Obrigado pelos seus comentários.

Isso serve para informá-lo sobre uma futura alteração na política do navegador Google Chrome que afetará a emissão de certificados TLS públicos e para descrever as ações que a Cisco tomará para garantir suporte contínuo para conexões TLS mútuas (mTLS) em ambientes de instância Cisco Webex Calling dedicada e nuvem UCM.

A partir de ^1º de fevereiro de 2027, as autoridades de certificação públicas ( CAs) incluídas no programa Google Chrome Trust deixarão de assinar certificados que incluam o uso estendido de chave (EKU) da Autenticação do Cliente (ClientAuth).

^A partir de 15 de março de 2027, o Google aplicará uma política exigindo que as CAs raiz públicas no Chrome Root Store emitam certificados contendo somente o EKU de autenticação de servidor (ServerAuth). Como resultado, as CAs raiz públicas no Chrome Root Store não poderão mais emitir certificados que combinem EKUs de autenticação de servidor e autenticação de cliente em um único certificado.

Atualmente, os aplicativos de UC de instância dedicada usam certificados que incluem EKUs de autenticação de servidor e autenticação de cliente em um único certificado para estabelecer confiança nas conexões mTLS. O suporte para certificados separados de servidor e cliente agora está disponível com a versão do aplicativo UC V15su5.

Atualmente, a Instância Dedicada usa o IdenTrust Commercial Root CA 1, parte do Google Chrome Root Store, para assinar esses certificados. No entanto, devido à próxima alteração na política do Chrome, essa CA não poderá mais emitir certificados contendo os dois EKUs em um único certificado a partir de ^1º de fevereiro de 2027.

Certificados afetados

Os seguintes certificados de aplicativo de UC são assinados usando uma CA raiz pública e são comumente usados para conexões mTLS:

Aplicação UC	Tipo de certificado	Conexões mTLS comuns
Cisco Unified CM/PME	Tomcat//Tomcat-ECDSA	LDAP, Filebeat, Logstash, SIP OAuth sobre MRA, Syslog remoto
	CallManager//CallManager-ECDSA	Troncos SIP, conexões entre nós e entre clusters
Cisco Unity Connection	Tomcat//Tomcat-ECDSA	Proxy SIP, troncos SIP
Mensagens instantâneas e presença da Cisco	Tomcat//Tomcat-ECDSA	—
	xícara/copa-ECDSA	SIP seguro com CUCM, clientes de terceiros, SIP Proxy
	cup-xmpp/CUP-XMPP-ECDSA	Federação XMPP
Cisco Emergency Responder	Tomcat//Tomcat-ECDSA	—
Cisco Expressway	Certificado de servidor	Mão móvel Remote Access (MRA)

Certificados não afetados

Todos os certificados restantes na Instância Dedicada são autoassinados. Para obter mais informações, consulte Gerenciamento de certificados de instância dedicada.

Para abordar a alteração da política do Chrome e manter a funcionalidade ininterrupta do mTLS, a Cisco tomará as seguintes medidas:

• A partir de ^1º de junho de 2026, a Cisco mudará a CA raiz pública usada para assinar certificados de aplicativos UC de instância dedicada de IdenTrust Commercial Root CA 1 para IdenTrust Public Sector Root CA 1 para todas as renovações de certificados.

  O processo de renovação do certificado permanece o mesmo, e o Centro de Alertas do Control Hub notifica os clientes por meio do alerta “Manutenção e interrupção” quando a renovação é agendada . Para obter mais informações, consulte Alertas de manutenção.

• Os certificados continuarão a incluir EKUs de autenticação de servidor e cliente.

Todos os aplicativos ou serviços de terceiros no ambiente do cliente que conectam aplicativos de UC em Instância Dedicada usando conexões TLS ou mTLS devem utilizar a mesma cadeia de certificados que os aplicativos de UC em Instância Dedicada. Se o repositório confiável de sistemas ou aplicativos do cliente ainda não incluir as autoridades de certificação IdenTrust necessárias, o novo certificado raiz deverá ser importado para evitar falhas na conexão TLS/mTLS.

1. Auditar as conexões mTLS atuais
   1. Identifique aplicativos, serviços de terceiros ou integrações que se conectam aos aplicativos de UC em instância dedicada usando TLS ou mTLS.
   2. Verifique se esses aplicativos confiam na nova CA raiz pública: IdenTrust Public Sector Root CA 1.
2. Adicione a nova CA raiz pública (se necessário)
   1. Se o IdenTrust Public Sector Root CA 1 ainda não for confiável no aplicativo do cliente ou no armazenamento confiável do sistema, ele deverá ser adicionado.
   2. O mesmo pode ser baixado nos seguintes links:

      CA raiz: CA raiz 1 do setor público IdenTrust

      Página de download alternativa: Downloads de suporte do IdenTrust

      CA emissor/secundária: IdenTrust Public Sector Server CA 1.

   Para a maioria dos aplicativos, confiar na CA raiz é suficiente se o servidor apresentar a cadeia completa. É vantajoso incluir a CA emissora/secundária para aplicativos que exigem que o certificado intermediário seja importado separadamente.

