Obrigado pelos seus comentários.

Os recursos de segurança protegem contra ameaças, incluindo ameaças à identidade do telefone e aos dados. Os recursos estabelecem e mantêm fluxos de comunicação autenticados entre o telefone e o servidor Cisco Unified Communications Manager, além de garantir que o telefone use apenas arquivos assinados digitalmente.

O Cisco Unified Communications Manager versão 8.5(1) e posterior inclui a opção Segurança por padrão, que fornece os seguintes recursos de segurança para Telefones IP Cisco sem executar o cliente CTL:

• Assinatura dos arquivos de configuração do telefone

• Criptografia dos arquivos de configuração do telefone

• HTTPS com Tomcat e outros serviços Web

Implementar a segurança no sistema Cisco Unified Communications Manager impede o roubo de identidade do telefone e do servidor Cisco Unified Communications Manager, impede a violação de dados e impede a adulteração da sinalização de chamadas do fluxo de mídia.

Para minimizar essas ameaças, a rede de telefonia IP da Cisco estabelece e mantém fluxos de comunicação seguros (criptografados) entre um telefone e o servidor, assina digitalmente os arquivos antes de serem transferidos para um telefone e criptografa fluxos de mídia e a sinalização de chamadas entre Telefones IP Cisco.

Um LSC (Locally Significant Certificate) é instalado nos telefones depois que você executa as tarefas necessárias associadas à função de proxy de autoridade de certificação (CAPF). Você pode usar Cisco Unified Communications Manager Administration para configurar um LSC, conforme descrito no Cisco Unified Communications Manager Security Guide. Como alternativa, você pode iniciar a instalação de um LSC no menu Segurança do telefone. Este menu também permite atualizar ou remover um LSC.

Os telefones usam o perfil de segurança do telefone, que define se o dispositivo está seguro ou não. Para obter informações sobre como aplicar o perfil de segurança ao telefone, consulte a documentação da sua versão específica do Cisco Unified Communications Manager.

Se você definir configurações de segurança na Administração do Cisco Unified Communications Manager, o arquivo de configuração do telefone conterá informações confidenciais. Para garantir a privacidade de um arquivo de configuração, você deve configurá-lo para criptografia. Para obter informações detalhadas, consulte a documentação da sua versão específica do Cisco Unified Communications Manager.

A tabela a seguir fornece uma visão geral dos recursos de segurança suportados pelos telefones. Para obter mais informações, consulte a documentação da sua versão específica do Cisco Unified Communications Manager.

A tabela a seguir contém as mensagens de alarme de atualização da lista de confiança e seus significados. Para obter mais informações, consulte a documentação do Cisco Unified Communications Manager.

Quando a segurança é implementada para um telefone, você pode identificar chamadas telefônicas seguras por ícones na tela do telefone. Também será possível determinar se o telefone conectado está seguro e protegido se um tom de segurança for tocado no início da chamada.

Em uma chamada segura, todos os fluxos de mídia e sinalização de chamada são criptografados. Uma chamada segura oferece um alto nível de segurança, fornecendo integridade e privacidade à chamada. Quando uma chamada em andamento é criptografada, você pode ver o ícone seguro Na linha.

Em Cisco Unified Communications Manager, os telefones configurados como seguros (criptografados e confiáveis) podem receber um status de proteção. Depois de protegidos, esses dispositivos podem ser configurados para reproduzir um sinal de segurança no início de cada chamada.

• Dispositivo protegido:

  Para alterar o status de um telefone seguro para protegido:

  1. Em Cisco Unified Communications Manager Administration, selecione Dispositivo > Phone.
  2. Localize o telefone que você irá configurar.
  3. Na janela Configuração do telefone, marque a caixa de seleção Dispositivo protegido.
  4. Clique em Save (Salvar).

• Reproduzir sinal de indicação de segurança:

  Para ativar o telefone protegido para reproduzir um sinal de indicação seguro ou não seguro:

  1. Em Cisco Unified Communications Manager Administration, selecione Parâmetros > Serviço do sistema.
  2. Selecione o servidor e depois o serviçoCisco CallManager .
  3. Na área Parâmetros em todo o cluster (Recurso - Tom seguro), defina o tom de reprodução como Indicação de configuração de status de chamada segura/não segura como Verdadeiro.
  4. Clique em Save (Salvar).

