- Strona główna
- /
- Artykuł
Dziękujemy za opinię.
W tym artykule
Opinia?Cisco usuwa zaufanie do niektórych głównych certyfikatów certyfikacji używanych do sprawdzania poprawności bezpiecznych połączeń SIP w następstwie incydentu bezpieczeństwa urzędu certyfikacji eMudhra (CA) z października 2026 r. Egzekwowanie dotkniętych integracji SIP Webex Meetings planuje się rozpocząć 2 listopada 2026 r. Wdrożenie może odbywać się etapami. Zaplanuj zakończenie zmian przed 2 listopada. Klienci, których łańcuchy certyfikatów zależą od nieufnych władz, muszą zastąpić dany certyfikat lub łańcuch. W przeciwnym razie bezpieczne połączenie SIP, którego dotyczy problem, zakończy się niepowodzeniem uwierzytelnianie TLS, gdy zaktualizowana polityka zaufania zostanie wymuszona dla tego połączenia.
Co może być dotknięte
Integracje
-
Webex MeetingsEdge Audio: Spotkanie wybierania i wyjścia za pośrednictwem powiązań SIP dla przedsiębiorstw, których dotyczy problem, przestanie działać, gdy egzekwowanie dotrze do tych połączeń.
-
Sale konferencyjne do współpracy (CMR): połączenie urządzeń wideo opartych na SIP poprzez bezpieczne połączenia SI P, których dotyczy problem, nie powiedzie się, gdy egzekucja dotrze do tych połączeń.
-
Infrastruktura zarządzana przez klienta może obejmować Cisco CUBE, Expressway-E i inne kontrolery granicy sesji (SBC). Przejrzyj zarówno systemy podstawowe, jak i nadmiarowe.
Zmiany te dotyczą integracji SIP przy użyciu łańcuchów certyfikatów, których dotyczy problem; inne metody dostępu do spotkań nie zależą od tej samej ścieżki certyfikatu SIP zarządzanej przez klienta.
Urzędy certyfikacji
Sprawdź łańcuchy certyfikatów zależne od któregokolwiek z następujących organów:
-
EmSign Root TLS CA - G3
-
EmSign ECC Root CA - G3
-
EmSign Root CS CA - G3
-
Usługi certyfikatów AAA (root Comodo AAA Services)
Usługi certyfikatów AAA nie zostały naruszone, ale podpisały krzyżowo, które dotyczyły pośredników eMuDHRA i są uwzględnione w tej odpowiedzi zabezpieczającej. Niektóre certyfikaty wydane przez Sectigo mogą używać ścieżki certyfikacji podpisanej krzyżowo AAA, mimo że same certyfikaty klienta Sectigo nie zostały naruszone.
EmSign Root CA - G1 nie jest uwzględniony w tej zmianie nieufności. Nie zastępuj ani nie usuwaj certyfikatów wyłącznie dlatego, że używają G1.
Sprawdzanie i wymiana zastrzeżonych certyfikatów lub łańcuchów
| 1 |
Zidentyfikuj CUBE, Expressway-E lub SBC używane do integracji spotkań Edge Audio lub SIP, których dotyczy problem. Zapisz rzeczywistą nazwę hosta i skonfigurowany port SIP TLS. Następnie sprawdź certyfikat tożsamości TLS zainstalowany w tym systemie i wszelkie towarzyszące mu pośrednie certyfikaty certyfikacji certyfikatu. W Expressway-E zainstalowany certyfikat serwera można wyświetlić w obszarze Konserwacja > era. W przypadku CUBE i innych SBC należy zastosować odpowiednią procedurę kontroli certyfikatu dostawcy. Powtórz dla systemów kopii zapasowych i nadmiarowych. |
| 2 |
Z komputera z zainstalowanym OpenSSL i dostępem sieciowym do słuchacza SIP TLS uruchom odpowiedni przykład:
Zastąp przykładową nazwę hosta i port rzeczywistym punktem końcowym SIP TLS; port może się różnić w zależności od wdrożenia. Jeśli dostęp przychodzącego protokołu TLS jest ograniczony, uruchom sprawdzenie z autoryzowanego systemu zarządzania. W Expressway-E port SIP TLS używany z Webex może wymagać certyfikatu klienta. Polecenie może zakończyć się błędem, ale łańcuch certyfikatów jest nadal wyświetlany. Przejrzyj wpisy w łańcuchu certyfikatów, w tym podmiot (podmioty:) i emitenta (i:). Po szukaj dowolnej z czterech nazw urzędu certyfikacji, w tym certyfikatu UserTrust RSA Certification Authority wydanego przez AAA Certificate Services. Przykład wpisu łańcucha z podpisem krzyżowym, którego dotyczy problem:
|
| 3 |
Interpretuj ustalenia:
|
| 4 |
Skontaktuj się z dostawcą certyfikatów lub sprzedawcą, aby uzyskać certyfikat zastępczy lub alternatywny łańcuch certyfikatów kończący się na katalogu głównym niewymienionym powyżej. Poproś dostawcę o potwierdzenie, że łańcuch zastępczy jest odpowiedni do integracji Webex SIP.
Ponownie sprawdź zainstalowany łańcuch, aby sprawdzić, czy nie zależy już od nieufnych władz.
|
| 5 |
Sprawdź poprawność łączności ze spotkaniami:
Jeśli nadal występują problemy z połączeniem z certyfikatem lub SIP, skontaktuj się z partnerem Cisco lub Cisco Technical Assistance Center (TAC). Podaj identyfikator organizacji Webex, usługę, której dotyczy problem, system i nazwę hosta SIP, szczegóły łańcucha certyfikatów oraz wszelkie komunikaty o błędach TLS lub SIP. Nie udostępniaj kluczy prywatnych. |
Powiązane informacje
Aby uzyskać więcej informacji, patrz:
