Bezpieczeństwo fizyczne

Ważne jest zapewnienie fizycznego bezpieczeństwa lokalizacji Equinix Meet-Me Room i obiektów Cisco Dedicated Instance Data Center. Gdy bezpieczeństwo fizyczne jest zagrożone, można zainicjować proste ataki, takie jak zakłócenie usług poprzez wyłączenie zasilania przełączników klienta. Dzięki fizycznemu dostępowi atakujący mogą uzyskać dostęp do urządzeń serwerowych, zresetować hasła i uzyskać dostęp do przełączników. Dostęp fizyczny ułatwia również bardziej wyrafinowane ataki, takie jak ataki typu man-in-the-middle, dlatego druga warstwa bezpieczeństwa, bezpieczeństwo sieci, ma kluczowe znaczenie.

Dyski samoszyfrujące są używane w dedykowanych centrach danych instancji, które hostują aplikacje UC.

Aby uzyskać więcej informacji na temat ogólnych praktyk bezpieczeństwa, zapoznaj się z dokumentacją pod następującym adresem: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Bezpieczeństwo sieci

Partnerzy muszą upewnić się, że wszystkie elementy sieci są zabezpieczone w infrastrukturze dedykowanej instancji (która łączy się przez Equinix). Obowiązkiem partnera jest zapewnienie najlepszych praktyk w zakresie bezpieczeństwa, takich jak:

• Oddzielna sieć VLAN dla głosu i danych

• Włącz zabezpieczenie portów, które ogranicza liczbę adresów MAC dozwolonych na port, przed zalaniem tabeli CAM

• Ochrona źródła IP przed fałszywymi adresami IP

• Dynamiczna inspekcja ARP (DAI) bada protokół rozpoznawania adresów (ARP) i bezpłatnego ARP (GARP) pod kątem naruszeń (przeciwko fałszowaniu ARP)

• 802.1x ogranicza dostęp do sieci do uwierzytelniania urządzeń na przypisanych sieciach VLAN (telefony obsługują 802.1x)

• Konfiguracja jakości usługi (QoS) dla odpowiedniego oznaczania pakietów głosowych

• Konfiguracje portów zapory sieciowej umożliwiające blokowanie innego ruchu

Zabezpieczenia punktów końcowych

Punkty końcowe Cisco obsługują domyślne funkcje zabezpieczeń, takie jak podpisane oprogramowanie układowe, bezpieczny rozruch (wybrane modele), certyfikat zainstalowany przez producenta (MIC) i podpisane pliki konfiguracyjne, które zapewniają pewien poziom bezpieczeństwa dla punktów końcowych.

Ponadto partner lub klient może włączyć dodatkowe zabezpieczenia, takie jak:

• Szyfruj usługi telefoniczne IP (poprzez HTTPS) dla usług takich jak Extension Mobility

• Wydawanie certyfikatów o znaczeniu lokalnym (LSC) z funkcji proxy urzędu certyfikacji (CAPF) lub publicznego organu certyfikacji (CA)

• Szyfruj pliki konfiguracyjne

• Szyfruj media i sygnalizację

• Wyłącz te ustawienia, jeśli nie są używane: port PC, PC Voice VLAN Access, Bezpłatny ARP, dostęp do sieci Web, przycisk ustawień, SSH, konsola

Wdrożenie mechanizmów bezpieczeństwa w dedykowanej instancji zapobiega kradzieży tożsamości telefonów i Unified CM serwera, manipulowaniu danych oraz manipulowaniu sygnałów/manipulowaniu strumieniem mediów.

Dedykowana instancja przez sieć:

• Ustanawia i utrzymuje uwierzytelnione strumienie komunikacyjne

• Cyfrowo podpisuje pliki przed przeniesieniem pliku do telefonu

• Szyfruje strumienie mediów i sygnalizację połączeń między telefonami Cisco Unified IP

Bezpieczeństwo domyślnie zapewnia następujące automatyczne funkcje bezpieczeństwa dla telefonów Cisco Unified IP:

• Podpisywanie plików konfiguracyjnych telefonu

• Obsługa szyfrowania plików konfiguracyjnych telefonu

• HTTPS z Tomcat i innymi usługami sieciowymi (MIDLets)

W Unified CM wersji 8.0 nowszej te funkcje zabezpieczeń są domyślnie udostępniane bez uruchamiania klienta Certificate Trust List (CTL).

