Dziękujemy za opinię.

Podstawowe usługi i komponenty Webex Meetings

• Webex Meetings jest częścią pakietu Webex Suite, zapewniającego audio/video konferencje z udostępnianiem treści i możliwością prowadzenia konferencji internetowych.
• Platforma obejmuje wiele mikrousług, takich jak: usługa spotkań, usługa webinariów, usługa tożsamości, usługa nagrywania, usługa asystenta AI, usługa analizy, usługa administracyjna i usługa multimedialna.
• Usługa Webex Meetings obsługuje aplikacje i urządzenia zarejestrowane w chmurze, umożliwiając użytkownikom dołączanie do spotkań z różnych platform operacyjnych i urządzeń. Użytkownicy mogą również dołączać do spotkań za pośrednictwem PSTN i punktów końcowych SIP.

Architektura i wdrażanie

• Usługi Webex Meetings są regionalizowane i replikowane w wielu niezależnych centrach danych, co gwarantuje redundancję i wysoką dostępność.
• Usługi multimedialne są dystrybuowane globalnie za pomocą klastrów serwerów multimedialnych w każdym centrum danych, co zapewnia lokalną i geograficzną redundancję.
• Serwery multimedialne obsługują głos, wideo i udostępnianie treści. Media są zazwyczaj szyfrowane przy użyciu algorytmu AES-256-GCM.
• Architektura obsługuje szyfrowaną sygnalizację TLS/HTTPS i zaszyfrowanych strumieni multimedialnych.

Webex obsługuje dołączanie do spotkań z wielu platform i urządzeń, w tym:

• Aplikacja desktopowa Webex na systemy Windows, Mac i Linux.
• Aplikacja mobilna Webex na systemy Android i iOS.
• Aplikacja internetowa Webex wykorzystująca przeglądarki Chrome, Edge, Safari, Firefox i inne.
• Urządzenia Cisco Room i Desk.
• Zewnętrzne punkty końcowe audio i wideo oparte na standardach SIP.
• Urządzenia PSTN.

Suwerenność klienta Webex

W odpowiedzi na rosnące zapotrzebowanie na przechowywanie danych firma Webex wprowadziła udoskonalone możliwości suwerenności. Zaczynając od nagrywania i mając w przyszłości obsługę większej liczby usług, organizacje mogą teraz zachować kontrolę nad treścią swoich spotkań dzięki następującym rozwiązaniom:

• Przetwarzanie lokalne— przetwarzanie treści spotkań, np. nagrań, w ramach własnej infrastruktury.
• Przechowywanie lokalne— korzystanie z własnych usług przechowywania plików w celu przechowywania poufnych zasobów spotkań, co gwarantuje, że dane pozostają w określonych granicach geograficznych lub organizacyjnych.

Ultrabezpieczne spotkania Webex

Historycznie rzecz biorąc, funkcje „ultra bezpiecznego” bezpieczeństwa, takie jak szyfrowanie typu Zero Trust End-to-End (E2EE), często wiązały się z kompromisami w zakresie funkcjonalności spotkań, ponieważ usługi o wartości dodanej w chmurze wymagają dostępu do kluczy szyfrujących, a do tych spotkań mogła dołączyć tylko ograniczona liczba typów punktów końcowych. Firma Webex wyeliminowała ten kompromis dzięki:

• Bogactwo funkcji w Zero Trust—Webex zrewolucjonizował spotkania Zero Trust End-to-End Encrypted (E2EE), dodając funkcjonalności, dzięki którym spotkania Zero Trust stają się bogate w funkcje. Obsługa większej liczby typów punktów końcowych zapewnia płynną pracę bez konieczności rezygnowania z narzędzi niezbędnych do nowoczesnej współpracy.
• Zero Trust dla standardowych spotkań—Webex zintegrował możliwości Zero Trust E2EE bezpośrednio ze standardowymi spotkaniami. Dzięki temu nawet codzienna współpraca może korzystać z najwyższego poziomu bezpieczeństwa, oferując spójną ochronę w całym ekosystemie Webex.

Zunifikowane podejście do współpracy

Dzięki integracji suwerenności klienta z zaawansowanymi możliwościami Zero Trust E2EE firma Webex umożliwia organizacjom osiągnięcie podwójnego celu: organizowanie niezwykle bezpiecznych spotkań zgodnych z zasadą Zero Trust w chmurze Webex, przy jednoczesnym zachowaniu pełnej kontroli nad przetwarzaniem i przechowywaniem najważniejszych treści spotkań na miejscu. Taka synergia zapewnia elastyczność i bezpieczeństwo niezbędne w nowoczesnych środowiskach korporacyjnych, które muszą spełniać wymogi zgodności.

Rozszerzanie granic bezpieczeństwa za pomocą węzła Video Mesh

Dodanie węzła Video Mesh do organizacji pozwala klientom świadczyć usługi spotkań lokalnych i umożliwia dołączanie lokalnych punktów końcowych do dowolnych spotkań Webex. Z punktu widzenia bezpieczeństwa integracja węzła Video Mesh pozwala zachować zasadę Zero Trust w chmurze Webex, oferując jednocześnie funkcjonalność zbliżoną do standardowych spotkań Webex. Klienci korzystają również z suwerenności danych, ponieważ usługi takie jak nagrania spotkań Video Mesh Node są przetwarzane i przechowywane lokalnie.

Korzystanie z kompleksowego szyfrowania Zero Trust może wydłużyć czas dołączenia do spotkania o kilka sekund, ale daje wyraźną gwarancję bezpieczeństwa — dostęp do kluczy szyfrujących spotkanie mają tylko jego uczestnicy, więc dostawca usługi ani inni pośrednicy nie mogą odszyfrować jego zawartości.

Podsumowanie: Spotkania Webex i hybrydowe modele wdrożeń

Jak pokazano w powyższym porównaniu, wdrożenie węzła Video Mesh Node (VMN) pozwala usłudze Zero Trust Webex Meetings osiągnąć funkcjonalność zbliżoną do standardowych spotkań Webex. Chociaż spotkania Zero Trust nie obsługują uczestników PSTN, aplikacja internetowa Webex stanowi szeroko dostępną alternatywę dla kompleksowo szyfrowanego dostępu. Ponadto VMN umożliwia pracownikom biurowym korzystającym z telefonów stacjonarnych bezproblemowe dołączanie do spotkań Zero Trust.

