Segurança física

É importante fornecer segurança física aos locais de salas do Equinix Meet-Me e às instalações do Data Center de ocorrência dedicada da Cisco. Quando a segurança física é comprometida, ataques simples, como interrupção do serviço, ao desligar a energia dos switches de um cliente, podem ser iniciados. Com o acesso físico, os invasores podem obter acesso a dispositivos de servidor, redefinir senhas e obter acesso a switches. O acesso físico também facilita ataques mais sofisticados, como ataques man-in-the-middle, e é por isso que a segunda camada de segurança, a segurança da rede, é fundamental.

As unidades de autocriptografia são usadas em Data Centers de ocorrência dedicada que hospedam aplicativos UC.

Para obter mais informações sobre práticas de segurança gerais, consulte a documentação no seguinte local: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html .

Segurança da rede

Os parceiros precisam garantir que todos os elementos de rede sejam protegidos na infraestrutura da Ocorrência dedicada (que se conecta via Equinix). É responsabilidade do parceiro garantir as práticas recomendadas de segurança, como:

• VLAN separada para voz e dados

• Habilite a Segurança de porta que limita o número de endereços MAC permitidos por porta, contra inundações na tabela CAM

• Protetor de origem IP contra endereços IP falsificados

• A Inspeção Dinâmica ARP (DAI) examina o protocolo de resolução de endereços (ARP) e o ARP gratuito (GARP) para violações (contra falsificação ARP)

• O 802.1x limita o acesso à rede para autenticar dispositivos em VLANs atribuídas (os telefones suportam 802.1x)

• Configuração da qualidade de serviço (QoS) para a marcação apropriada de pacotes de voz

• Configurações de portas de firewall para bloquear qualquer outro tráfego

Segurança de endpoints

Os terminais da Cisco suportam recursos de segurança padrão, como firmware assinado, inicialização segura (modelos selecionados), certificado instalado pelo fabricante (MIC) e arquivos de configuração assinados, que fornecem um certo nível de segurança para terminais.

Além disso, um parceiro ou cliente pode permitir segurança adicional, como:

• Criptografar serviços de telefonia IP (via HTTPS) para serviços como Extension Mobility

• Emitir certificados localmente significativos (LSCs) da função de proxy de autoridade de certificação (CAPF) ou de uma autoridade de certificação pública (CA)

• Criptografar arquivos de configuração

• Criptografar mídia e sinalização

• Desative essas configurações se elas não forem usadas: porta do PC, acesso à VLAN de voz do PC, ARP gratuito, acesso à web, botão Configurações, SSH, console

A implementação de mecanismos de segurança na Ocorrência dedicada evita o roubo de identidade dos telefones e do servidor Unified CM, adulteração de dados e adulteração da sinalização de chamadas/transmissão de mídia.

Ocorrência dedicada pela rede:

• Estabelece e mantém fluxos de comunicação autenticados

• Assina arquivos digitalmente antes de transferir o arquivo para o telefone

• Criptografa fluxos de mídia e sinalização de chamadas entre telefones IP Cisco Unified

A segurança por padrão fornece os seguintes recursos de segurança automática para telefones IP Cisco Unified:

• Assinatura dos arquivos de configuração do telefone

• Suporte para criptografia de arquivos de configuração do telefone

• HTTPS com Tomcat e outros serviços Web (MIDlets)

Para o Unified CM versão 8.0 posterior, esses recursos de segurança são fornecidos por padrão sem executar o cliente CTL (Lista de certificados confiáveis).

Como há um grande número de telefones em uma rede e os telefones IP têm memória limitada, o Cisco Unified CM atua como um armazenamento de confiança remota por meio do Serviço de verificação de confiança (TVS), de modo que um armazenamento de confiança de certificado não precise ser colocado em cada telefone. Os telefones IP Cisco entram em contato com o servidor TVS para verificação porque não podem verificar uma assinatura ou certificado por meio de arquivos CTL ou ITL. É mais fácil gerenciar um armazenamento de confiança central do que ter um armazenamento de confiança em cada telefone IP Cisco Unified.

O TVS permite que os telefones IP Cisco Unified autentiquem servidores de aplicativos, como serviços EM, diretório e MIDlet, durante a definição HTTPS.

O arquivo Lista de confiança inicial (ITL) é usado para a segurança inicial, de modo que os terminais possam confiar no Cisco Unified CM. O ITL não precisa de recursos de segurança para ser ativado explicitamente. O arquivo ITL é criado automaticamente quando o grupo está instalado. A chave privada do servidor do protocolo TFTP (Trivial File Transfer Protocol) do Unified CM é usada para assinar o arquivo ITL.

Quando o cluster ou servidor do Cisco Unified CM está no modo não seguro, o arquivo ITL é baixado em todos os telefones IP Cisco compatíveis. Um parceiro pode visualizar o conteúdo de um arquivo ITL usando o comando CLI, admin:show itl.

Os telefones IP Cisco precisam do arquivo ITL para executar as seguintes tarefas:

• Comunique-se com segurança à CAPF, um pré-requisito para suportar a criptografia de arquivos de configuração

• Autenticar a assinatura do arquivo de configuração

• Autenticar servidores de aplicativos, como serviços EM, diretório e MIDlet durante o estabelecimento HTTPS usando TVS

A autenticação de dispositivo, arquivo e sinalização depende da criação do arquivo CTL (Lista de certificados confiáveis), que é criado quando o parceiro ou cliente instala e configura o cliente da Lista de certificados confiáveis da Cisco.

