Segurança física

É importante fornecer segurança física às salas Meet-Me da Equinix e às instalações do Cisco Dedicated Instance Data Center. Quando a segurança física é comprometida, ataques simples, como interrupção do serviço ao desligar a energia dos switches de um cliente, podem ser iniciados. Com o acesso físico, os invasores poderiam acessar os dispositivos do servidor, redefinir senhas e obter acesso aos switches. O acesso físico também facilita ataques mais sofisticados, como ataques man-in-the-middle, e é por isso que a segunda camada de segurança, a segurança da rede, é fundamental.

As unidades com autocriptografia são usadas em data centers de instâncias dedicadas que hospedam aplicativos de UC.

Para obter mais informações sobre práticas gerais de segurança, consulte a documentação no seguinte local: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Segurança de rede

Os parceiros precisam garantir que todos os elementos da rede estejam protegidos na infraestrutura de instância dedicada (que se conecta via Equinix). É responsabilidade do parceiro garantir as melhores práticas de segurança, como:

• VLAN separada para voz e dados

• Ative a segurança de porta, que limita o número de endereços MAC permitidos por porta, contra inundação de tabelas CAM

• IP Source Guard contra endereços IP falsificados

• A inspeção dinâmica de ARP (DAI) examina o protocolo de resolução de endereços (ARP) e o ARP gratuito (GARP) em busca de violações (contra falsificação de ARP)

• 802.1x limita o acesso à rede para autenticar dispositivos em VLANs atribuídas (os telefones suportam 802.1x)

• Configuração da qualidade de serviço (QoS) para marcação adequada de pacotes de voz

• Configurações de portas de firewall para bloquear qualquer outro tráfego

Segurança de endpoints

Os endpoints da Cisco suportam recursos de segurança padrão, como firmware assinado, inicialização segura (modelos selecionados), certificado instalado pelo fabricante (MIC) e arquivos de configuração assinados, que fornecem um certo nível de segurança para os endpoints.

Além disso, um parceiro ou cliente pode ativar segurança adicional, como:

• Criptografe serviços de telefone IP (via HTTPS) para serviços como Extension Mobility

• Emita certificados localmente significativos (LSCs) da função de proxy da autoridade de certificação (CAPF) ou de uma autoridade de certificação pública (CA)

• Criptografar arquivos de configuração

• Criptografar mídia e sinalização

• Desative essas configurações se elas não forem usadas: porta para PC, acesso à VLAN de voz para PC, ARP gratuito, acesso à Web, botão de configurações, SSH, console

A implementação de mecanismos de segurança na instância dedicada evita o roubo de identidade dos telefones e do Unified CM servidor, a adulteração de dados e a sinalização de chamadas/adulteração de fluxo de mídia.

Instância dedicada pela rede:

• Estabelece e mantém fluxos de comunicação autenticados

• Assina digitalmente os arquivos antes de transferi-los para o telefone

• Criptografa fluxos de mídia e sinalização de chamadas entre telefones IP Cisco Unified

A segurança, por padrão, fornece os seguintes recursos de segurança automática para telefones IP Cisco Unified:

• Assinatura dos arquivos de configuração do telefone

• Suporte para criptografia de arquivos de configuração do telefone

• HTTPS com Tomcat e outros serviços da Web (MIDlets)

Para a Unified CM versão 8.0 posterior, esses recursos de segurança são fornecidos por padrão sem executar o cliente Certificate Trust List (CTL).

Como há um grande número de telefones em uma rede e os telefones IP têm memória limitada, Cisco Unified CM atua como um armazenamento confiável remoto por meio do Serviço de Verificação de Confiança (TVS) para que um repositório confiável de certificados não precise ser colocado em cada telefone. Os telefones IP Cisco entram em contato com o servidor TVS para verificação porque não podem verificar uma assinatura ou certificado por meio de arquivos CTL ou ITL. Ter um armazenamento confiável central é mais fácil de gerenciar do que ter o armazenamento confiável em cada telefone IP Cisco Unified.

O TVS permite que os telefones IP Cisco Unified autentiquem servidores de aplicativos, como serviços EM, diretórios e MIDlets, durante o estabelecimento de HTTPS.

O arquivo Initial Trust List (ITL) é usado para a segurança inicial, para que os endpoints possam confiar. Cisco Unified CM O ITL não precisa que nenhum recurso de segurança seja ativado explicitamente. O arquivo ITL é criado automaticamente quando o cluster é instalado. A chave privada do servidor Unified CM Trivial File Transfer Protocol (TFTP) é usada para assinar o arquivo ITL.

Quando o Cisco Unified CM cluster ou servidor está no modo não seguro, o arquivo ITL é baixado em todos os telefones IP Cisco compatíveis. Um parceiro pode visualizar o conteúdo de um arquivo ITL usando o comando CLI, admin:show itl.