Rozwiązanie Video Mesh Node zapewnia również suwerenność danych w przypadku najważniejszych treści spotkań, w tym nagrań, a w niedalekiej przyszłości także transkryptów, podsumowań i elementów działań. Przetwarzając i przechowując te dane lokalnie, VMN zapewnia klientom pełną kontrolę nad ich informacjami, jednocześnie utrzymując architekturę Zero Trust w chmurze Webex.

Szyfrowana sygnalizacja Webex

Usługi Webex obsługują wersje protokołu TLS 1.2 i 1.3, przy czym preferowana jest wersja TLS 1.3, jeśli jest obsługiwana przez łączący się punkt końcowy. Jeżeli klient obsługuje wyłącznie protokół TLS 1.2, serwer Webex wybiera najsilniejszy wspólny zestaw szyfrów oferowany przez klienta. W przeciwieństwie do protokołu TLS 1.2, protokół TLS 1.3 nie korzysta z wyboru zestawu szyfrów preferowanego przez serwer, ponieważ opiera się na mniejszym, starannie dobranym zestawie nowoczesnych szyfrów. Ten projekt upraszcza proces selekcji, kładąc większy nacisk na poprawę wydajności, np. skrócenie całkowitego czasu uścisku dłoni, przy jednoczesnym zachowaniu wysokiego poziomu bezpieczeństwa. Zestawy szyfrów dla protokołów TLS 1.2 i 1.3 używane przez firmę Webex są ściśle zdefiniowane i priorytetyzowane, aby zagwarantować bezpieczną komunikację.

Zestawy szyfrów TLS

Zestawy szyfrów TLS 1.3 (serwery TLS 1.3 nie stosują kolejności preferencji przy wyborze zestawu)

Zestawy szyfrów TLS 1.2 (zestawy w kolejności preferowanej przez serwer)

Szyfry szyfrujące AES_256_CBC i AES_128_CBC są obsługiwane w celu zachowania zgodności ze starszymi systemami, starszymi przeglądarkami i urządzeniami wbudowanymi, które nie obsługują nowoczesnych szyfrów AEAD (szyfrowanie uwierzytelnione z powiązanymi danymi), takich jak AES-GCM, np. Internet Explorer 11 w systemie Windows 7 i Windows 8.1, Safari 6/7/8 Wczesne wersje systemów iOS i MacOS korzystają z szyfrów bazujących na CBC.

CHACHA20_POLY1305 to szyfr strumieniowy o niskiej zależności od sprzętu, co czyni go lepszym szyfrem do stosowania w urządzeniach mobilnych lub urządzeniach z procesorami o niskim poborze mocy.

Standardy szyfrowania multimediów dla Webex

Spotkania i rozmowy telefoniczne za pośrednictwem Webex wykorzystują solidne szyfrowanie oparte na standardzie AES dla wszystkich pakietów multimedialnych. Konkretny zestaw szyfrów zależy od typu punktu końcowego, przy czym AES-256-GCM jest preferowanym standardem zapewniającym optymalne bezpieczeństwo.

Kluczowe zagadnienia bezpieczeństwa

• Preferowany standard— AES-256-GCM to zalecany szyfr dla wszystkich wdrożeń, zapewniający najwyższy poziom integralności i poufności danych.
• Interoperacyjność— Chociaż Webex utrzymuje obsługę starszych szyfrów (takich jak AES-CM-128-HMAC-SHA1) w celu zapewnienia interoperacyjności z systemami SIP i H.323 innych firm, organizacje, dla których priorytetem jest architektura zero-trust, powinny egzekwować szyfrowanie AES-256-GCM, jeśli pozwala na to kompatybilność urządzeń.

Protokoły transportu multimediów

Webex obsługuje transport multimediów za pomocą protokołów UDP, TCP lub TLS. Aby zapewnić optymalną wydajność transmisji głosu i obrazu, firma Cisco zdecydowanie zaleca użycie protokołu UDP.

Zagadnienia dotyczące wydajności:

• Wydajność w czasie rzeczywistym— UDP jest preferowanym sposobem transportu dla mediów w czasie rzeczywistym, ponieważ minimalizuje opóźnienia i drgania poprzez unikanie mechanizmów retransmisji i buforowania, które są nieodłączną częścią protokołów zorientowanych na połączenie.
• Wpływ TCP/TLS—Chociaż protokoły TCP i TLS zapewniają niezawodną, uporządkowaną dostawę danych, takie zachowanie jest nieproduktywne w przypadku multimediów w czasie rzeczywistym. W rezultacie retransmisje pakietów i buforowanie strumienia powodują opóźnienia i drgania, które mogą znacząco obniżyć jakość wrażeń uczestników

Webex wykorzystuje SRTP i SFrame do multimediów

Aby zachować wysokie standardy bezpieczeństwa wymagane w środowiskach WebexZero Trust, ważne jest rozróżnienie między zabezpieczeniami na poziomie transportu (SRTP) a kompleksowym szyfrowaniem na warstwie aplikacji (SFrame).

Kluczowe różnice techniczne — SRTP & SFrame

1. SRTP (bezpieczny protokół transportu w czasie rzeczywistym)

   SRTP to branżowy standard zabezpieczania strumieni multimedialnych w trakcie przesyłu.

   • Zakres— zapewnia poufność, uwierzytelnianie wiadomości i ochronę przed powtórzeniem dla ładunku RTP.
   • Kontekst operacyjny— W wielu architekturach serwer multimediów/brama multimediów (selektywna jednostka przekierowująca (SFU)) kończy połączenie SRTP w celu wykonania przetwarzania multimediów (na przykład miksowania, kompozycji układu lub transkodowania). Ponieważ SFU odszyfrowuje media w celu ich przetworzenia, media są technicznie podatne na ataki w punkcie SFU.
2. SFrame (bezpieczna ramka)

   SFrame jest standardem IETF. RFC 9605 został opracowany specjalnie w celu ułatwienia prawdziwego szyfrowania typu end-to-end w środowisku konferencji wielostronnych.