O arquivo CTL contém entradas para os seguintes servidores ou tokens de segurança:

• Token de segurança do administrador do sistema (SAST)

• Cisco CallManager e serviços Cisco TFTP que estão em execução no mesmo servidor

• Função de proxy de autoridade de certificação (CAPF)

• Servidor(es) TFTP

• firewall ASA

O arquivo CTL contém um certificado de servidor, chave pública, número de série, assinatura, nome do emissor, nome do assunto, função do servidor, nome DNS e endereço IP para cada servidor.

A segurança do telefone com CTL fornece as seguintes funções:

• Autenticação de arquivos baixados TFTP (configuração, localidade, lista de toques e assim por diante) usando uma chave de assinatura

• Criptografia de arquivos de configuração TFTP usando uma chave de assinatura

• Sinalização de chamada criptografada para telefones IP

• Áudio de chamada criptografada (mídia) para telefones IP

A Ocorrência dedicada fornece registro de endpoint e processamento de chamadas. A sinalização entre o Cisco Unified CM e os terminais é baseada no protocolo SCCP (Secure Skinny Client Control Protocol) ou no SIP (Session Initiation Protocol) e pode ser criptografada usando TLS (Transport Layer Security). A mídia de/para os terminais é baseada no protocolo RTP (Real-time Transport Protocol) e também pode ser criptografada usando o RTP seguro (Secure RTP).

A ativação do modo misto no Unified CM permite a criptografia da sinalização e do tráfego de mídia de e para os terminais da Cisco.

Aplicativos de UC seguros

O modo misto é ativado por padrão na Ocorrência dedicada.

A ativação do modo misto na Ocorrência dedicada permite executar a criptografia da sinalização e do tráfego de mídia de e para os terminais da Cisco.

No Cisco Unified CM versão 12.5(1), uma nova opção para ativar a criptografia de sinalização e mídia com base no SIP OAuth em vez do modo misto / CTL foi adicionada para clientes Jabber e Webex. Portanto, na versão 12.5(1) do Unified CM, o SIP OAuth e o SRTP podem ser usados para ativar criptografia para sinalização e mídia para clientes Jabber ou Webex. A ativação do modo misto continua sendo necessária para telefones IP Cisco e outros terminais Cisco no momento. Há um plano para adicionar suporte ao SIP OAuth em terminais 7800/8800 em uma versão futura.

O Cisco Unity Connection se conecta ao Unified CM por meio da porta TLS. Quando o modo de segurança do dispositivo não é seguro, o Cisco Unity Connection se conecta ao Unified CM por meio da porta SCCP.

Para configurar a segurança de portas de mensagens de voz do Unified CM e dispositivos Cisco Unity que estão executando dispositivos SCCP ou Cisco Unity Connection que estão executando SCCP, um parceiro pode escolher um modo de segurança de dispositivo seguro para a porta. Se você escolher uma porta de correio de voz autenticada, uma conexão TLS será aberta, a qual autentica os dispositivos usando uma troca de certificado mútuo (cada dispositivo aceita o certificado do outro dispositivo). Se você escolher uma porta de correio de voz criptografada, o sistema primeiro autentica os dispositivos e, em seguida, envia fluxos de voz criptografados entre os dispositivos.

Para obter mais informações sobre as portas de mensagens de voz de segurança, consulte: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/cucm/security/12_5_1_SU1/cucm_b_security-guide-125SU1/cucm_b_security-guide-for-cisco-unified125SU1_chapter_010001.html

Protegendo comunicações entre o Cisco Unified CM e o CUBE

Para comunicações seguras entre o Cisco Unified CM e o CUBE, parceiros/clientes precisam usar certificados autoassinados ou certificados assinados por CA.

Para certificados autoassinados:

1. O CUBE e o Cisco Unified CM geram certificados autoassinados

2. CUBE exporta certificado para o Cisco Unified CM

3. O Cisco Unified CM exporta certificado para CUBE

Para certificados assinados pela CA:

1. O cliente gera um par de chaves e envia uma solicitação de assinatura de certificado (CSR) para a autoridade de certificação (CA)

2. A CA assina com sua chave privada, criando um certificado de identidade

3. O cliente instala a lista de certificados raiz e intermediários de CA confiáveis e o certificado de identidade

Resumo do protocolo

A tabela a seguir mostra os protocolos e serviços associados usados na solução do Unified CM.

Para obter mais informações sobre a configuração do MRA, consulte: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

Protegendo o Jabber e o Webex com SIP OAuth

Os clientes Jabber e Webex são autenticados por meio de um token OAuth em vez de um certificado localmente significativo (LSC), que não exige a ativação da função de proxy de autoridade de certificação (CAPF) (para MRA também). O SIP OAuth trabalhando com ou sem modo misto foi introduzido no Cisco Unified CM 12.5(1), Jabber 12.5 e Expressway X12.5.

No Cisco Unified CM 12.5, temos uma nova opção no Perfil de segurança do telefone que permite criptografia sem LSC/CAPF, usando o token TLS (Transport Layer Security) + OAuth único no SIP REGISTER. Os nós do Expressway-C usam a API do Serviço Web XML administrativo (AXL) para informar o Cisco Unified CM do SN/SAN no certificado. O Cisco Unified CM usa essas informações para validar o certificado Exp-C ao estabelecer uma conexão TLS mútua.

O SIP OAuth permite a criptografia de mídia e sinalização sem um certificado de endpoint (LSC).

O Cisco Jabber usa portas efêmeras e portas seguras 6971 e 6972 portas por meio da conexão HTTPS com o servidor TFTP para baixar os arquivos de configuração. A porta 6970 é uma porta não segura para download via HTTP.

Mais detalhes sobre a configuração do SIP OAuth: Modo SIP OAuth .