Ponieważ w sieci jest duża liczba telefonów, a telefony IP mają ograniczoną pamięć, Cisco Unified CM działa jako zdalny magazyn zaufania za pośrednictwem usługi weryfikacji zaufania (TVS), dzięki czemu magazyn zaufania certyfikatów nie musi być umieszczany na każdym telefonie. Telefony IP firmy Cisco kontaktują się z serwerem TVS w celu weryfikacji, ponieważ nie mogą zweryfikować podpisu ani certyfikatu za pomocą plików CTL lub ITL. Posiadanie centralnego sklepu zaufania jest łatwiejsze w zarządzaniu niż posiadanie sklepu zaufania na każdym telefonie Cisco Unified IP.

TVS umożliwia telefonom Cisco Unified IP uwierzytelnianie serwerów aplikacji, takich jak usługi EM, katalog i MIDlet, podczas tworzenia protokołu HTTPS.

Plik Initial Trust List (ITL) jest używany do początkowego zabezpiec zenia, dzięki czemu punkty końcowe mogą zaufać. Cisco Unified CM ITL nie wymaga żadnych funkcji bezpieczeństwa, aby były jawnie włączone. Plik ITL jest tworzony automatycznie po zainstalowaniu klastra. Klucz prywatny serwera Unified CM Trivial File Transfer Protocol (TFTP) służy do podpisania pliku ITL.

Gdy Cisco Unified CM klaster lub serwer jest w trybie niezabezpieczonym, plik ITL jest pobierany na każdy obsługiwany telefon IP Cisco. Partner może przeglądać zawartość pliku ITL za pomocą polecenia CLI admin: show itl.

Telefony IP Cisco potrzebują pliku ITL do wykonywania następujących zadań:

• Bezpieczna komunikacja z CAPF, warunkiem koniecznym do obsługi szyfrowania plików konfiguracyjnych

• Uwierzytelnianie podpisu pliku konfiguracyjnego

• Uwierzytelnianie serwerów aplikacji, takich jak usługi EM, katalog i MIDlet podczas tworzenia protokołu HTTPS za pomocą TVS

Uwierzytelnianie urządzeń, plików i sygnalizacji opiera się na utworzeniu pliku listy zaufania certyfikatów (CTL), który jest tworzony, gdy partner lub klient instaluje i konfiguruje klienta listy zaufania certyfikatów Cisco.

Plik CTL zawiera wpisy dla następujących serwerów lub tokenów bezpieczeństwa:

• Token bezpieczeństwa administratora systemu (SAST)

• Cisco CallManageri usługi Cisco TFTP, które działają na tym samym serwerze

• Certificate AuthorityFunkcja proxy (CAPF)

• Serwer (y) TFTP

• Zapora sieciowa ASA

Plik CTL zawiera certyfikat serwera, klucz publiczny, numer seryjny, podpis, nazwę wydawcy, nazwę podmiotu, funkcję serwera, nazwę DNS i adres IP dla każdego serwera.

Bezpieczeństwo telefonu za pomocą CTL zapewnia następujące funkcje:

• Uwierzytelnianie pobranych plików TFTP (konfiguracja, ustawienia regionalne, lista dzwonków itd.) przy użyciu klucza podpisywania

• Szyfrowanie plików konfiguracyjnych TFTP przy użyciu klucza podpisującego

• Szyfrowana sygnalizacja połączeń dla telefonów IP

• Szyfrowany dźwięk połączeń (media) dla telefonów IP

Dedicated Instance zapewnia rejestrację punktów końcowych i przetwarzanie połączeń. Sygnalizacja między punkt Cisco Unified CM ami końcowymi opiera się na protokole Secure Skinny Client Control Protocol (SCCP) lub protokołu inicjacji sesji (SIP) i może być szyfrowana przy użyciu Transport Layer Security (TLS). Nośniki z/do punktów końcowych są oparte na protokole transportu w czasie rzeczywistym (RTP) i mogą być również szyfrowane za pomocą Secure RTP (SRTP).

