proxy, SIP-trunks
Cisco IM en Presence	Kater/Tomcat-ECDSA	—
	beker/beker/beker/ECDSA	SIP beveiligen met CUCM, externe clients, SIP-proxy
	cup-xmpp/Cup-XMPP-ECDSA	XMPP-federatie
Cisco Emergency Responder	Kater/Tomcat-ECDSA	—
Cisco Expressway	Servercertificaat	Mobiel en Remote Access (MRA)

Certificaten zijn niet beïnvloed

Alle resterende certificaten in Dedicated Instance zijn zelf ondertekend. Voor meer informatie, zie Dedicated Instance-certificaatbeheer.

Om de wijziging van het Chrome-beleid aan te pakken en de MTLS-functionaliteit ononderbroken te behouden, neemt Cisco de volgende maatregelen:

• Met ingang van 1 juni 2026 ^{schakelt Cisco de Public Root CA die wordt gebruikt voor de ondertekening van Dedicated Instance UC-toepassingscertificaten over van IdenTrust Commercial Root CA 1 naar IdenTrust Public Sector Root CA 1 voor alle certificaatverlengingen.}

  Het proces voor de verlenging van het certificaat blijft hetzelfde, en het Control Hub Alerts Center brengt klanten via de waarschuwing „Onderhoud en uitval” op de hoogte wanneer de verlenging gepland is. Zie Onderhoudsmeldingen voor meer informatie.

• Certificaten blijven zowel EKU's voor server- als cliëntauthenticatie bevatten.

Alle toepassingen of services van derden in de klantomgeving die UC-toepassingen in een Dedicated Instance verbinden met behulp van TLS- of MTLS-verbindingen, moeten dezelfde certificaatketen gebruiken als de UC-toepassingen in Dedicated Instance. Als de vertrouwensopslag van de systemen of toepassingen van de klant nog niet de vereiste IdenTrust-certificeringsinstanties bevat, moet het nieuwe basiscertificaat worden geïmporteerd om te voorkomen dat de TLS-/MTLS-verbinding uitvalt.

1. Controleer de huidige MTLS-verbindingen
   1. Identificeer toepassingen, services van derden of integraties die verbinding maken met de UC-toepassingen in een Dedicated Instance met behulp van TLS of MTL's.
   2. Controleer of die toepassingen vertrouwen op de nieuwe Public Root CA: IdenTrust Public Sector Root CA 1.
2. Voeg de nieuwe Public Root CA toe (indien nodig)
   1. Als de IdenTrust Public Sector Root CA 1 nog niet vertrouwd is in de klantentoepassing of de System Trust Store, moet deze worden toegevoegd.
   2. Hetzelfde kan worden gedownload via de volgende links:

      Root CA: IdenTrust Public Sector Root CA 1

      Alternatieve downloadpagina: IdenTrust Support Downloads

      Uitgifte/Sub CA: IdenTrust Public Sector Server CA 1.

   Voor de meeste toepassingen is vertrouwen op de basis-CA voldoende als de server de volledige keten omvat. De Issuing/Sub CA is nuttig om op te nemen voor toepassingen waarbij het tussentijdse certificaat afzonderlijk moet worden geïmporteerd.

De IDentTrust Public Sector Root CA 1 wordt standaard vertrouwd in de standaard trust stores voor de volgende besturingssystemen en platforms:

• Microsoft Windows
• MacOS
• iOS/iPadOS
• Android

Als gevolg hiervan hoeft de klant alleen de truststores voor deze platforms te valideren om te bevestigen dat het basiscertificaat van de nieuwe openbare CA al in de lijst staat. Dit is van toepassing op eindpunten/clients of systemen van derden die de standaard trust stores op deze platforms gebruiken. Instructies voor het updaten van de trust store op elk platform vindt u in de onderstaande secties. De verantwoordelijkheid voor het uitvoeren van deze updates ligt bij de klant of partner; de links en stappen hieronder verwijzen naar online artikelen van de respectieve platformleveranciers, en Cisco biedt hulp op basis van de beste inspanningen. Voor verdere verduidelijking moet u rechtstreeks samenwerken met de respectievelijke platformleveranciers.

Opmerking over de Android Trust Store

De IDentTrust Public Sector Root CA 1 is opgenomen in de CA store van het Android-systeem en wordt standaard vertrouwd op de momenteel ondersteunde Android-versies. Android biedt geen openbare, versiespecifieke toewijzing voor de introductiedata van individuele basiscertificaten. Vertrouwen wordt beheerd via de CA store van het Android-systeem en verdeeld via updates voor het besturingssysteem en Google Play-systeemupdates.

