Obrigado pelos seus comentários.

Os recursos de segurança protegem contra ameaças, incluindo ameaças à identidade do telefone e aos dados. Esses recursos estabelecem e mantêm fluxos de comunicação autenticados entre o telefone e o Cisco Unified Communications Manager servidor e garantem que o telefone use somente arquivos assinados digitalmente.

Cisco Unified Communications ManagerA versão 8.5 (1) e posterior inclui Segurança por padrão, que fornece os seguintes recursos de segurança para telefones IP Cisco sem executar o cliente CTL:

• Assinatura dos arquivos de configuração do telefone

• Criptografia do arquivo de configuração do telefone

• HTTPS com Tomcat e outros serviços da web

A implementação da segurança no Cisco Unified Communications Manager sistema evita o roubo de identidade do telefone e do Cisco Unified Communications Manager servidor, evita a adulteração de dados e evita a sinalização de chamadas e a adulteração do fluxo de mídia.

Para aliviar essas ameaças, a rede de telefonia IP da Cisco estabelece e mantém fluxos de comunicação seguros (criptografados) entre um telefone e o servidor, assina digitalmente os arquivos antes de serem transferidos para um telefone e criptografa fluxos de mídia e sinalização de chamadas entre os Cisco IP Phones.

Um Certificado Localmente Significativo (LSC) é instalado nos telefones depois que você executa as tarefas necessárias associadas à Função de Certificate Authority Proxy (CAPF). Você pode usar Cisco Unified Communications Manager Administration para configurar um LSC, conforme descrito no Guia Cisco Unified Communications Manager de Segurança. Como alternativa, você pode iniciar a instalação de um LSC no menu Configurações de segurança do telefone. Esse menu também permite atualizar ou remover um LSC.

Os telefones usam o perfil de segurança do telefone, que define se o dispositivo não é seguro ou não. Para obter informações sobre como aplicar o perfil de segurança ao telefone, consulte a documentação de sua Cisco Unified Communications Manager versão específica.

Se você definir as configurações relacionadas à segurança emCisco Unified Communications Manager Administration, o arquivo de configuração do telefone conterá informações confidenciais. Para garantir a privacidade de um arquivo de configuração, você deve configurá-lo para criptografia. Para obter informações detalhadas, consulte a documentação de sua Cisco Unified Communications Manager versão específica.

O telefone está em conformidade com o Padrão Federal de Processamento de Informações (FIPS). Para funcionar corretamente, o modo FIPS requer um tamanho de chave de 2048 bits ou mais. Se o certificado tiver menos de 2048 bits, o telefone não será registrado Cisco Unified Communications Manager e o telefone falhará ao se registrar. O tamanho da chave Cert não é compatível com FIPS e é exibido no telefone.

Se o telefone tiver um LSC, você precisará atualizar o tamanho da chave do LSC para 2048 bits ou mais antes de ativar o FIPS.

A tabela a seguir fornece uma visão geral dos recursos de segurança suportados pelos telefones . Para obter mais informações, consulte a documentação de sua Cisco Unified Communications Manager versão específica.

Para visualizar o modo de segurança, pressione Configurações e navegue até Rede e serviço > Configurações de segurança.

A tabela a seguir contém as mensagens e o significado do alarme de atualização da Lista de Confiança. Para obter mais informações, consulte a Cisco Unified Communications Manager documentação.

O menu Configuração de segurança fornece informações sobre várias configurações de segurança. O menu também fornece acesso ao menu Lista de Confiança e indica se o arquivo CTL ou ITL está instalado no telefone.

A tabela a seguir descreve as opções no menu Configuração de segurança.

Os Cisco IP Phones suportam a autenticação 802.1X.

Os Cisco IP Phones e os switches Cisco Catalyst tradicionalmente usam Cisco Discovery Protocol (CDP) para identificar uns aos outros e determinar parâmetros como alocação de VLAN e requisitos de energia em linha. O CDP não identifica estações de trabalho conectadas localmente. Os Cisco IP Phones fornecem um mecanismo de passagem EAPOL. Esse mecanismo permite que uma estação de trabalho conectada ao Cisco IP Phone passe mensagens EAPOL para o autenticador 802.1X no switch LAN. O mecanismo de passagem garante que o telefone IP não atue como switch de LAN para autenticar um endpoint de dados antes de acessar a rede.