Como todos os dispositivos de WLAN que estão no intervalo podem receber todo o tráfego da WLAN, proteger a comunicação por voz é algo essencial nessas redes. Para garantir que os intrusos não manipulem nem interceptam o tráfego de voz, a arquitetura Cisco SEGURANÇA SEGURA suporta o telefone. Para obter mais informações sobre segurança nas redes, consulte http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

A solução de telefonia Cisco sem fio IP fornece segurança de rede sem fio que impede entradas não autorizadas e comunicações comprometidas usando os métodos de autenticação a seguir que o telefone suporta.

• Autenticação aberta: qualquer dispositivo sem fio pode solicitar autenticação em um sistema aberto. O AP que recebe a solicitação pode conceder autenticação para qualquer solicitante ou apenas para solicitantes encontrados em uma lista de usuários. A comunicação entre o dispositivo sem fio e o Ponto de Acesso (AP) não pôde ser criptografada.

• Protocolo de Autenticação Extensível – Autenticação Flexível via Túnel Seguro (EAP-FAST) Autenticação: Esta arquitetura de segurança cliente-servidor criptografa EAP transações dentro de um túnel de Segurança de Nível de Transporte (TLS) entre o AP e o servidor RADIUS, como o Identity Services Engine (ISE).

  O túnel TLS usa credenciais de acesso protegido (PACs) para autenticação entre o cliente (telefone) e o servidor RADIUS. O servidor envia um ID de autoridade (AID) para o cliente (telefone), que por sua vez seleciona a PAC apropriada. O cliente (telefone) retorna uma PAC-Opaque para o servidor RADIUS. O servidor descriptografa a PAC com a chave primária. Agora s dois pontos de extremidade contêm a chave PAC, e um túnel TLS é criado. O EAP-FAST oferece suporte para provisionamento automático de PAC, mas você precisa ativá-lo no servidor RADIUS.

  No ISE, por padrão, o PAC expira em uma semana. Se a PAC do telefone tiver expirado, a autenticação no servidor RADIUS será mais demorada enquanto o telefone obtém uma nova PAC. Para evitar atrasos no provisionamento do PAC, defina o período de expiração do PAC como 90 dias ou mais no servidor ISE ou RADIUS.

• Protocolo de autenticação ampliável - autenticação de segurança da camada de transporte (EAP-TLS): o EAP-TLS exige um certificado de cliente para autenticação e acesso à rede. Para EAP-TLS sem fio, o certificado do cliente pode ser o MIC, LSC, ou o certificado instalado pelo usuário.

• Protocolo de autenticação extensível protegido (PEAP): esquema de autenticação mútua baseada em senha e proprietário da Cisco entre o cliente (telefone) e um servidor RADIUS. O telefone pode usar PEAP para autenticação com a rede sem fio. Os métodos de autenticação PEAP MSCHAPV2 e PEAP-GTC têm suporte.

• Chave pré-compartilhada (PSK): o telefone oferece suporte aos formatos ASCII e hexadecimal (HEX). Você deve usar esses formatos ao configurar uma chave pré-compartilhada WPA2/SAE.

  ASCII: uma cadeia de caracteres ASCII com 8 a 63 caracteres de comprimento (0 a 9, letras minúsculas a-z, A-Z maiúsculo e caracteres especiais). Por exemplo,GREG123567@9ZX &W.

  HEX: uma cadeia de caracteres HEX com 64 dígitos hex de comprimento (0-9, a-f ou A-F).

Os seguintes esquemas de autenticação usam o servidor RADIUS para gerenciar chaves de autenticação:

• WPA2/WPA3: usa informações do servidor RADIUS para gerar chaves exclusivas para autenticação. Como essas chaves são geradas no servidor RADIUS centralizado, o WPA2/WPA3 oferece que mais segurança do que as chaves pré-compartilhadas WPA que são armazenadas no AP e no telefone.

• Roaming rápido e seguro: usa informações do servidor RADIUS e de um servidor de domínio sem fio (WDS) para gerenciar e autenticar as chaves. O WDS cria um cache de credenciais de segurança para dispositivos cliente ativados por FT para autenticação rápida e segura.