Os telefones IP Cisco precisam do arquivo ITL para realizar as seguintes tarefas:

• Comunique-se com segurança com o CAPF, um pré-requisito para oferecer suporte à criptografia do arquivo de configuração

• Autenticar a assinatura do arquivo de configuração

• Autentique servidores de aplicativos, como serviços EM, diretórios e MIDlets, durante o estabelecimento de HTTPS usando TVS

A autenticação de dispositivos, arquivos e sinalização depende da criação do arquivo Certificate Trust List (CTL), que é criado quando o parceiro ou cliente instala e configura o Cisco Certificate Trust List Client.

O arquivo CTL contém entradas para os seguintes servidores ou tokens de segurança:

• Token de segurança do administrador do sistema (SAST)

• Cisco CallManagere serviços Cisco TFTP que estão sendo executados no mesmo servidor

• Certificate AuthorityFunção de proxy (CAPF)

• Servidor (es) TFTP

• Firewall ASA

O arquivo CTL contém um certificado de servidor, chave pública, número de série, assinatura, nome do emissor, nome do assunto, função do servidor, nome DNS e endereço IP para cada servidor.

A segurança do telefone com CTL fornece as seguintes funções:

• Autenticação de arquivos TFTP baixados (configuração, localidade, lista de chamadas etc.) usando uma chave de assinatura

• Criptografia de arquivos de configuração TFTP usando uma chave de assinatura

• Sinalização de chamada criptografada para telefones IP

• Áudio de chamada criptografado (mídia) para telefones IP

A Instância Dedicada fornece registro de terminais e processamento de chamadas. A sinalização entre terminais Cisco Unified CM e terminais é baseada no Secure Skinny Client Control Protocol (SCCP) ou no Session Initiation Protocol (SIP) e pode ser criptografada usando o Transport Layer Security (TLS). A mídia de/para os endpoints é baseada no Protocolo de Transporte em Tempo Real (RTP) e também pode ser criptografada usando o Secure RTP (SRTP).

A ativação do modo misto Unified CM ativa a criptografia da sinalização e do tráfego de mídia de e para os endpoints da Cisco.

Aplicativos seguros de UC

O modo misto é ativado por padrão na Instância dedicada.

A ativação do modo misto na instância dedicada permite realizar a criptografia da sinalização e do tráfego de mídia de e para os endpoints Cisco.

A partir da Cisco Unified CM versão 12.5 (1), uma nova opção para habilitar a criptografia de sinalização e mídia com base no SIP OAuth em vez do modo misto/CTL foi adicionada para clientes Jabber e Webex. Portanto, na Unified CM versão 12.5 (1), o SIP OAuth e o SRTP podem ser usados para habilitar a criptografia para sinalização e mídia para clientes Jabber ou Webex. A ativação do modo misto continua sendo necessária para telefones IP Cisco e outros endpoints da Cisco no momento. Há um plano para adicionar suporte ao SIP OAuth nos endpoints 7800/8800 em uma versão futura.

Protegendo as comunicações entre Cisco Unified CM e o CUBE

Para comunicações seguras entre Cisco Unified CM e o CUBE, os parceiros/clientes precisam usar certificados autoassinados ou certificados assinados pela CA.

Para certificados autoassinados:

1. CUBE e Cisco Unified CM gere certificados autoassinados

2. CUBE exporta certificado para Cisco Unified CM

3. Cisco Unified CMexporta certificado para CUBE

Para certificados assinados pela CA:

1. O cliente gera um par de chaves e envia uma Solicitação de Assinatura de Certificado (CSR) para a Certificate Authority (CA)

2. A CA o assina com sua chave privada, criando um certificado de identidade

3. O cliente instala a lista de certificados raiz e intermediários confiáveis da CA e o certificado de identidade

Resumo do protocolo

A tabela a seguir mostra os protocolos e serviços associados usados na Unified CM solução.

Para obter mais informações sobre a configuração do MRA, consulte: seção Cenários de implantação do MRA do Guia de Implantação Móvel e Remote Access Contínua Cisco Expressway .

Protegendo o Jabber e o Webex com SIP OAuth

Os clientes Jabber e Webex são autenticados por meio de um token OAuth em vez de um certificado localmente significativo (LSC), que não exige a ativação da função proxy de autoridade de certificação (CAPF) (também para MRA). O SIP OAuth trabalhando com ou sem o modo misto foi introduzido no Cisco Unified CM 12.5 (1) e posterior, no Jabber 12.5 e posterior e no Expressway X12.5 .

Na Cisco Unified CM versão 12.5 e posterior, temos uma nova opção no Phone Security Profile que permite a criptografia sem LSC/CAPF, usando um único token TLS (Transport Layer Security) + OAuth no SIP REGISTER. Os nós Expressway-C usam a API Administrative XML Web Service (AXL) para informar sobre o SN/SAN em seu Cisco Unified CM certificado. Cisco Unified CMusa essas informações para validar o certificado Exp-C ao estabelecer uma conexão TLS mútua.

O SIP OAuth permite a criptografia de mídia e sinalização sem um certificado de endpoint (LSC).

Cisco Jabberusa portas efêmeras e portas seguras 6971 e 6972 via conexão HTTPS com o servidor TFTP para baixar os arquivos de configuração. A porta 6970 é uma porta não segura para download via HTTP.

Mais detalhes sobre a configuração SIP OAuth: Modo SIP OAuth.