Os Cisco IP Phones também fornecem um mecanismo proxy EAPOL Logoff. Se o PC conectado localmente se desconectar do telefone IP, o switch de LAN não verá falha no link físico, pois o link entre o switch de LAN e o telefone IP será mantido. Para evitar comprometer a integridade da rede, o telefone IP envia uma mensagem de encerramento do EAPOL para o switch em nome do PC downstream, que aciona o switch LAN para limpar a entrada de autenticação do PC downstream.

O suporte à autenticação 802.1X requer vários componentes:

• Telefone IP Cisco: O telefone inicia a solicitação para acessar a rede. Os telefones IP Cisco contêm um suplicante 802.1X. Esse suplicante permite que os administradores de rede controlem a conectividade dos telefones IP às portas do switch LAN. A versão atual do suplicante 802.1X do telefone usa as opções EAP-FAST e EAP-TLS para autenticação de rede.

• Servidor de autenticação: o servidor de autenticação e o switch devem ser configurados com um segredo compartilhado que autentica o telefone.

• Switch: O switch deve suportar 802.1X, para que possa atuar como autenticador e passar as mensagens entre o telefone e o servidor de autenticação. Após a conclusão da troca, o switch concede ou nega o acesso telefônico à rede.

Você deve executar as seguintes ações para configurar o 802.1X.

• Configure os outros componentes antes de ativar a autenticação 802.1X no telefone.

• Configurar a porta do PC: O padrão 802.1X não considera VLANs e, portanto, recomenda que somente um único dispositivo seja autenticado em uma porta de switch específica. No entanto, alguns switches oferecem suporte à autenticação de vários domínios. A configuração do switch determina se você pode conectar um PC à porta PC do telefone.

  • Ativado: se você estiver usando um switch que suporta autenticação de vários domínios, você pode ativar a porta do PC e conectar um PC a ela. Nesse caso, os Cisco IP Phones suportam o proxy EAPOL logoff para monitorar as trocas de autenticação entre o switch e o PC conectado.

    Para obter mais informações sobre o suporte IEEE 802.1X nos switches Cisco Catalyst, consulte os guias de configuração do switch Cisco Catalyst em:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Desativado: Se o switch não suportar vários dispositivos compatíveis com 802.1X na mesma porta, você deverá desativar a porta do PC quando a autenticação 802.1X estiver ativada. Se você não desativar essa porta e tentar conectar um PC a ela, o switch negará o acesso à rede tanto para o telefone quanto para o PC.

• Configurar VLAN de voz: Como o padrão 802.1X não leva em conta as VLANs, você deve definir essa configuração com base no suporte do switch.
  • Habilitado: se você estiver usando um switch que suporta autenticação de vários domínios, você pode continuar usando a VLAN de voz.
  • Desativado: se o switch não oferecer suporte à autenticação de vários domínios, desative a VLAN de voz e considere atribuir a porta à VLAN nativa.
• (Somente para o Cisco Desk Phone 9800 Series)

  O Cisco Desk Phone 9800 Series tem um prefixo diferente no PID daquele dos outros telefones Cisco. Para permitir que seu telefone passe pela autenticação 802.1X, defina o parâmetro Radius·User-Name para incluir seu Cisco Desk Phone 9800 Series.

  Por exemplo, o PID do telefone 9841 é DP-9841; você pode definir Radius·Nome de usuário para Iniciar com DP ou Contém DP. Você pode configurá-lo nas duas seções a seguir:

  • Política > Condições > Condições da Biblioteca

  • Política > Conjuntos de políticas > Política de autorização > Regra de autorização 1

Quando a segurança é implementada em um telefone, você pode identificar chamadas telefônicas seguras por meio de ícones na tela do telefone. Você também pode determinar se o telefone conectado está seguro e protegido se um tom de segurança for reproduzido no início da chamada.

Em uma chamada segura, todos os fluxos de mídia e sinalização de chamadas são criptografados. Uma chamada segura oferece um alto nível de segurança, proporcionando integridade e privacidade à chamada. Quando uma chamada em andamento é criptografada, você pode ver o ícone seguro na linha. Para um telefone seguro, você também pode visualizar o ícone autenticado ou criptografado ao lado do servidor conectado no menu do telefone (Configurações > Sobre este dispositivo).

