Obrigado pelos seus comentários.

Os recursos de segurança protegem contra ameaças, incluindo ameaças à identidade do telefone e aos dados. Esses recursos estabelecem e mantêm fluxos de comunicação autenticados entre o telefone e o servidor Cisco Unified Communications Manager, e garantem que o telefone use apenas arquivos com assinatura digital.

O Cisco Unified Communications Manager versão 8.5(1) e posteriores incluem segurança por padrão, que fornece os seguintes recursos de segurança para telefones IP Cisco sem a necessidade de executar o cliente CTL:

• Assinar os arquivos de configuração do telefone

• criptografia de arquivo de configuração do telefone

• HTTPS com Tomcat e outros serviços web

A implementação de segurança no sistema Cisco Unified Communications Manager impede o roubo de identidade do telefone e do servidor Cisco Unified Communications Manager, previne a adulteração de dados e impede a manipulação da sinalização de chamadas e do fluxo de mídia.

Para atenuar essas ameaças, a rede de telefonia IP da Cisco estabelece e mantém fluxos de comunicação seguros (criptografados) entre um telefone e o servidor, assina digitalmente os arquivos antes de serem transferidos para um telefone e criptografa os fluxos de mídia e a sinalização de chamadas entre os telefones IP da Cisco.

Um Certificado Localmente Significativo (LSC, na sigla em inglês) é instalado nos telefones após a execução das tarefas necessárias associadas à Função Proxy da Autoridade de Certificação (CAPF, na sigla em inglês). Você pode usar o Cisco Unified Communications Manager Administration para configurar um LSC, conforme descrito no Guia de Segurança do Cisco Unified Communications Manager. Alternativamente, você pode iniciar a instalação de um LSC a partir do menu de configurações de segurança do telefone. Este menu também permite atualizar ou remover um LSC.

Os telefones utilizam o perfil de segurança do telefone, que define se o dispositivo é seguro ou não seguro. Para obter informações sobre como aplicar o perfil de segurança ao telefone, consulte a documentação da sua versão específica do Cisco Unified Communications Manager.

Se você configurar as definições relacionadas à segurança no Cisco Unified Communications Manager Administration, o arquivo de configuração do telefone conterá informações confidenciais. Para garantir a privacidade de um arquivo de configuração, você deve configurá-lo para criptografia. Para obter informações detalhadas, consulte a documentação da sua versão específica do Cisco Unified Communications Manager.

O telefone está em conformidade com o Padrão Federal de Processamento de Informações (FIPS). Para funcionar corretamente, o modo FIPS requer um tamanho de chave de 2048 bits ou superior. Se o certificado tiver menos de 2048 bits, o telefone não se registrará no Cisco Unified Communications Manager e Phone failed to register. Cert key size is not FIPS compliant será exibido no telefone.

Se o telefone tiver um LSC, você precisa atualizar o tamanho da chave do LSC para 2048 bits ou mais antes de ativar o FIPS.

A tabela a seguir fornece uma visão geral dos recursos de segurança compatíveis com os telefones. Para obter mais informações, consulte a documentação da sua versão específica do Cisco Unified Communications Manager.

Para visualizar o modo de segurança, pressione Configurações e navegue até Rede e serviços > Configurações de segurança.

A tabela a seguir contém as mensagens de alarme de atualização da Lista de Confiança e seus significados. Para obter mais informações, consulte a documentação do Cisco Unified Communications Manager.

O menu Configuração de Segurança fornece informações sobre várias configurações de segurança. O menu também fornece acesso ao menu Lista de Confiança e indica se o arquivo CTL ou ITL está instalado no telefone.

A tabela a seguir descreve as opções do menu Configuração de Segurança.

Os telefones IP da Cisco suportam autenticação 802.1X.

Tradicionalmente, os telefones IP da Cisco e os switches Cisco Catalyst utilizam o Cisco Discovery Protocol (CDP) para se identificarem mutuamente e determinarem parâmetros como a alocação de VLAN e os requisitos de energia em linha. O CDP não identifica estações de trabalho conectadas localmente. Os telefones IP da Cisco oferecem um mecanismo de passagem EAPOL. Esse mecanismo permite que uma estação de trabalho conectada ao telefone IP da Cisco envie mensagens EAPOL para o autenticador 802.1X no switch da LAN. O mecanismo de passagem garante que o telefone IP não atue como um switch de LAN para autenticar um ponto de extremidade de dados antes de acessar a rede.