De klant hoeft niets te doen, tenzij de Android System Trust Store expliciet is gewijzigd op basis van het apparaatbeleid, de controles van het bedrijfsbeheer of toepassingsspecifieke vertrouwensbeperkingen.

De IDentTrust Public Sector Root CA 1 is niet opgenomen in de Google Chrome Root Store.

Om ervoor te zorgen dat Google Chrome certificaten vertrouwt die zijn uitgegeven onder deze basis-CA, moeten klanten ervoor zorgen dat het basiscertificaat op besturingssysteemniveau expliciet wordt vertrouwd op locaties die Chrome gebruikt voor lokale vertrouwensbeslissingen.

Windows — vereiste vertrouwensconfiguratie

Om ervoor te zorgen dat Google Chrome in Windows de basis-CA vertrouwt, moet de IdenTrust Public Sector Root CA 1 worden geïmporteerd op een van de volgende locaties:

• Lokale computer → Vertrouwde basiscertificeringsinstanties

  (Aanbevolen voor systemen die door ondernemingen worden beheerd)

of

• Huidige gebruiker → Vertrouwde basiscertificeringsinstanties

  (Voor vertrouwen op gebruikersniveau)

Certificaten die met de Windows Certificate Import Wizard naar deze locaties worden geïmporteerd (onder meer via het groepsbeleid) worden vertrouwd door Google Chrome.

Basiscertificaten die alleen in Windows van derden bestaan, worden niet automatisch vertrouwd door Chrome, tenzij ze expliciet worden geïmporteerd zoals hierboven beschreven.

Mac OS — vereiste vertrouwensconfiguratie

Om ervoor te zorgen dat Google Chrome op macOS de basis-CA vertrouwt, moet de IdenTrust Public Sector Root CA 1 aan de macOS-sleutelhanger worden toegevoegd en expliciet worden vertrouwd:

1. Importeer het certificaat in de sleutelhanger van het systeem (aanbevolen) of de Login-sleutelhanger

2. Open het certificaat en stel in:

   • Wanneer u dit certificaat gebruikt: Always Trust

     (of op zijn minst SSL: Always Trust)

Eenmaal vertrouwd op systeem- of gebruikersniveau, zal Google Chrome het certificaat als vertrouwd erkennen.

Beheerders kunnen controleren welke platformcertificaten door Chrome worden vertrouwd door te navigeren naar: chrome: //certificate-manager/localcerts/platformcerts

Zie de veelgestelde vragen van Google voor meer informatie.

Voor integraties van derden is primaire klantvalidatie vereist.

Voor toepassingen of services van derden die TLS-/MTLS-verbindingen tot stand brengen met Dedicated Instance UC-toepassingen, moeten klanten de acties volgen die worden vermeld in de wijzigingen in het openbare CA-certificaat die van invloed zijn op Dedicated Instance.

U moet rechtstreeks samenwerken met uw externe leverancier of IT-beheerder als de updates van de Trust Store nodig zijn. Wijzigingen in trust stores van derden of het validatiegedrag van certificaten vallen buiten de verantwoordelijkheden van Cisco, en Cisco kan niet helpen bij het configureren of oplossen van problemen met certificaten van derden.

Klanten kunnen de nieuwe Public Root CA valideren met behulp van het IdenTrust-testcertificaat.

Als de pagina succesvol wordt geopend, wordt de IdenTrust Public Sector Root CA 1 in uw omgeving vertrouwd.

Als u vragen hebt over deze wijziging, het browserbeleid van Google Chrome of certificaatupdates in Dedicated Instance, open dan een serviceverzoek in Control Hub onder de levenscyclus van de UC-toepassing.

Klanten van UCM Cloud (UCMC) die eigenaar zijn van hun domein en die de verlenging van hun eigen UC-aanvraagcertificaten beheren en die geen domeinautoriteit aan Cisco hebben gedelegeerd voor de ondertekening van UC-toepassingscertificaten, zijn verantwoordelijk voor de rechtstreekse samenwerking met de door hen gekozen openbare certificeringsinstanties om deze wijziging aan te pakken. 

Deze klanten moeten zich ook houden aan de aanbevelingen van het toepasselijke UC-toepassingsproduct (Cisco on-prem calling-producten en Cisco Expressway) met betrekking tot het gebruik en herstel van certificaten in verband met de komende wijzigingen in het openbare CA - en browserbeleid. Zie Rollen en verantwoordelijkheden voor meer informatie. 

Cisco zal updates blijven leveren naarmate UC-toepassingsondersteuning voor afzonderlijke server- en clientcertificaten beschikbaar komt. Raadpleeg dit document voor de laatste updates.

Wijzigingen in de EKU-certificaten: acties die klanten van Cisco on-premises Collaboration NU MOETEN ONDERNEMEN