Em uma chamada segura, um tom de segurança é reproduzido no início de uma chamada para indicar que o outro telefone conectado também está recebendo e transmitindo áudio seguro. Se sua chamada se conectar a um telefone não seguro, o tom de segurança não será reproduzido.

Quando um telefone é configurado como seguro (criptografado e confiável)Cisco Unified Communications Manager, ele pode receber um status protegido. Depois disso, se desejado, o telefone protegido pode ser configurado para reproduzir um tom de indicação no início de uma chamada:

• Dispositivo protegido: para alterar o status de um telefone seguro para protegido, marque a caixa de seleção Dispositivo protegido na janela Configuração do telefone em Cisco Unified Communications Manager Administration (Dispositivo > Telefone).

• Reproduzir tom de indicação seguro: para permitir que o telefone protegido reproduza um tom de indicação seguro ou não seguro, defina a configuração Reproduzir tom de indicação seguro como True. Por padrão, o Tom de Indicação do Play Secure está definido como Falso. Você define essa opção em Cisco Unified Communications Manager Administration (Sistema > Parâmetros de serviço). Selecione o servidor e, em seguida, o serviço Unified Communications Manager. Na janela Configuração de parâmetros de serviço, selecione a opção na área Feature - Secure Tone. O padrão é False.

Como todos os dispositivos WLAN que estão dentro do alcance podem receber todos os outros tráfegos de WLAN, proteger as comunicações de voz é fundamental nas WLANs. Para garantir que intrusos não manipulem nem interceptem o tráfego de voz, a arquitetura Cisco SAFE Security suporta o telefone. Para obter mais informações sobre segurança em redes, consulte http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

A solução de telefonia IP sem fio da Cisco fornece segurança de rede sem fio que evita logins não autorizados e comunicações comprometidas usando os seguintes métodos de autenticação suportados pelo telefone:

• Autenticação aberta: qualquer dispositivo sem fio pode solicitar autenticação em um sistema aberto. O AP que recebe a solicitação pode conceder autenticação a qualquer solicitante ou somente aos solicitantes encontrados em uma lista de usuários. A comunicação entre o dispositivo sem fio e o ponto de acesso (AP) pode não ser criptografada.

• Protocolo de Autenticação Extensível - Autenticação flexível via túnel seguro (EAP-FAST): Essa arquitetura de segurança cliente-servidor criptografa transações EAP em um túnel TLS (Transport Level Security) entre o AP e o servidor RADIUS, como o Identity Services Engine (ISE).

  O túnel TLS usa Credenciais de Acesso Protegido (PACs) para autenticação entre o cliente (telefone) e o servidor RADIUS. O servidor envia uma ID de autoridade (AID) ao cliente (telefone), que por sua vez seleciona a PAC apropriada. O cliente (telefone) retorna um PAC-opaco ao servidor RADIUS. O servidor descriptografa a PAC com a chave primária. Ambos os endpoints agora contêm a chave PAC e um túnel TLS é criado. O EAP-FAST suporta o provisionamento automático de PAC, mas você deve habilitá-lo no servidor RADIUS.

  No ISE, por padrão, o PAC expira em uma semana. Se o telefone tiver uma PAC expirada, a autenticação com o servidor RADIUS demorará mais enquanto o telefone recebe uma nova PAC. Para evitar atrasos no provisionamento da PAC, defina o período de expiração da PAC para 90 dias ou mais no servidor ISE ou RADIUS.

• Autenticação EAP-TLS (Extensible Authentication Protocol-Transport Layer Security): o EAP-TLS exige um certificado de cliente para autenticação e acesso à rede. Para EAP-TLS sem fio, o certificado do cliente pode ser MIC, LSC ou certificado instalado pelo usuário.

• Protocolo de Autenticação Extensível Protegido (PEAP): esquema de autenticação mútua baseado em senha proprietário da Cisco entre o cliente (telefone) e um servidor RADIUS. O telefone pode usar o PEAP para autenticação com a rede sem fio. Os métodos de autenticação PEAP-MSCHAPV2 e PEAP-GTC são suportados.