   • Zakres— Szyfruje ramki multimedialne w pakietach przed ich kapsułkowaniem w pakiety RTP. Webex dodaje dodatkową warstwę szyfrowania z wykorzystaniem protokołu SRTP.
   • Architektura Zero Trust— Ponieważ media są szyfrowane na poziomie aplikacji, SFU działa jedynie jako „ślepy” przekaźnik. Przesyła zaszyfrowane pakiety do innych uczestników, nie mając dostępu do kluczy deszyfrujących.
   • Niezależność—SFrame jest niezależny od transportu. Pozostaje bezpieczny nawet jeśli transport bazowy (UDP/TCP/TLS) jest zagrożony, gdyż kontekst bezpieczeństwa jest powiązany z punktami końcowymi uczestników, a nie z połączeniem transportowym.

SFrame to kluczowy mechanizm umożliwiający E2EE. Podczas gdy SRTP zapewnia szyfrowanie danych w trakcie przesyłania ich przez sieć, SFrame gwarantuje, że dane multimedialne pozostaną zaszyfrowane przez cały cykl życia spotkania, również wtedy, gdy znajdują się one w infrastrukturze Cisco (SFU), skutecznie usuwając dostawcę usług z granicy zaufania.

Treść spotkań Webex

Treść spotkania składa się z danych utworzonych przez uczestników lub wygenerowanych przez usługi Webex w imieniu organizatora spotkania. Obejmuje to:

• Treści związane z mediami— nagrania, transkrypcje, podsumowania i elementy działań.
• Dane współpracy— Wiadomości czatu, shared/transferred pliki, tablice i adnotacje.

Bezpieczeństwo treści spotkań Webex — kompleksowe szyfrowanie Webex

Webex zabezpiecza treści spotkań generowane przez uczestników, wykorzystując solidną technologię szyfrowania typu end-to-end (E2EE). Centralnym elementem tej architektury jest usługa Webex Key Management Service (KMS), która odpowiada za generowanie, dystrybucję i zarządzanie kluczami szyfrującymi dla wszystkich treści generowanych przez użytkowników.

Warstwy bezpieczeństwa treści spotkań

• Dane w tranzycie— Aplikacja Webex i urządzenia wideo Cisco wykorzystują kompleksowe szyfrowanie Webex (E2EE) z algorytmem AES-256-GCM do szyfrowania treści spotkań generowanych przez użytkowników, takich jak pliki nagrań, pliki podsumowań AI, wiadomości czatu itp. Rozwiązanie to jest dodatkowo objęte protokołem Transport Layer Security (TLS), zapewniając dwuwarstwową ochronę podczas transmisji.
• Dane w spoczynku— Po zapisaniu w chmurze Webex zaszyfrowana treść jest dodatkowo chroniona za pomocą szyfrowania dysku AES-256-GCM.
• Profil ochrony— To podejście chroni zawartość przed przechwyceniem protokołu TLS podczas przesyłania i gwarantuje, że przechowywane dane pozostaną niedostępne dla nieautoryzowanych podmiotów w środowisku chmurowym.

Kompleksowe szyfrowanie Webex z zarządzanym dostępem do treści dla usług podstawowych

W przeciwieństwie do kompleksowego szyfrowania Zero Trust, w którym Webex nie ma dostępu do kluczy szyfrowania multimediów ani treści, kompleksowe szyfrowanie Webex pozwala platformie wykorzystać klucze wygenerowane przez Webex KMS do odszyfrowywania danych w ramach podstawowych usług. Ten zarządzany dostęp umożliwia:

• Wyszukiwanie i indeksowanie— umożliwia użytkownikom przeszukiwanie historii treści.
• Zgodność i zarządzanie— umożliwia zapobieganie utracie danych (DLP), elektroniczne ujawnianie informacji i archiwizację danych.
• Optymalizacja multimediów— obsługuje transkodowanie plików w celu zapewnienia kompatybilności między urządzeniami.
• Bezpieczeństwo— Ułatwia skanowanie w poszukiwaniu złośliwego oprogramowania przy użyciu pakietu Extended Security Pack.

Metadane spotkań Webex

Metadane spotkań składają się z informacji administracyjnych i technicznych generowanych przez system w celu ułatwienia, śledzenia i zarządzania spotkaniami, a nie z faktycznej zawartości (dźwięku, obrazu lub udostępnianych plików) samego spotkania. Metadane można podzielić na kilka kategorii:

• Informacje o sesji— tytuł spotkania, identyfikator spotkania, planowane godziny rozpoczęcia i zakończenia oraz rzeczywisty czas trwania spotkania.
• Dane uczestników— lista zaproszonych osób i faktycznych uczestników, ich adresy IP, typy urządzeń (takie jak Windows, iPhone, Cisco Room Kit) oraz ich join/leave znaczniki czasu.
• Metryki użytkowania i jakości— dane używane do rozwiązywania problemów, takie jak utrata pakietów, drgania, opóźnienie i rozdzielczość strumienia wideo.

Jak wykorzystywane są metadane

1. Analityka i raportowanie— Administratorzy korzystają z metadanych w WebexControl Hub, aby sprawdzać, ile odbywa się spotkań, które działy są najbardziej aktywne i jaka jest ogólna jakość doświadczenia.
2. Rozwiązywanie problemów— Cisco TAC (Centrum Pomocy Technicznej) używa metadanych do identyfikowania i rozwiązywania problemów podczas spotkań.
3. Zgodność i elektroniczne ujawnianie informacji— Specjaliści ds. zgodności mogą przeszukiwać metadane, aby udowodnić, że odbyło się spotkanie, kto w nim uczestniczył i czy zostało ono nagrane, nawet jeśli nie mogą zobaczyć zaszyfrowanej treści spotkania.
4. Bezpieczeństwo— Metadane pomagają identyfikować próby nieautoryzowanego dostępu lub nietypowe wzorce, które mogą wskazywać na zagrożenie bezpieczeństwa.

Bezpieczeństwo i prywatność metadanych

• Szyfrowanie— Choć metadane nie są „szyfrowane metodą end-to-end”, są szyfrowane podczas przesyłania (za pomocą protokołu TLS) i przechowywania w bezpiecznych centrach danych Cisco.
• Kontrola dostępu— zasady ochrony prywatności firmy Cisco ściśle ograniczają dostęp osób, które mogą uzyskać dostęp do tych metadanych. Są one wykorzystywane do świadczenia i ulepszania usługi.

Aby uzyskać więcej informacji na temat treści i metadanych spotkań Webex, zapoznaj się z dokumentem Informacje o ofercie spotkań Webex.

