Fysisk sikkerhet

Det er viktig å gi fysisk sikkerhet til Equinix Meet-Me Room-lokasjoner og Cisco Dedicated Instance Data Center-fasiliteter. Når fysisk sikkerhet er kompromittert, kan enkle angrep som tjenesteavbrudd ved å slå av strømmen til en kundes svitsjer initieres. Med fysisk tilgang kan angripere få tilgang til serverenheter, tilbakestille passord og få tilgang til brytere. Fysisk tilgang muliggjør også mer sofistikerte angrep som man-in-the-middle angrep, og det er grunnen til at det andre sikkerhetslaget, nettverkssikkerheten, er kritisk.

Selvkrypterende stasjoner brukes i datasentre for dedikerte forekomster som er vert for UC-applikasjoner.

Hvis du vil ha mer informasjon om generell sikkerhetspraksis, kan du se dokumentasjonen på følgende sted: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Nettverkssikkerhet

Partnere må sørge for at alle nettverkselementene er sikret i Dedicated Instance-infrastruktur (som kobles via Equinix). Det er partnerens ansvar å sikre beste sikkerhetspraksis, for eksempel:

• Separat VLAN for tale og data

• Aktiver portsikkerhet som begrenser antall MAC-adresser som er tillatt per port, mot oversvømmelse av CAM-tabeller

• IP-kildebeskyttelse mot falske IP-adresser

• Dynamisk ARP Inspection (DAI) undersøker adresseoppløsningsprotokoll (ARP) og gratis ARP (GARP) for brudd (mot ARP-spoofing)

• 802.1x begrenser nettverkstilgangen for å autentisere enheter på tildelte VLAN-er (telefoner støtter 802.1x)

• Konfigurasjon av tjenestekvalitet (QoS) for passende merking av talepakker

• Brannmurportkonfigurasjoner for å blokkere annen trafikk

Endepunktssikkerhet

Cisco-endepunkter støtter standard sikkerhetsfunksjoner som signert fastvare, sikker oppstart (utvalgte modeller), produsentinstallert sertifikat (MIC) og signerte konfigurasjonsfiler, som gir et visst sikkerhetsnivå for endepunkter.

I tillegg kan en partner eller kunde aktivere ekstra sikkerhet, for eksempel:

• Krypter IP-telefontjenester (via HTTPS) for tjenester som Extension Mobility

• Utstede lokalt signifikante sertifikater (LSC) fra sertifiseringsmyndighetens proxy-funksjon (CAPF) eller en offentlig sertifikatmyndighet (CA)

• Krypter konfigurasjonsfiler

• Krypter medier og signalering

• Deaktiver disse innstillingene hvis de ikke brukes: PC-port, PC Voice VLAN-tilgang, Gratis ARP, Web Access, Innstillinger-knapp, SSH, konsoll

Implementering av sikkerhetsmekanismer i den dedikerte instansen forhindrer identitetstyveri av telefonene og Unified CM serveren, manipulering av data og manipulering av anropssignalering/mediestrøm.

Dedikert forekomst over nettverket:

• Etablerer og vedlikeholder godkjente kommunikasjonsstrømmer

• Signerer filer digitalt før du overfører filen til telefonen

• Krypterer mediestrømmer og anropssignalering mellom Cisco Unified IP-telefoner

Sikkerhet gir som standard følgende automatiske sikkerhetsfunksjoner for Cisco Unified IP-telefoner:

• Signering av telefonkonfigurasjonsfilene

• Støtte for telefonkonfigurasjonsfilkryptering

• HTTPS med Tomcat og andre webtjenester (MIDlets)

For Unified CM versjon 8.0 senere leveres disse sikkerhetsfunksjonene som standard uten å kjøre CTL-klienten (Certificate Trust List).

Fordi det er et stort antall telefoner i et nettverk og IP-telefoner har begrenset minne, Cisco Unified CM fungerer det som et eksternt klareringslager gjennom klareringsverifiseringstjenesten (TVS), slik at det ikke trenger å plasseres et sertifikatklareringslager på hver telefon. Cisco IP-telefonene kontakter TVS-serveren for bekreftelse fordi de ikke kan bekrefte en signatur eller et sertifikat gjennom CTL- eller ITL-filer. Å ha en sentral klareringsbutikk er enklere å administrere enn å ha klareringslageret på hver Cisco Unified IP-telefon.

TVS gjør det mulig for Cisco Unified IP-telefoner å autentisere applikasjonsservere, for eksempel EM-tjenester, katalog og MIDlet, under HTTPS-etablering.

ITL-filen (Initial Trust List) brukes til den første sikkerheten, slik at sluttpunktene kan stole på. Cisco Unified CM ITL trenger ikke at noen sikkerhetsfunksjoner skal aktiveres eksplisitt. ITL-filen opprettes automatisk når klyngen er installert. Unified CMTrivial File Transfer Protocol (TFTP) -serverens private nøkkel brukes til å signere ITL- filen.

Når kl Cisco Unified CM yngen eller serveren er i ikke-sikker modus, last es ITL-filen ned på alle støttede Cisco IP-telefoner. En partner kan se innholdet i en ITL-fil ved hjelp av CLI-kommandoen, ad min:show itl.