Os telefones IP da Cisco também oferecem um mecanismo de logoff EAPOL por proxy. Se o computador conectado localmente se desconectar do telefone IP, o switch LAN não detectará a falha da conexão física, pois a conexão entre o switch LAN e o telefone IP será mantida. Para evitar comprometer a integridade da rede, o telefone IP envia uma mensagem EAPOL-Logoff para o switch em nome do PC downstream, o que faz com que o switch LAN limpe a entrada de autenticação do PC downstream.

O suporte para autenticação 802.1X requer vários componentes:

• Telefone IP Cisco: O telefone inicia a solicitação de acesso à rede. Os telefones IP da Cisco contêm um suplicante 802.1X. Este dispositivo permite que os administradores de rede controlem a conectividade dos telefones IP às portas do switch da LAN. A versão atual do suplicante 802.1X para telefones utiliza as opções EAP-FAST e EAP-TLS para autenticação de rede.

• Servidor de autenticação: O servidor de autenticação e o switch devem ser configurados com uma chave secreta compartilhada que autentique o telefone.

• Trocar: O switch deve ser compatível com 802.1X para poder atuar como autenticador e encaminhar as mensagens entre o telefone e o servidor de autenticação. Após a conclusão da troca de informações, o switch concede ou nega ao telefone o acesso à rede.

Você deve executar as seguintes ações para configurar o 802.1X.

• Configure os outros componentes antes de ativar a autenticação 802.1X no telefone.

• Configurar porta do PC: O padrão 802.1X não leva em consideração VLANs e, portanto, recomenda que apenas um único dispositivo seja autenticado em uma porta de switch específica. No entanto, alguns switches suportam autenticação multidomínio. A configuração do switch determina se você pode conectar um PC à porta PC do telefone.

  • Habilitado: Se você estiver usando um switch que suporte autenticação multidomínio, poderá habilitar a porta PC e conectar um PC a ela. Neste caso, os telefones IP da Cisco suportam o proxy EAPOL-Logoff para monitorar as trocas de autenticação entre o switch e o PC conectado.

    Para obter mais informações sobre o suporte ao padrão IEEE 802.1X nos switches Cisco Catalyst, consulte os guias de configuração dos switches Cisco Catalyst em:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Desabilitado: Se o switch não suportar vários dispositivos compatíveis com 802.1X na mesma porta, você deverá desativar a porta PC quando a autenticação 802.1X estiver ativada. Se você não desativar essa porta e tentar conectar um PC a ela, o switch negará o acesso à rede tanto para o telefone quanto para o PC.

• Configurar VLAN de voz: Como o padrão 802.1X não leva em consideração as VLANs, você deve configurar essa opção com base no suporte do switch.
  • Habilitado: Se você estiver usando um switch que suporte autenticação multidomínio, poderá continuar usando a VLAN de voz.
  • Desabilitado: Se o switch não suportar autenticação multidomínio, desative a VLAN de voz e considere atribuir a porta à VLAN nativa.
• (Apenas para telefones de mesa Cisco da série 9800)

  O telefone de mesa Cisco da série 9800 possui um prefixo PID diferente dos demais telefones Cisco. Para permitir que seu telefone passe pela autenticação 802.1X, defina o parâmetro Radius·User-Name para incluir seu Cisco Desk Phone Série 9800.

  Por exemplo, o PID do telefone 9841 é DP-9841; você pode definir Radius·User-Name para Start with DP ou Contains DP. Você pode configurá-lo em ambas as seções a seguir:

  • Política > Condições > Condições da Biblioteca

  • Política > Conjuntos de Políticas > Política de Autorização > Regra de Autorização 1

Quando a segurança é implementada em um telefone, você pode identificar chamadas telefônicas seguras por meio de ícones na tela do aparelho. Você também pode determinar se o telefone conectado está seguro e protegido se um tom de segurança for reproduzido no início da chamada.

Em uma chamada segura, todos os sinais de chamada e fluxos de mídia são criptografados. Uma chamada segura oferece um alto nível de segurança, proporcionando integridade e privacidade à chamada. Quando uma chamada em andamento está criptografada, você pode ver o ícone seguro na linha. Para um telefone seguro, você também pode visualizar o ícone autenticado ou o ícone criptografado ao lado do servidor conectado no menu do telefone (Configurações > Sobre este dispositivo).

Em uma chamada segura, um tom de segurança é reproduzido no início da chamada para indicar que o outro telefone conectado também está recebendo e transmitindo áudio seguro. Se a sua chamada for conectada a um telefone não seguro, o tom de segurança não será reproduzido.