• Chave pré-compartilhada (PSK): o telefone suporta o formato ASCII. Você deve usar esse formato ao configurar uma chave pré-compartilhada WPA/WPA2/SAE:

  ASCII: uma cadeia de caracteres ASCII com 8 a 63 caracteres de comprimento (0-9, letras minúsculas e maiúsculas de A a Z e caracteres especiais)

  Exemplo: GREG123567 @9ZX &W

Os esquemas de autenticação a seguir usam o servidor RADIUS para gerenciar as chaves de autenticação:

• WPA/WPA2/WPA3: usa as informações do servidor RADIUS para gerar chaves exclusivas para autenticação. Como essas chaves são geradas no servidor RADIUS centralizado, o WPA2/WPA3 fornece mais segurança do que as chaves pré-compartilhadas WPA armazenadas no AP e no telefone.

• Roaming rápido e seguro: usa as informações do servidor RADIUS e de um servidor de domínio sem fio (WDS) para gerenciar e autenticar chaves. O WDS cria um cache de credenciais de segurança para dispositivos clientes habilitados para FT para uma reautenticação rápida e segura. O Cisco Desk Phone 9861 e 9871 e o Cisco Video Phone 8875 suportam 802.11r (FT). Tanto pelo ar quanto pelo DS são suportados para permitir um roaming rápido e seguro. Mas é altamente recomendável utilizar o método 802.11r (FT) over air.

Com o WPA/WPA2/WPA3, as chaves de criptografia não são inseridas no telefone, mas são derivadas automaticamente entre o AP e o telefone. Mas o nome de usuário e a senha do EAP usados para autenticação devem ser inseridos em cada telefone.

Para garantir a segurança do tráfego de voz, o telefone suporta TKIP e AES para criptografia. Quando esses mecanismos são usados para criptografia, tanto os pacotes SIP de sinalização quanto os pacotes do Protocolo de Transporte em Tempo Real (RTP) de voz são criptografados entre o AP e o telefone.

TKIP

O WPA usa criptografia TKIP que tem várias melhorias em relação ao WEP. O TKIP fornece criptografia de chave por pacote e vetores de inicialização (IVs) mais longos que fortalecem a criptografia. Além disso, uma verificação de integridade de mensagens (MIC) garante que os pacotes criptografados não sejam alterados. O TKIP remove a previsibilidade do WEP que ajuda os intrusos a decifrar a chave WEP.

AES

Um método de criptografia usado para autenticação WPA2/WPA3. Esse padrão nacional para criptografia usa um algoritmo simétrico que tem a mesma chave para criptografia e decodificação. O AES usa criptografia Cipher Blocking Chain (CBC) de 128 bits, que suporta tamanhos de chave de 128 bits, 192 bits e 256 bits, no mínimo. O telefone suporta um tamanho de chave de 256 bits.

Os esquemas de autenticação e criptografia são configurados na LAN sem fio. As VLANs são configuradas na rede e nos APs e especificam diferentes combinações de autenticação e criptografia. Um SSID se associa a uma VLAN e ao esquema específico de autenticação e criptografia. Para que os dispositivos cliente sem fio sejam autenticados com êxito, você deve configurar os mesmos SSIDs com seus esquemas de autenticação e criptografia nos APs e no telefone.

Alguns esquemas de autenticação exigem tipos específicos de criptografia.

Os esquemas de autenticação e criptografia na tabela a seguir mostram as opções de configuração de rede para o telefone que correspondem à configuração do AP.

O Assured Services SIP (AS-SIP) é uma coleção de recursos e protocolos que oferecem um fluxo de chamadas altamente seguro para telefones IP Cisco e telefones de terceiros. Os seguintes recursos são conhecidos coletivamente como AS-SIP:

• Precedência e preempção multinível (MLPP)
• Ponto de código de serviços diferenciados (DSCP)
• Transport Layer Security (TLS) e Secure Real-time Transport Protocol (SRTP)
• Protocolo de Internet versão 6 (IPv6)

O AS-SIP é frequentemente usado com Precedência e Preempção Multinível (MLPP) para priorizar chamadas durante uma emergência. Com o MLPP, você atribui um nível de prioridade às suas chamadas de saída, do nível 1 (baixo) ao nível 5 (alto). Quando você recebe uma chamada, um ícone de nível de precedência é exibido no telefone que mostra a prioridade da chamada.