O IdenTrust Public Sector Root CA 1 é confiável por padrão nos repositórios confiáveis padrão dos seguintes sistemas operacionais e plataformas:

• Microsoft Windows
• macOS
• iOS /iPadOS
• Android

Como resultado, o cliente só precisa validar os repositórios confiáveis dessas plataformas para confirmar se o novo certificado raiz da CA pública já está listado. Isso se aplica a endpoints/clientes ou sistemas de terceiros que usam os armazenamentos confiáveis padrão nessas plataformas. As instruções para atualizar o repositório confiável em cada plataforma são fornecidas nas seções abaixo. A responsabilidade por realizar essas atualizações é do cliente ou parceiro; os links e as etapas abaixo fazem referência a artigos on-line dos respectivos fornecedores de plataforma, e a Cisco fornece assistência da melhor maneira possível. Para obter mais esclarecimentos, você deve trabalhar diretamente com os respectivos fornecedores de plataforma.

Nota da loja confiável do Android

O IdenTrust Public Sector Root CA 1 está incluído na loja CA do sistema Android e é confiável por padrão nas versões Android atualmente suportadas. O Android não fornece um mapeamento público específico da versão para datas de introdução de certificados raiz individuais. A confiança é gerenciada por meio do sistema Android CA Store e distribuída por meio de atualizações do sistema operacional e atualizações do sistema Google Play.

Nenhuma ação do cliente é necessária, a menos que o repositório confiável do sistema Android tenha sido explicitamente modificado pela política do dispositivo, pelos controles de gerenciamento corporativo ou pelas restrições de confiança específicas do aplicativo.

O IdenTrust Public Sector Root CA 1 não está incluído no Google Chrome Root Store.

Para garantir que o Google Chrome confie nos certificados emitidos sob essa CA raiz, os clientes devem garantir que o certificado raiz seja explicitamente confiável no nível do sistema operacional em locais que o Chrome consome para decisões de confiança locais.

Windows — configuração de confiança necessária

Para garantir que a CA raiz seja confiável pelo Google Chrome no Windows, a CA raiz 1 do setor público IdenTrust deve ser importada para um dos seguintes locais:

• Computador local → Autoridades de certificação raiz confiáveis

  (Recomendado para sistemas gerenciados pela empresa)

ou

• Usuário atual → Autoridades de certificação raiz confiáveis

  (Para confiança no nível do usuário)

Os certificados importados usando o Assistente de Importação de Certificados do Windows para esses locais (inclusive por meio da Política de Grupo) têm a confiança do Google Chrome.

Os certificados raiz que existem somente no Windows Third-Party não são automaticamente confiáveis pelo Chrome, a menos que sejam importados explicitamente conforme descrito acima.

Mac OS — configuração de confiança necessária

Para garantir que a CA raiz tenha a confiança do Google Chrome no macOS, a CA raiz 1 do setor público IdenTrust deve ser adicionada ao porta-chaves do macOS e ser explicitamente confiável:

1. Importe o certificado para o Chaveiro do Sistema (recomendado) ou para o Chaveiro de Login

2. Abra o certificado e defina:

   • Ao usar este certificado: Sempre confie

     (ou, no mínimo, SSL: Always Trust)

Uma vez confiável no nível do sistema ou do usuário, o Google Chrome honrará o certificado como confiável.

Os administradores podem verificar quais certificados de plataforma são confiáveis para o Chrome navegando até: chrome: //certificate-manager/localcerts/platformcerts

Para obter mais informações, consulte Perguntas frequentes do Google.

As integrações de terceiros exigem a validação do cliente principal.

Para quaisquer aplicativos ou serviços de terceiros que estabeleçam conexões TLS/mTLS com aplicativos UC de instância dedicada, os clientes devem seguir as ações mencionadas em Alterações de certificados de CA pública que afetam a instância dedicada.

Você precisará colaborar diretamente com seu fornecedor terceirizado ou administrador de TI se as atualizações do repositório confiável forem necessárias. Modificações em armazenamentos confiáveis de terceiros ou comportamentos de validação de certificados estão fora das responsabilidades da Cisco, e a Cisco não pode ajudar com configurações de confiança de certificados de terceiros ou solução de problemas.

Os clientes podem validar a nova CA raiz pública usando o certificado de teste IdenTrust.

Se a página for aberta com sucesso, o IdenTrust Public Sector Root CA 1 é confiável em seu ambiente.

Se você tiver dúvidas sobre essa alteração, a política do navegador Google Chrome ou as atualizações de certificados na Instância Dedicada, abra uma Solicitação de Serviço no Control Hub em Ciclo de vida do aplicativo UC.

Os clientes do UCM Cloud (UCMC) que possuem seu domínio e gerenciam suas próprias renovações de certificados de aplicativos de UC e que não delegaram autoridade de domínio à Cisco para assinar certificados de aplicativos de UC serão responsáveis por trabalhar diretamente com as autoridades de certificação públicas escolhidas para resolver essa alteração. 

Esses clientes também devem se alinhar às recomendações aplicáveis do produto de aplicativo de UC (produtos de chamadas locais da Cisco e Cisco Expressway) em relação ao uso e à remediação de certificados relacionados às futuras mudanças na CA pública e na política do navegador. Para obter mais informações, consulte Funções e responsabilidades. 

A Cisco continuará a fornecer atualizações à medida que o suporte de aplicativos de UC para certificados separados de servidor e cliente for disponibilizado. Consulte este documento para obter as atualizações mais recentes.

Alterações no certificado EKU: ações que os clientes da Cisco On-Premises Collaboration DEVEM TOMAR AGORA