Quando um telefone é configurado como seguro (criptografado e confiável) no Cisco Unified Communications Manager, ele pode receber um status protegido. Depois disso, se desejado, o telefone protegido pode ser configurado para reproduzir um tom de indicação no início de uma chamada:

• Dispositivo protegido: Para alterar o status de um telefone seguro para protegido, marque a caixa de seleção Dispositivo Protegido na janela Configuração do Telefone na Administração do Cisco Unified Communications Manager (Dispositivo > Telefone).

• Tom de indicação de segurança de reprodução: Para permitir que o telefone protegido reproduza um tom de indicação de segurança ou não segurança, defina a opção "Reproduzir tom de indicação de segurança" como "Verdadeiro". Por padrão, a opção Reproduzir Tom de Indicação Segura está definida como False. Você define essa opção na Administração do Cisco Unified Communications Manager (Sistema > Parâmetros de serviço). Selecione o servidor e, em seguida, o serviço Unified Communications Manager. Na janela Configuração de Parâmetros de Serviço, selecione a opção na área Recurso - Tom Seguro. O valor padrão é Falso.

Como todos os dispositivos WLAN que estão dentro do alcance podem receber todo o tráfego WLAN dos outros dispositivos, a segurança das comunicações de voz é fundamental em redes WLAN. Para garantir que invasores não manipulem nem interceptem o tráfego de voz, a arquitetura de segurança Cisco SAFE oferece suporte ao telefone. Para obter mais informações sobre segurança em redes, consulte http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

A solução de telefonia IP sem fio da Cisco oferece segurança de rede sem fio que impede logins não autorizados e comunicações comprometidas, utilizando os seguintes métodos de autenticação compatíveis com o telefone:

• Autenticação Aberta: Em um sistema aberto, qualquer dispositivo sem fio pode solicitar autenticação. O ponto de acesso (AP) que recebe a solicitação pode conceder autenticação a qualquer solicitante ou somente aos solicitantes que constam em uma lista de usuários. A comunicação entre o dispositivo sem fio e o ponto de acesso (AP) pode não ser criptografada.

• Autenticação por Protocolo de Autenticação Extensível - Autenticação Flexível via Tunelamento Seguro (EAP-FAST): Essa arquitetura de segurança cliente-servidor criptografa as transações EAP dentro de um túnel TLS (Transport Level Security) entre o ponto de acesso (AP) e o servidor RADIUS, como o Identity Services Engine (ISE).

  O túnel TLS utiliza Credenciais de Acesso Protegido (PACs) para autenticação entre o cliente (telefone) e o servidor RADIUS. O servidor envia um ID de Autoridade (AID) para o cliente (telefone), que por sua vez seleciona o PAC apropriado. O cliente (telefone) retorna um PAC-Opaque para o servidor RADIUS. O servidor descriptografa o PAC com a chave primária. Agora, ambos os pontos de extremidade contêm a chave PAC e um túnel TLS foi criado. O EAP-FAST suporta o provisionamento automático de PAC, mas você precisa habilitá-lo no servidor RADIUS.

  No ISE, por padrão, o PAC expira em uma semana. Se o telefone tiver um PAC expirado, a autenticação com o servidor RADIUS demorará mais tempo enquanto o telefone obtém um novo PAC. Para evitar atrasos no provisionamento do PAC, defina o período de expiração do PAC para 90 dias ou mais no servidor ISE ou RADIUS.

• Autenticação EAP-TLS (Extensible Authentication Protocol-Transport Layer Security): O EAP-TLS requer um certificado de cliente para autenticação e acesso à rede. Para EAP-TLS sem fio, o certificado do cliente pode ser MIC, LSC ou um certificado instalado pelo usuário.

• Protocolo de Autenticação Extensível Protegido (PEAP): Esquema de autenticação mútua baseado em senha, proprietário da Cisco, entre o cliente (telefone) e um servidor RADIUS. O telefone pode usar PEAP para autenticação na rede sem fio. Os métodos de autenticação PEAP-MSCHAPV2 e PEAP-GTC são suportados.