Przypisywanie użytkownikom typów sesji spotkań

Administratorzy Webex Control Hub mogą przypisać jeden lub więcej typów spotkań, z których użytkownicy mogą korzystać podczas zaplanowanych spotkań. Domyślnie wszystkim użytkownikom przypisywane są typy spotkań: Pro Meeting i Pro-End to End Encryption_VoIPonly.

Zaplanuj spotkanie — wybierz typ spotkania

Użytkownicy mogą wybrać typ spotkania, z którego chcą skorzystać, planując spotkanie w aplikacji Webex, na stronie użytkownika Webex i w dodatku Webex Email Add-In dla programu Microsoft Outlook.

Zaplanuj spotkanie — wybierz typ spotkania w aplikacji Webex

Zaplanuj spotkanie — wybierz typ spotkania na stronie użytkownika Webex

Ustaw domyślny typ spotkania

Użytkownicy mogą ustawić domyślny typ spotkania w Spotkania > Ustawienia na stronie użytkownika Webex.

Ustaw domyślny typ spotkania na stronie użytkownika Webex

Zero Trust – kompleksowa ochrona tożsamości i zapobieganie deepfake’om

Certyfikaty tożsamości użytkowników końcowych dostarczane przez klientów stanowią podstawę zapobiegania podszywaniu się pod inne osoby podczas szyfrowanych spotkań Webex (E2EE). W przeciwieństwie do tradycyjnych mechanizmów blokujących materiały deepfake, które opierają się na analizie strumieni audio i wideo, to podejście zapewnia kryptograficzną weryfikację tożsamości w momencie przyjęcia. Zweryfikowany status jest wyświetlany bezpośrednio na liście uczestników spotkania, zapewniając przejrzystość wszystkim uczestnikom.

Firma Webex rozszerzyła obsługę certyfikatów zarządzanych przez klientów, która wcześniej była dostępna na urządzeniach RoomOS, na aplikację Webex w ramach naszej funkcji „Zapobieganie atakom deepfake”. Organizacje mogą tworzyć i zarządzać własnymi certyfikatami cyfrowymi wydawanymi przez zaufane zewnętrzne urzędy certyfikacji (CA) przy użyciu standardowych protokołów branżowych, takich jak ACME. Certyfikaty te, oparte na standardach X.509 i parach kluczy ECDSA P-256, zapewniają kryptograficzny dowód tożsamości uczestników podczas spotkań E2EE.

Kompleksowa weryfikacja tożsamości i protokół MLS

Protokół Messaging Layer Security (MLS) wykorzystuje standardowe certyfikaty X.509 do uwierzytelniania uczestników spotkań. Certyfikat to cyfrowo podpisane oświadczenie zaufanego urzędu certyfikacji, które weryfikuje tożsamość posiadacza klucza podpisującego. Uczestnicy uzyskują te certyfikaty na dwa podstawowe sposoby:

• Urządzenia zarządzane (certyfikaty dostarczone przez klienta)— W przypadku klientów stacjonarnych i mobilnych zarządzanych przez organizację na urządzeniu można zainstalować certyfikat tożsamości z zaufanego urzędu certyfikacji. Gdy użytkownik loguje się przy użyciu funkcji logowania jednokrotnego (SSO), aplikacja Webex pobiera ten certyfikat z magazynu zaufanych certyfikatów systemu operacyjnego, aby przedstawić zweryfikowaną tożsamość użytkownika. Proces ten jest również obsługiwany w przypadku urządzeń wideo Cisco zarejestrowanych w chmurze Webex.
• Domyślne (certyfikaty dostarczone przez Webex)— Jeśli nie jest dostępny żaden certyfikat dostarczony przez klienta, klient lub urządzenie Webex automatycznie używa certyfikatu wydanego przez Urząd Certyfikacji Webex, który odzwierciedla tożsamość zweryfikowaną przez Cisco.

Współdzielenie tożsamości i mechanizm awaryjny

Podczas spotkania każdy uczestnik udostępnia wszystkim pozostałym uczestnikom swój certyfikat tożsamości Webex oraz, jeśli jest dostępny, swój certyfikat tożsamości dostarczony przez klienta. Aby zapewnić bezproblemową łączność, punkt końcowy Webex stosuje się do ścisłej hierarchii: priorytetowo traktuje certyfikat dostarczony przez klienta w celu weryfikacji; jeśli certyfikat jest brakujący lub nie przejdzie walidacji, system automatycznie powraca do certyfikatu tożsamości dostarczonego przez Webex.

Wyświetlanie statusu weryfikacji tożsamości użytkownika

Gdy uczestnicy dołączają do spotkania za pomocą aplikacji Webex lub urządzeń RoomOS z certyfikatami dostarczonymi przez klienta, ich tożsamość jest weryfikowana przez innych uczestników spotkania względem wystawiającego certyfikat CA. Dzięki temu mamy pewność, że rozpoznawani są wyłącznie autoryzowani użytkownicy, co uniemożliwia atakującym podszywanie się pod uprawnionych uczestników, ponieważ certyfikaty te są jednoznacznie powiązane ze zweryfikowanymi tożsamościami i nie mogą zostać sfałszowane przez firmę Cisco ani pośredników.

Lista uczestników spotkania szyfrowanego E2E wyświetla status weryfikacji tożsamości każdego użytkownika:

• Zero-Trust E2E Verified ( domain.com ) — gdy używany jest certyfikat tożsamości dostarczony przez klienta, domena uczestnika jest wyświetlana niebieskim tekstem. Oznacza to prawdziwą tożsamość zweryfikowaną w sposób E2E, której Cisco nie ma możliwości zmienić. Na przykład na liście spotkań możesz zobaczyć, że „Kevin” ma zweryfikowany adres e-mail z domeny example.com, w kolorze niebieskim.
• Webex-Verified ( domain.com) — certyfikaty wydane przez urząd certyfikacji Webex zapewniają bardziej ograniczony poziom ochrony. Choć lepszym rozwiązaniem niż brak ochrony tożsamości jest brak ochrony, uczestnicy ci nie są oznaczani jako „zweryfikowani metodą Zero Trust E2E”. Zamiast tego status tożsamości jest wyświetlany w kolorze szarym, co oznacza, że tożsamość została zweryfikowana przez urząd certyfikacji Webex.
• Niezweryfikowany użytkownik-gość ( (Niezweryfikowany) — Mimo że tożsamość uczestników-gości nie jest uwierzytelniana (ponieważ nie ma procesu logowania), nadal potrzebują oni certyfikatu, aby dołączyć do grupy MLS na rozmowę telefoniczną lub spotkanie. Ten certyfikat jest wydawany przez urząd certyfikacji Webex i używa nazwy użytkownika „anonymous”.