Com o WPA2/WPA3, as teclas de criptografia não são inseridas no telefone, mas são automaticamente derivadas entre o AP e o telefone. Porém, o nome do usuário EAP e a senha que são usados para autenticação devem ser inseridos em cada telefone.

Para ajudar a proteger o tráfego de voz através de um link sem fio, o telefone suporta criptografia baseada em AES para autenticação WPA2/WPA3. AES é uma cifere de bloco simétrico padronizada pelo NIST. O AES usa um tamanho de bloqueio fixo de 128 bits e suporta tamanhos de chave de 128 bits, 192 bits e 256 bits. Em redes Wi-Fi, AES é usado por conjuntos de cifradrias como CCMP ou GCMP, enquanto a autenticação é fornecida separadamente por PSK, SAE ou 802.1X/EAP, dependendo do modo de segurança WLAN configurado. O conjunto de cipher e o tamanho da chave suportados dependem do modelo do telefone e da configuração de WLAN.

Quando o telefone usa criptografia AES, os pacotes de sinalização SIP e de voz em tempo real (RTP) são criptografados entre o AP e o telefone.

Esquemas de autenticação e criptografia são configuradas na LAN sem fio. As VLANs configuradas na rede e nos APs e especificam diferentes combinações de autenticação e criptografia. Um SSID é associado a uma VLAN e ao esquema de autenticação e criptografia específico. Para que os dispositivos de cliente sem fio se autenticem com êxito, você deve configurar os mesmos SSIDs com seus esquemas de autenticação e criptografia nos APs e no telefone.

Alguns esquemas de autenticação exigem tipos específicos de criptografia.

Os esquemas de autenticação e criptografia na tabela a seguir mostram as opções de configuração de rede para o Cisco Telefone sem fio 9821 que correspondem à configuração AP.

O Cisco Wireless Phone 9821 suporta autenticação 802.1X para redes com fio. Isso é geralmente usado durante o provisionamento automático quando o telefone está conectado ao carregador de mesa por meio de um adaptador USB-to-Ethernet suportado.

O suporte para autenticação 802.1X em redes com fio requer diversos componentes como se segue:

• Telefone IP Cisco: o telefone inicia a solicitação para acessar a rede. Os Telefones IP Cisco contêm um suplicante 802.1X. Esse suplicante permite aos administradores de rede controlar a conectividade dos telefones IP para as portas de switch da LAN. A versão atual do suplicante 802.1X do telefone usa as opções EAP-FAST e EAP-TLS para autenticação de rede.

• Servidor de autenticação: O servidor de autenticação e o comutador devem ser configurados com um segredo compartilhado RADIUS.

• Switch: o comutador deve suportar 802.1X, de forma que possa funcionar como um autenticador e retransmitir as mensagens EAP entre o telefone e o servidor de autenticação. Após a conclusão da troca, o switch concede ou nega o acesso do telefone à rede.

Os Telefones IP Cisco e os switches do Cisco Catalyst tradicionalmente usam o CDP (Cisco Discovery Protocol) para identificar um ao outro e determinar parâmetros como a alocação de VLAN e os requisitos de potência embutida.

Você deve executar as ações a seguir para configurar a 802.1X.

• Configure CDP/LLDP de voz VLAN ignorar.

• Configure o servidor de autenticação e o comutador antes de ativar a autenticação 802.1X para redes com fio no telefone.

• Configure a VLAN de voz: como o padrão 802.1X não considera as VLANs, você deve definir essa configuração com base no suporte ao switch.

  • Ativado: se estiver usando um comutador que suporte autenticação multidomain, você pode configurá-lo para usar a voz VLAN.
  • Desativado: se o switch não suportar a autenticação de vários domínios, desative a VLAN de voz e considere a atribuição da porta à VLAN nativa.

• Cisco Telefone sem fio 9821 tem um prefixo diferente no PID daquele para os outros telefones Cisco. Para ativar seu telefone para passar pela autenticação 802.1X, defina o Radius· O parâmetro Nome de usuário para incluir o Cisco Telefone sem fio 9821.

  Por exemplo, a PID do Cisco Wireless Phone 9821 é O WP-9821. Você pode definir Radius· O Nome do usuário para iniciar com WP ou WP contém o WP nas duas seções a seguir:

  • Condições > conduções > Libraria

  • Conjuntos de políticas>Estimização > Estimização > Retodonar 1