• Chave pré-compartilhada (PSK): O telefone suporta o formato ASCII. Você deve usar este formato ao configurar um WPA/WPA2/SAE Chave pré-compartilhada:

  ASCII: Uma sequência de caracteres ASCII com 8 a 63 caracteres de comprimento (0-9, letras minúsculas e maiúsculas de A a Z e caracteres especiais)

  Exemplo: GREG123567@9ZX & C

Os seguintes esquemas de autenticação utilizam o servidor RADIUS para gerenciar as chaves de autenticação:

• WPA/WPA2/WPA3: Utiliza informações do servidor RADIUS para gerar chaves exclusivas para autenticação. Como essas chaves são geradas no servidor RADIUS centralizado, WPA2/WPA3 Oferece mais segurança do que as chaves pré-compartilhadas WPA armazenadas no ponto de acesso e no telefone.

• Roaming rápido e seguro: Utiliza informações do servidor RADIUS e do servidor de domínio sem fio (WDS) para gerenciar e autenticar chaves. O WDS cria um cache de credenciais de segurança para dispositivos cliente habilitados para FT, permitindo uma reautenticação rápida e segura. Os telefones de mesa Cisco 9861 e 9871 e o telefone de vídeo Cisco 8875 suportam 802.11r (FT). Tanto a comunicação sem fio quanto a comunicação via DS são suportadas para permitir um roaming rápido e seguro. Mas recomendamos fortemente a utilização do método 802.11r (FT) via ar.

Com WPA/WPA2/WPA3, As chaves de criptografia não são inseridas no telefone, mas são derivadas automaticamente entre o ponto de acesso e o telefone. No entanto, o nome de usuário e a senha do EAP usados para autenticação devem ser inseridos em cada telefone.

Para garantir a segurança do tráfego de voz, o telefone suporta criptografia TKIP e AES. Quando esses mecanismos são usados para criptografia, tanto os pacotes de sinalização SIP quanto os pacotes de voz do Protocolo de Transporte em Tempo Real (RTP) são criptografados entre o ponto de acesso (AP) e o telefone.

TKIP

O WPA utiliza criptografia TKIP, que apresenta diversas melhorias em relação ao WEP. O TKIP oferece criptografia de chave por pacote e vetores de inicialização (IVs) mais longos que fortalecem a criptografia. Além disso, uma verificação de integridade da mensagem (MIC, na sigla em inglês) garante que os pacotes criptografados não sejam alterados. O TKIP elimina a previsibilidade do WEP, que ajuda os invasores a decifrarem a chave WEP.

AES

Um método de criptografia usado para WPA2/WPA3 autenticação. Este padrão nacional de criptografia utiliza um algoritmo simétrico que tem a mesma chave para criptografia e descriptografia. O AES utiliza criptografia Cipher Blocking Chain (CBC) de 128 bits, que suporta tamanhos de chave de 128 bits, 192 bits e 256 bits, no mínimo. O telefone suporta um tamanho de chave de 256 bits.

Os esquemas de autenticação e criptografia são configurados na rede local sem fio (WLAN). As VLANs são configuradas na rede e nos pontos de acesso (APs) e especificam diferentes combinações de autenticação e criptografia. Um SSID está associado a uma VLAN e a um esquema específico de autenticação e criptografia. Para que os dispositivos clientes sem fio se autentiquem com sucesso, você deve configurar os mesmos SSIDs com seus respectivos esquemas de autenticação e criptografia nos pontos de acesso e no telefone.

Alguns sistemas de autenticação exigem tipos específicos de criptografia.

Os esquemas de autenticação e criptografia na tabela a seguir mostram as opções de configuração de rede para o telefone que correspondem à configuração do ponto de acesso (AP).

O Assured Services SIP (AS-SIP) é um conjunto de recursos e protocolos que oferece um fluxo de chamadas altamente seguro para telefones IP da Cisco e de terceiros. Os seguintes recursos são conhecidos coletivamente como AS-SIP:

• Precedência e Preempção Multinível (MLPP)
• Ponto de código de serviços diferenciados (DSCP)
• Segurança da Camada de Transporte (TLS) e Protocolo de Transporte Seguro em Tempo Real (SRTP)
• Protocolo de Internet versão 6 (IPv6)

O AS-SIP é frequentemente usado com Precedência e Preempção Multinível (MLPP) para priorizar chamadas durante uma emergência. Com o MLPP, você atribui um nível de prioridade às suas chamadas de saída, do nível 1 (baixo) ao nível 5 (alto). Ao receber uma chamada, um ícone de nível de precedência é exibido no telefone, mostrando a prioridade da chamada.