Włączenie trybu miesz Unified CM anego umożliwia szyfrowanie sygnalizacji i ruchu mediów z i do punktów końcowych Cisco.

Bezpieczne aplikacje UC

Tryb mieszany jest domyślnie włączony w Instancji dedykowanej.

Włączenie trybu mieszanego w instancji dedykowanej umożliwia szyfrowanie sygnalizacji i ruchu medialnego z i do punktów końcowych Cisco.

Od Cisco Unified CM wersji 12.5 (1) dla klientów Jabber i Webex dodano nową opcję umożliwiającą szyfrowanie sygnalizacji i mediów opartych na SIP OAuth zamiast trybu mieszanego/CTL. Dlatego w Unified CM wersji 12.5 (1) SIP OAuth i SRTP mogą być używane do szyfrowania sygnalizacji i mediów dla klientów Jabber lub Webex. Włączenie trybu mieszanego jest obecnie wymagane w przypadku telefonów IP Cisco i innych punktów końcowych Cisco. Istnieje plan dodania wsparcia dla SIP OAuth w punktach końcowych 7800/8800 w przyszłym wydaniu.

Zabezpieczanie komunikacji pomiędzy Cisco Unified CM i CUBE

Aby zapewnić bezpieczną komunikację między program Cisco Unified CM em CUBE, partnerzy/klienci muszą korzystać z certyfikatów podpisanych samodzielnie lub certyfikatów podpisanych przez firmę CA.

W przypadku certyfikatów podpisanych samodzielnie:

1. CUBE i Cisco Unified CM generuj certyfikaty podpisane samodzielnie

2. CUBE eksportuje certyfikat do Cisco Unified CM

3. Cisco Unified CMeksportuje certyfikat do CUBE

W przypadku certyfikatów podpisanych przez CA:

1. Klient generuje parę kluczy i wysyła żądanie podpisania certyfikatu (CSR) do (CACertificate Authority)

2. CA podpisuje go kluczem prywatnym, tworząc Certyfikat tożsamości

3. Klient instaluje listę zaufanych certyfikatów głównych i pośredników CA oraz certyfikat tożsamości

Podsumowanie protokołu

Poniższa tabela przedstawia protokoły i powiązane usługi używane w Unified CM rozwiązaniu.

Aby uzyskać więcej informacji na temat konfiguracji MRA, zobacz sekcję Scenariusze wdrażania MRA w Przewodniku wdrażania urządzeń przenośnych i Remote Access Cisco Expressway drogowych.

Zabezpieczanie Jabber i Webex za pomocą SIP OAuth

Klienci Jabber i Webex są uwierzytelniani za pomocą tokena OAuth zamiast lokalnie znaczącego certyfikatu (LSC), który nie wymaga włączenia funkcji proxy certyfikatu (CAPF) (również dla MRA). SIP OAuth pracujący z trybem mieszanym lub bez został wprowadzony w wersji Cisco Unified CM 12.5 (1) i nowszych, Jabber 12.5 i nowszych oraz Ex pressway X12.5.

W wersji Cisco Unified CM 12.5 i nowszych mamy nową opcję w Phone Security Profile, która umożliwia szyfrowanie bez LSC/CAPF, przy użyciu pojedynczego tokena Transport Layer Security (TLS) + OAuth w SIP REGISTER. Węzły ExpressWay-C używają interfejsu API Administrative XML Web Service (AXL) do informowania o SN/SAN Cisco Unified CM w swoim certyfikacie. Cisco Unified CMwykorzystuje te informacje do weryfikacji certyfikatu Exp-C podczas nawiązywania wzajem nego połączenia TLS.

SIP OAuth umożliwia szyfrowanie mediów i sygnalizacji bez certyfikatu punktu końcowego (LSC).

Cisco Jabberużywa portów efemerycznych i bezpiecznych portów 6971 i 6972 za pośrednictwem połączenia HTTPS z serwerem TFTP do pobrania plików konfiguracyjnych. Port 6970 jest niezabezpieczonym portem do pobrania za pośrednictwem protokołu HTTP.

Więcej szczegółów na temat konfiguracji SIP OAuth: SIP O Auth Mode.