Ponadto kod bezpieczeństwa spotkania uzyskany na podstawie kryptograficznego stanu wszystkich uczestników pomaga wykrywać ataki typu person-in-the-middle, umożliwiając uczestnikom sprawdzenie, czy wszyscy korzystają z tego samego bezpiecznego kontekstu spotkania. Łącząc kryptograficzną weryfikację tożsamości z kompleksowym szyfrowaniem, funkcja „zapobiegania deepfake” oferuje solidną ochronę przed podszywaniem się i zagrożeniami związanymi z mediami syntetycznymi, chroniąc integralność i poufność spotkań w aplikacji Webex i urządzeniach RoomOS.

Zarządzanie wdrażaniem certyfikatów

Organizacje mogą uprościć wdrażanie i zarządzanie tymi dostarczanymi przez klientów certyfikatami tożsamości użytkowników końcowych, instalując je na urządzeniach zarządzanych przez firmę przy użyciu aplikacji Mobile Device Management (MDM), Mobile Application Management (MAM) lub Enterprise Mobility Management (EMM). Platformy zarządzania umożliwiają administratorom IT centralne udostępnianie, konfigurowanie i kontrolowanie certyfikatów oraz powiązanych z nimi zasad bezpieczeństwa w szerokiej gamie urządzeń, niezależnie od tego, czy są one własnością firmy, czy osób prywatnych. Na przykład usługa Microsoft Intune obsługuje funkcje MDM i MAM, które umożliwiają organizacjom wdrażanie i zarządzanie aplikacją Webex App oraz jej konfiguracjami zabezpieczeń, w tym certyfikatami tożsamości, na zarządzanych urządzeniach. Podobnie Cisco Meraki Systems Manager udostępnia funkcje MDM umożliwiające rejestrowanie urządzeń, przesyłanie profili konfiguracji i wdrażanie certyfikatów w celu zapewnienia zaufanego statusu urządzenia. Korzystanie z tych rozwiązań do zarządzania zmniejsza obciążenie administracyjne, upraszcza zarządzanie cyklem życia certyfikatów i zwiększa bezpieczeństwo spotkań Webex E2EE dzięki funkcjom zapobiegania deepfake.

Trzy filary tożsamości

Skuteczne zarządzanie tożsamością i dostępem (IAM) w firmie Webex opiera się na:

• Provisioning (CRUD) — zarządzanie cyklami życia użytkowników (tworzenie, odczyt, aktualizacja, usuwanie) w celu zapewnienia, że „źródło prawdy” jest zgodne z platformą współpracy.
• Uwierzytelnianie (AuthN) — weryfikacja tożsamości użytkownika za pomocą bezpiecznych danych uwierzytelniających lub tokenów.
• Autoryzacja (AuthZ) — definiowanie szczegółowych uprawnień i poziomów dostępu do API po uwierzytelnieniu.

Aprowizacja & Zarządzanie cyklem życia

Webex obsługuje kilka metod synchronizacji użytkowników i grup:

• SCIM 2.0—Preferowany standard chmury. Automatyzuje cykl życia użytkownika, zapewniając, że wyłączenie dostawcy tożsamości automatycznie cofa dostęp do Webex.
• Directory Connector— narzędzie Cisco dla środowisk hybrydowych, łączące lokalną usługę Active Directory (AD) z chmurą Webex.
• API-Based Provisioning— wykorzystuje „People API” Webex do programowego tworzenia użytkowników i przypisywania licencji w złożonych środowiskach.
• Starszy protokół LDAP— obsługiwany w przypadku katalogów lokalnych (np. CUCM), choć mniej zoptymalizowany pod kątem nowoczesnego ruchu w chmurze.

Uwierzytelnianie & Ramy autoryzacji

• Uwierzytelnianie (AuthN):

• SAML 2.0— standard korporacyjny dla logowania jednokrotnego (SSO). Webex działa jako Dostawca Usług (SP), weryfikując potwierdzenia XML od korporacyjnego dostawcy tożsamości.
• OIDC (OpenID Connect)— Nowoczesna, lekka warstwa tożsamości oparta na OAuth 2.0 przy użyciu tokenów internetowych JSON (JWT). Obsługuje „adresy URL Discovery” umożliwiające automatyczną konfigurację.

• Autoryzacja (AuthZ):

• OAuth 2.0— zarządza dostępem do API za pomocą krótkotrwałych tokenów dostępu (definiujących zakresy) i długotrwałych tokenów odświeżania. Zapewnia bezpieczeństwo za pośrednictwem protokołu PKCE (Proof Key for Code Exchange) dla klientów publicznych.

Integracja & Strategie Multi-IdP

Webex udostępnia specjalistyczne ścieżki umożliwiające bezproblemową integrację:

• Kreator Entra ID— zalecana ścieżka dla środowisk Microsoft. Wykorzystuje interfejs API Microsoft Graph do zaawansowanej synchronizacji atrybutów (awatary, hierarchie) i automatyzuje OIDC/SAML konfiguracja.
• Duo Security— dodaje funkcję „Ciągłego bezpieczeństwa tożsamości” poprzez weryfikację postawy urządzenia i włączenie uwierzytelniania wieloskładnikowego odpornego na phishing.

Obsługa wielu dostawców tożsamości:Webex umożliwia organizacjom federację wielu niezależnych dostawców tożsamości w ramach jednego centrum sterowania.

• Przykłady zastosowań — fuzje, przejęcia lub zdecentralizowane działy IT.
• Trasowanie — żądania uwierzytelniania są kierowane na podstawie domen lub grup użytkowników.
• Rozważenie — wymaga ścisłej koordynacji w celu utrzymania spójnych zasad bezpieczeństwa we wszystkich źródłach federacyjnych.