Cisco IP-telefoner trenger ITL-filen for å utføre følgende oppgaver:

• Kommuniser sikkert til CAPF, en forutsetning for å støtte konfigurasjonsfilkryptering

• Autentisere konfigurasjonsfilsignaturen

• Autentiser applikasjonsservere, for eksempel EM-tjenester, katalog og MIDlet under HTTPS-etablering ved hjelp av TVS

Enhets-, fil- og signalgodkjenning er avhengig av opprettelsen av CTL-filen (Certificate Trust List), som opprettes når partneren eller kunden installerer og konfigurerer Cisco Certificate Trust List Client.

CTL-filen inneholder oppføringer for følgende servere eller sikkerhetstokener:

• Systemadministrator sikkerhetstoken (SAST)

• Cisco CallManagerog Cisco TFTP-tjenester som kjører på samme server

• Certificate AuthorityProxy-funksjon (CAPF)

• TFTP-server (er)

• ASA brannmur

CTL-filen inneholder et serversertifikat, offentlig nøkkel, serienummer, signatur, utstedernavn, emnenavn, serverfunksjon, DNS-navn og IP-adresse for hver server.

Telefonsikkerhet med CTL gir følgende funksjoner:

• Autentisering av TFTP-nedlastede filer (konfigurasjon, lokalitet, ringeliste osv.) ved hjelp av en signeringsnøkkel

• Kryptering av TFTP-konfigurasjonsfiler ved hjelp av en signeringsnøkkel

• Kryptert anropssignalering for IP-telefoner

• Kryptert samtalelyd (media) for IP-telefoner

Dedikert forekomst gir endepunktregistrering og anropsbehandling. Signalering mellom Cisco Unified CM og endepunkter er basert på Secure Skinny Client Control Protocol (SCCP) eller Session Initiation Protocol (SIP) og kan krypteres ved hjelp av Transport Layer Security (TLS). Mediene fra/til endepunktene er basert på RTP (Real-time Transport Protocol) og kan også krypteres ved hjelp av Secure RTP (SRTP).

Aktivering av blandet modus på Unified CM muliggjør kryptering av signalering og medietrafikk fra og til Cisco-endepunktene.

Sikre UC-applikasjoner

Blandet modus er aktivert som standard i Dedikert forekomst.

Aktivering av blandet modus i dedikert forekomst gjør det mulig å utføre kryptering av signalering og medietrafikk fra og til Cisco-endepunktene.

Fra Cisco Unified CM utgivelse 12.5 (1) ble et nytt alternativ for å aktivere kryptering av signalering og media basert på SIP OAuth i stedet for blandet modus/CTL lagt til for Jabber- og Webex-klienter. Derfor, i Unified CM utgivelse 12.5 (1), kan SIP OAuth og SRTP brukes til å aktivere kryptering for signalering og media for Jabber- eller Webex-klienter. Aktivering av blandet modus er fortsatt nødvendig for Cisco IP-telefoner og andre Cisco-endepunkter på dette tidspunktet. Det er en plan om å legge til støtte for SIP OAuth i 7800/8800 ende punkter i en fremtidig utgivelse.

Sikre kommunikasjon mellom Cisco Unified CM og CUBE

For sikker kommunikasjon mellom Cisco Unified CM og CUBE må partnere/kunder bruke enten selvsignerte sertifikater eller CA-signerte sertifikater.

For selvsignerte sertifikater:

1. CUBE og Cisco Unified CM generer selvsignerte sertifikater

2. CUBE eksporterer sertifikat til Cisco Unified CM

3. Cisco Unified CMeksporterer sertifikat til CUBE

For CA-signerte sertifikater:

1. Klienten genererer et nøkkelpar og sender en forespørsel om sertifikatsignering (CSR) til (CA) Certificate Authority

2. CA signerer den med sin private nøkkel, og oppretter et identitetssertifikat

3. Klienten installerer listen over klarerte CA-rot- og mellomsertifikater og identitetssertifikatet

Protokollsammendrag

Tabellen nedenfor viser protokollene og tilknyttede tjenester som brukes i Unified CM løsningen.

Hvis du vil ha mer informasjon om MRA-konfigurasjon, kan du se delen MRA-distribusjonsscenarier i Mobile and Through Cisco Expressway Deployment Remote Access Guide.

Sikre Jabber og Webex med SIP OAuth

Jabber- og Webex-klienter autentiseres gjennom et OAuth-token i stedet for et lokalt signifikant sertifikat (LSC), som ikke krever aktivering av sertifiseringsautoritetens proxy-funksjon (CAPF) (også for MRA). SIP OAuth som arbeider med eller uten blandet modus ble introdusert i Cisco Unified CM 12.5 (1) og senere, Jabber 12.5 og nyere, og Expressway X12.5.

I Cisco Unified CM 12.5 og senere har vi et nytt alternativ i Phone Security Profile som muliggjør kryptering uten LSC/CAPF, ved hjelp av single Transport Layer Security (TLS) + OAuth-token i SIP REGISTER. Expressway-C-noder bruker AXL (Administrative XML Web Service) API til å informere om Cisco Unified CM SN/SAN i sertifikatet. Cisco Unified CMbruker denne informasjonen til å validere Exp-C-sertifikatet når du oppretter en gjensidig TLS-tilkobling.

SIP OAuth muliggjør media- og signalkryptering uten et endepunktssertifikat (LSC).

Cisco Jabberbruker Ephemeral-porter og sikre porter 6971 og 6972 porter via HTTPS-tilkobling til TFTP-serveren for å laste ned konfigurasjonsfilene. Port 6970 er en ikke-sikker port for nedlasting via HTTP.

Flere detaljer om SIP OAuth-konfigurasjon: SIP O Auth-modus.