Para configurar o AS-SIP, conclua as seguintes tarefas em: Cisco Unified Communications Manager

• Configurar um usuário de resumo — Configure o usuário final para usar a autenticação de resumo para solicitações SIP.
• Configurar porta segura do telefone SIP — Cisco Unified Communications Manager usa essa porta para ouvir telefones SIP para registros de linha SIP via TLS.
• Reiniciar serviços — Depois de configurar a porta segura, Cisco Unified Communications Manager reinicie os serviços Cisco CTL Provider. Configure o perfil SIP para AS-SIP Configure um perfil SIP com configurações SIP para seus endpoints AS-SIP e para seus troncos SIP. Os parâmetros específicos do telefone não são baixados para um telefone AS-SIP de terceiros. Eles são usados somente pelo Cisco Unified Manager. Telefones de terceiros devem definir localmente as mesmas configurações.
• Configurar o perfil de segurança do telefone para AS-SIP — Você pode usar o perfil de segurança do telefone para atribuir configurações de segurança, como TLS, SRTP e autenticação resumida.
• Configurar o endpoint AS-SIP — Configure um telefone IP Cisco ou um endpoint de terceiros com suporte AS-SIP.
• Associar dispositivo ao usuário final — Associe o endpoint a um usuário.
• Configurar o perfil de segurança do tronco SIP para AS-SIP — Você pode usar o perfil de segurança do tronco sip para atribuir recursos de segurança, como TLS ou autenticação resumida, a um tronco SIP.
• Configurar tronco SIP para AS-SIP — Configure um tronco SIP com suporte AS-SIP.
• Configurar recursos AS-SIP — Configure recursos adicionais do AS-SIP, como MLPP, TLS, V.150 e IPv6.

Para obter informações detalhadas sobre como configurar o AS-SIP, consulte o capítulo “Configurar endpoints AS-SIP” no Guia de configuração de recursos para. Cisco Unified Communications Manager

Quando os Códigos de Autorização Forçada (FAC) ou Client Matter Codes (CMC), ou ambos, estão configurados no telefone, os usuários devem digitar as senhas necessárias para discar um número.

Para obter mais informações sobre como configurar o FAC e o CMC emCisco Unified Communications Manager, consulte o capítulo “Client Matter Codes and Forced Authorization Codes” no Guia de configuração de recursos da versão 12.5 (1) ou posterior. Cisco Unified Communications Manager

O recurso Cisco VPN ajuda você a preservar a segurança da rede e, ao mesmo tempo, oferece aos usuários um método seguro e confiável de se conectar à sua rede corporativa. Use esse recurso quando:

• Um telefone está localizado fora de uma rede confiável
• O tráfego de rede entre o telefone e Cisco Unified Communications Manager atravessa uma rede não confiável

Com uma VPN, há três abordagens comuns para a autenticação de clientes:

• Certificados digitais
• Senhas
• Nome de usuário e senha

Cada método tem suas vantagens. Mas se sua política de segurança corporativa permitir, recomendamos uma abordagem baseada em certificados, pois os certificados permitem um login perfeito sem qualquer intervenção do usuário. Os certificados LSC e MIC são suportados.

Para configurar qualquer um dos recursos de VPN, provisione primeiro o dispositivo no local e, em seguida, você poderá implantá-lo externamente.

Para obter mais informações sobre autenticação de certificação e como trabalhar com rede VPN, consulte Configurar AnyConnect VPN telefone com autenticação de certificado em um ASA.

Com uma abordagem de senha ou nome de usuário e senha, um usuário é solicitado a fornecer credenciais de login. Defina as credenciais de login do usuário de acordo com a política de segurança da sua empresa. Você também pode definir a configuração Ativar persistência de senha para que a senha do usuário seja salva no telefone. A senha do usuário é salva até que ocorra uma falha na tentativa de login, até que um usuário limpe a senha manualmente ou o telefone seja reiniciado ou perca energia.

Outra ferramenta útil é a configuração Ativar detecção automática de rede. Quando você ativa essa caixa de seleção, o cliente VPN só pode ser executado quando detecta que está fora da rede corporativa. Essa configuração está desativada por padrão.

Seu telefone Cisco suporta o Cisco SVC IPPhone Client v1.0 como o tipo de cliente.

Para obter mais informações sobre como configurar a VPNUnified CM, consulte o Guia de configuração de recursos para Cisco Unified Communications Manager.

O recurso Cisco VPN usa Secure Sockets Layer (SSL) para preservar a segurança da rede.