Przykłady najczęstszych integracji tożsamości IdP z Webex:

Najlepsze praktyki i odporność

• Odzyskiwanie SSO — zawsze korzystaj z wbudowanego łącza „Odzyskiwanie SSO” w Control Hub, aby ominąć logowanie SSO za pomocą jednorazowego hasła (OTP), jeśli konfiguracja dostawcy tożsamości się nie powiedzie.
• Zarządzanie certyfikatami — monitorowanie wygasania certyfikatów SAML. Kreator SSO automatyzuje wymianę metadanych, redukując liczbę błędów popełnianych ręcznie.
• Rozwiązywanie problemów — użyj narzędzia SAML Tracer do inspekcji potwierdzeń XML i weryfikacji formatów NameID, jeśli wystąpią problemy z uwierzytelnianiem.
• Postawa bezpieczeństwa — regularnie wycofuj starsze typy uprawnień i upewnij się, że PKCE jest zaimplementowany dla wszystkich publicznych integracji klientów.

Wnioski — tożsamość spotkań Webex

Solidna strategia tożsamości to ciągły proces cyklu życia. Łącząc SCIM w celu zapewnienia, OIDC/SAML w przypadku uwierzytelniania i OAuth do autoryzacji, organizacje mogą zagwarantować użytkownikom bezpieczne i bezproblemowe działanie, zachowując jednocześnie ścisłą kontrolę administracyjną.

Cykl życia bezpiecznego rozwoju Cisco

W firmie Cisco bezpieczeństwo nie jest kwestią drugorzędną. Jest to zdyscyplinowane podejście do tworzenia i dostarczania światowej klasy produktów i usług od podstaw. Wszystkie zespoły ds. rozwoju produktów Cisco^® są zobowiązane do przestrzegania zasad cyklu życia bezpiecznego rozwoju Cisco. Jest to powtarzalny i mierzalny proces mający na celu zwiększenie odporności i niezawodności produktów Cisco. Połączenie narzędzi, procesów i szkoleń podnoszących świadomość wdrażanych na wszystkich etapach cyklu rozwoju oprogramowania pomaga zapewnić głęboką obronę. Zapewnia również holistyczne podejście do kwestii odporności produktu. Zespół ds. rozwoju produktu Webex z pasją śledzi ten cykl życia w każdym aspekcie rozwoju produktu.

Dowiedz się więcej o Bezpiecznym cyklu rozwoju.

Podstawowe narzędzia bezpieczeństwa Cisco

Dział bezpieczeństwa i zaufania Cisco udostępnia proces i niezbędne narzędzia, które umożliwiają każdemu deweloperowi zajęcie spójnego stanowiska w obliczu decyzji związanych z bezpieczeństwem.

Posiadanie dedykowanych zespołów zajmujących się tworzeniem i udostępnianiem takich narzędzi eliminuje niepewność w procesie rozwoju produktu.

Przykłady narzędzi obejmują:

• Wymagania dotyczące podstawowego poziomu bezpieczeństwa produktu (PSB), które produkty muszą spełniać
• Narzędzia do tworzenia zagrożeń używane podczas modelowania zagrożeń
• Wytyczne dotyczące kodowania
• Zweryfikowane lub certyfikowane biblioteki, z których mogą korzystać programiści zamiast pisać własny kod bezpieczeństwa
• Narzędzia do testowania luk w zabezpieczeniach (do analizy statycznej i dynamicznej) używane po opracowaniu oprogramowania w celu sprawdzenia pod kątem luk w zabezpieczeniach
• Śledzenie oprogramowania, które monitoruje biblioteki Cisco i innych firm oraz powiadamia zespoły produktowe w przypadku zidentyfikowania luki w zabezpieczeniach

Struktura organizacyjna, która zapewnia bezpieczeństwo procesom Cisco

W Cisco istnieją specjalne działy odpowiedzialne za wdrażanie i zarządzanie procesami bezpieczeństwa w całej firmie. Aby być na bieżąco z zagrożeniami i wyzwaniami bezpieczeństwa, Cisco opiera się na:

• Zespół Cisco Information Security (InfoSec) Cloud
• Zespół reagowania na incydenty bezpieczeństwa produktów Cisco (PSIRT)
• Wspólna odpowiedzialność za bezpieczeństwo

Cisco InfoSec Cloud

Zespół ten, na którego czele stoi Dyrektor ds. Bezpieczeństwa w Chmurze, odpowiada za dostarczanie naszym klientom bezpiecznego środowiska Webex. Firma InfoSec realizuje to poprzez definiowanie i egzekwowanie procesów i narzędzi bezpieczeństwa dla wszystkich funkcji związanych z dostarczaniem rozwiązania Webex do naszych klientów.

Ponadto Cisco InfoSec Cloud współpracuje z innymi zespołami Cisco w celu reagowania na wszelkie zagrożenia bezpieczeństwa usługi Webex.

Cisco InfoSec odpowiada również za ciągłe doskonalenie bezpieczeństwa firmy Webex.

Zespół reagowania na incydenty bezpieczeństwa produktów Cisco (PSIRT)

Cisco PSIRT to wyspecjalizowany globalny zespół, który zajmuje się napływem, badaniem i zgłaszaniem problemów dotyczących bezpieczeństwa produktów i usług Cisco. W zależności od powagi problemu bezpieczeństwa, PSIRT korzysta z różnych mediów do publikowania informacji. Rodzaj raportowania zmienia się w zależności od następujących warunków:

• Istnieją poprawki oprogramowania lub obejścia mające na celu usunięcie luki w zabezpieczeniach lub planowane jest późniejsze publiczne ujawnienie poprawek kodu w celu usunięcia luk o wysokim stopniu zagrożenia
• PSIRT zaobserwował aktywne wykorzystywanie luki w zabezpieczeniach, która może narazić klientów Cisco na większe ryzyko. W tym przypadku PSIRT może przyspieszyć publikację komunikatu bezpieczeństwa opisującego lukę w zabezpieczeniach, jeśli nie będą dostępne pełne poprawki.
• Uświadomienie sobie przez opinię publiczną podatności na zagrożenia związane z produktami Cisco może skutkować większym ryzykiem dla klientów Cisco. PSIRT może również ostrzegać klientów, nawet gdy nie ma pełnej dostępności poprawek.