Para configurar o AS-SIP, execute as seguintes tarefas no Cisco Unified Communications Manager:

• Configurar um usuário Digest — Configure o usuário final para usar a autenticação Digest para solicitações SIP.
• Configurar a porta segura do telefone SIP — O Cisco Unified Communications Manager usa essa porta para receber registros de linhas SIP via TLS em telefones SIP.
• Reiniciar serviços — Após configurar a porta segura, reinicie os serviços Cisco Unified Communications Manager e Cisco CTL Provider. Configure o perfil SIP para AS-SIP - Configure um perfil SIP com as definições SIP para os seus endpoints AS-SIP e para os seus troncos SIP. Os parâmetros específicos do telefone não são baixados para um telefone AS-SIP de terceiros. Eles são usados exclusivamente pelo Cisco Unified Manager. Telefones de terceiros devem configurar localmente as mesmas definições.
• Configurar o perfil de segurança do telefone para AS-SIP — Você pode usar o perfil de segurança do telefone para atribuir configurações de segurança, como TLS, SRTP e autenticação digest.
• Configurar ponto de extremidade AS-SIP — Configure um telefone IP da Cisco ou um ponto de extremidade de terceiros com suporte a AS-SIP.
• Associar dispositivo ao usuário final — Associe o endpoint a um usuário.
• Configurar o perfil de segurança do tronco SIP para AS-SIP — Você pode usar o perfil de segurança do tronco SIP para atribuir recursos de segurança, como autenticação TLS ou Digest, a um tronco SIP.
• Configurar tronco SIP para AS-SIP — Configurar um tronco SIP com suporte a AS-SIP.
• Configurar recursos AS-SIP — Configure recursos AS-SIP adicionais, como MLPP, TLS, V.150 e IPv6.

Para obter informações detalhadas sobre a configuração do AS-SIP, consulte o capítulo "Configurar endpoints AS-SIP" no Guia de configuração de recursos para o Cisco Unified Communications Manager.

Quando os Códigos de Autorização Forçada (FAC) ou os Códigos de Assunto do Cliente (CMC), ou ambos, estão configurados no telefone, os usuários devem inserir as senhas necessárias para discar um número.

Para obter mais informações sobre como configurar FAC e CMC no Cisco Unified Communications Manager, consulte o capítulo "Códigos de assunto do cliente e códigos de autorização forçada" no Guia de configuração de recursos para Cisco Unified Communications Manager, versão 12.5(1) ou posterior.

O recurso VPN da Cisco ajuda a preservar a segurança da rede, ao mesmo tempo que oferece aos usuários um método seguro e confiável para se conectar à sua rede corporativa. Utilize esta funcionalidade quando:

• Um telefone está localizado fora de uma rede confiável.
• O tráfego de rede entre o telefone e o Cisco Unified Communications Manager atravessa uma rede não confiável.

Com uma VPN, existem três abordagens comuns para autenticação de clientes:

• Certificados digitais
• Senhas
• Nome de usuário e senha

Cada método tem suas vantagens. Mas, se a política de segurança da sua empresa permitir, recomendamos uma abordagem baseada em certificados, pois os certificados possibilitam um login perfeito sem qualquer intervenção do usuário. São suportados certificados LSC e MIC.

Para configurar qualquer uma das funcionalidades de VPN, provisione o dispositivo localmente primeiro e, em seguida, você poderá implantá-lo fora das instalações.

Para obter mais informações sobre autenticação de certificado e trabalho com rede VPN, consulte Configurar AnyConnect VPN Phone com autenticação de certificado em um ASA.

Com uma senha, ou um nome de usuário e senha, o usuário é solicitado a fornecer suas credenciais de login. Configure as credenciais de login do usuário de acordo com a política de segurança da sua empresa. Você também pode configurar a opção "Ativar persistência de senha" para que a senha do usuário seja salva no telefone. A senha do usuário é salva até que ocorra uma tentativa de login falha, o usuário a apague manualmente ou o telefone seja reiniciado ou perca energia.

Outra ferramenta útil é a configuração "Ativar detecção automática de rede". Ao ativar esta caixa de seleção, o cliente VPN só poderá ser executado quando detectar que está fora da rede corporativa. Essa configuração está desativada por padrão.

Seu telefone Cisco é compatível com o Cisco SVC IPPhone Client v1.0 como tipo de cliente.

Para obter mais informações sobre como configurar a VPN no Unified CM, consulte Guia de Configuração de Recursos para Cisco Unified Communications Manager.

O recurso VPN da Cisco utiliza o protocolo Secure Sockets Layer (SSL) para preservar a segurança da rede.