We wszystkich przypadkach PSIRT ujawnia minimalną ilość informacji, których użytkownicy końcowi będą potrzebować, aby ocenić wpływ luki w zabezpieczeniach i podjąć kroki niezbędne do ochrony swojego środowiska. Zespół PSIRT korzysta ze skali CVSS (Common Vulnerability Scoring System) w celu oceny stopnia zagrożenia ujawnionego problemu. PSIRT nie udostępnia szczegółów dotyczących luk w zabezpieczeniach, które mogłyby umożliwić komuś stworzenie exploita.

Więcej informacji na temat zespołu PSIRT można znaleźć w artykule Zespół reagowania na incydenty bezpieczeństwa produktów Cisco.

Odpowiedzialność za bezpieczeństwo

Mimo że za bezpieczeństwo odpowiada każda osoba w grupie Webex, główne zasady są następujące:

• Dyrektor ds. bezpieczeństwa, Cloud
• Wiceprezes i dyrektor generalny Cisco Cloud Collaboration Applications
• Wiceprezes ds. inżynierii, Cisco Cloud Collaboration Applications
• Wiceprezes ds. zarządzania produktami, Cisco Cloud Collaboration Applications

Testy penetracyjne wewnętrzne i zewnętrzne

Grupa Webex regularnie przeprowadza rygorystyczne testy penetracyjne, korzystając z usług wewnętrznych asesorów. Oprócz własnych rygorystycznych procedur wewnętrznych Cisco InfoSec współpracuje również z wieloma niezależnymi podmiotami zewnętrznymi, które przeprowadzają rygorystyczne audyty wewnętrznych polityk, procedur i aplikacji Cisco. Audyty te mają na celu sprawdzenie spełnienia wymagań bezpieczeństwa o znaczeniu krytycznym dla zastosowań komercyjnych i rządowych. Cisco korzysta również z usług zewnętrznych dostawców, którzy przeprowadzają ciągłe, dogłębne testy penetracyjne wspomagane kodem oraz oceny usług. W ramach współpracy podmiot zewnętrzny przeprowadza następujące oceny bezpieczeństwa:

• Identyfikacja krytycznych luk w aplikacjach i usługach oraz proponowanie rozwiązań
• Rekomendowanie ogólnych obszarów do poprawy architektury
• Identyfikowanie błędów kodowania i udzielanie wskazówek dotyczących udoskonalania praktyki kodowania

Niezależni asesorzy współpracują bezpośrednio z zespołem inżynierów Webex w celu wyjaśnienia ustaleń i zatwierdzenia działań naprawczych. Informacje na temat poświadczenia testu penetracyjnego można znaleźć w pakiecie poświadczeń zaufania Webex Meetings.

Bezpieczeństwo fizyczne

Bezpieczeństwo fizyczne w centrum danych obejmuje monitoring wideo obiektów i budynków oraz obowiązkową dwuskładnikową identyfikację przy wejściu. W centrach danych Cisco dostęp kontrolowany jest za pomocą czytników identyfikatorów i kontroli biometrycznej. Ponadto elementy sterowania środowiskowego (na przykład czujniki temperatury i systemy przeciwpożarowe) oraz infrastruktura zapewniająca ciągłość działania usług (np. zasilanie awaryjne) pomagają zagwarantować nieprzerwaną pracę systemów.

Serwery centrów danych są podzielone na „strefy zaufania” na podstawie wrażliwości infrastruktury. Na przykład bazy danych są „zamykane w klatki”, infrastruktura sieciowa ma wydzielone pomieszczenia, a wszystkie stojaki ze sprzętem są zamykane na klucz. Do centrów danych mogą wchodzić wyłącznie pracownicy ochrony Cisco i upoważnieni goście pod opieką personelu Cisco.

Sieć produkcyjna Cisco jest siecią cieszącą się najwyższym zaufaniem: dostęp do sieci ma tylko nieliczne osoby obdarzone wysokim poziomem zaufania.

Infrastruktura i bezpieczeństwo platformy

Bezpieczeństwo platformy obejmuje bezpieczeństwo sieci, systemów i całego centrum danych Webex. Przed wdrożeniem produkcyjnym wszystkie systemy przechodzą dokładną kontrolę bezpieczeństwa i walidację akceptacji, a także regularne wzmacnianie zabezpieczeń, instalowanie poprawek bezpieczeństwa oraz skanowanie i ocenę podatności.

Serwery są wzmacniane zgodnie z Wytycznymi STIG (Security Technical Implementation Guidelines) opublikowanymi przez Narodowy Instytut Norm i Technologii (NIST). Zapory sieciowe chronią granice sieci. Listy kontroli dostępu (ACL) oddzielają różne strefy bezpieczeństwa. Wdrożono systemy wykrywania włamań (IDS), a wszystkie działania są podpisywane i monitorowane na bieżąco. Codziennie przeprowadzane są wewnętrzne i zewnętrzne skany bezpieczeństwa w Webex. Wszystkie systemy są wzmacniane i łatane w ramach regularnej konserwacji. Dodatkowo skanowanie i ocena podatności są przeprowadzane w sposób ciągły.

Ciągłość świadczenia usług i odzyskiwanie danych po awarii są kluczowymi elementami planowania bezpieczeństwa. Projekt centrów danych Cisco uwzględniający globalne kopie zapasowe lokalizacji i wysoką dostępność umożliwia geograficzne przełączanie awaryjne usług Webex. Nie ma pojedynczego punktu awarii.

Dane administracyjne

Informacje o pracownikach lub przedstawicielach klienta lub innej strony trzeciej, które są gromadzone i wykorzystywane przez Cisco w celu administrowania lub zarządzania dostawą produktów lub usług Cisco albo w celu administrowania lub zarządzania kontem klienta lub strony trzeciej w celach biznesowych Cisco.

Dane administracyjne mogą obejmować imię i nazwisko, adres, numer telefonu, adres e-mail i informacje o zobowiązaniach umownych między firmą Cisco a stroną trzecią, niezależnie od tego, czy zostały zebrane w momencie początkowej rejestracji, czy później w związku z zarządzaniem lub administrowaniem produktami lub usługami firmy Cisco.

Dane administracyjne mogą również obejmować tytuł spotkania, godzinę i inne atrybuty spotkań prowadzonych w serwisie Webex przez pracowników lub przedstawicieli klienta. Inne przykłady danych administracyjnych mogą obejmować tytuł spotkania, godzinę spotkania i inne atrybuty spotkań organizowanych za pośrednictwem Webex.

Dane klienta

Obejmuje to wszystkie dane (w tym pliki tekstowe, audio, wideo, obrazy i nagrania), które są przekazywane firmie Cisco przez klienta w związku z korzystaniem przez niego z produktów lub usług Cisco lub które są opracowywane przez firmę Cisco na specjalne życzenie klienta zgodnie z oświadczeniem o pracach lub umową.

Dane klientów obejmują również pliki dziennika, konfiguracji lub oprogramowania sprzętowego, a także zrzuty pamięci.

Są to dane pobrane z produktu lub usługi i przekazane firmie Cisco, które pomagają nam rozwiązać problem związany z prośbą o pomoc techniczną. Dane klienta nie obejmują danych administracyjnych, danych pomocniczych ani danych telemetrycznych.

Dane pomocnicze

Informacje gromadzone przez firmę Cisco w momencie, gdy klient zgłasza prośbę o pomoc techniczną lub inny sposób rozwiązywania problemów, w tym informacje o sprzęcie i oprogramowaniu. Zawiera szczegóły dotyczące danego zdarzenia pomocy technicznej, takie jak informacje uwierzytelniające, informacje o stanie produktu, systemu, dane rejestru dotyczące instalacji oprogramowania i konfiguracji sprzętu oraz pliki śledzenia błędów. Dane dotyczące pomocy technicznej nie obejmują plików dziennika, konfiguracji ani oprogramowania sprzętowego, ani zrzutów pamięci produktu pobranych z serwera i przekazanych nam w celu ułatwienia rozwiązania problemu związanego z prośbą o pomoc techniczną – wszystkie te dane stanowią przykłady danych klienta.

Dane telemetryczne

Informacje generowane przez systemy pomiarowe i rejestrujące, tworzone w trakcie użytkowania i obsługi produktu lub usługi.

Wszystkie dane gromadzone w chmurze Webex są chronione kilkoma warstwami solidnych technologii i procesów bezpieczeństwa. Poniżej znajdują się przykłady kontroli umieszczonych na różnych warstwach operacji Webex w celu ochrony danych klientów:

• Kontrola dostępu fizycznego— Dostęp fizyczny jest kontrolowany za pomocą biometrii, odznak i monitoringu wideo. Dostęp do centrum danych wymaga uzyskania zezwolenia i jest zarządzany za pośrednictwem elektronicznego systemu biletowego.
• Kontrola dostępu do sieci— obwód sieci Webex jest chroniony przez zapory sieciowe. Każdy ruch sieciowy przychodzący do centrum danych Webex lub wychodzący z niego jest stale monitorowany za pomocą systemu wykrywania włamań (IDS). Sieć Webex jest również podzielona na oddzielne strefy bezpieczeństwa. Ruch między strefami kontrolowany jest przez zapory sieciowe i listy kontroli dostępu (ACL).
• Kontrola monitorowania i zarządzania infrastrukturą— Każdy komponent infrastruktury, w tym urządzenia sieciowe, serwery aplikacji i bazy danych, jest ściśle przestrzegany zgodnie z wytycznymi. Są one również regularnie skanowane w celu identyfikacji i rozwiązania wszelkich problemów związanych z bezpieczeństwem.
• Kontrole kryptograficzne— Jak wspomniano wcześniej, wszystkie dane przesyłane do i z centrum danych Webex do zarejestrowanych w chmurze aplikacji Webex i urządzeń Webex są szyfrowane, z wyjątkiem ruchu PSTN i niezaszyfrowanych danych. SIP/H323 urządzeń wideo na spotkaniu w chmurze. Ponadto krytyczne dane przechowywane w Webex, takie jak hasła, są szyfrowane.

Pracownicy Cisco nie mają dostępu do danych klientów, chyba że klient poprosi o dostęp w celu uzyskania wsparcia. Dostęp do systemów w tym przypadku dozwolony jest przez kierownika wyłącznie zgodnie z zasadą „podziału obowiązków”. Udziela się go wyłącznie osobom, którym wiedza jest niezbędna i zapewnia jedynie taki poziom dostępu, jaki jest konieczny do wykonania zadania. Dostęp pracowników do tych systemów jest regularnie sprawdzany pod kątem zgodności. Pracownicy mający taki dostęp są zobowiązani do wzięcia udziału w corocznym szkoleniu Międzynarodowej Organizacji Normalizacyjnej (ISO) 27001 w zakresie świadomości bezpieczeństwa informacji.

Oprócz tych specjalistycznych kontroli, każdy pracownik Cisco przechodzi weryfikację przeszłości, podpisuje umowę o zachowaniu poufności (NDA) i kończy szkolenie z zakresu Kodeksu postępowania biznesowego (COBC).

Ustawa o przenośności i odpowiedzialności w ubezpieczeniach zdrowotnych (HIPAA)

Cisco może dostarczyć informacji dotyczących funkcjonalności, technologii i bezpieczeństwa rozwiązania Webex. Podmiot podlegający ustawie HIPAA musi skonsultować się z własnym doradcą prawnym, aby ustalić, czy funkcjonalność Webex jest zgodna z jego procesami biznesowymi i spełnia wymogi RODO.

• Zgodność z RODO
• Informacje o ofercie spotkań Cisco Webex

Normy branżowe i certyfikaty

Oprócz przestrzegania naszych rygorystycznych standardów wewnętrznych, Webex stale poddaje się walidacji przeprowadzanej przez podmioty zewnętrzne, aby wykazać nasze zaangażowanie w zapewnianie bezpieczeństwa informacji. Webex to:

• Certyfikat ISO 27001, 27017, 27018 i 27701
• Kontrole organizacji usługowej (SOC) 2 typu II poddane audytowi
• Certyfikat SOC 3
• Kodeks postępowania w chmurze
• CSTAR
• Atestacja katalogu kontroli zgodności przetwarzania w chmurze (C5)
• Certyfikat FedRAMP (odwiedź cisco.com/go/fedramp aby uzyskać więcej szczegółów, zakresu i dostępności)

Aby uzyskać pełny zestaw dokumentów dotyczących bezpieczeństwa, prywatności i zgodności, w tym szczegółowe informacje na temat powyższych standardów i certyfikatów, zapoznaj się z Cisco Trust Portal.