Mulțumim pentru feedback.

Caracteristicile de securitate protejează împotriva amenințărilor, inclusiv a amenințărilor la adresa identității telefonului și a datelor. Aceste caracteristici stabilesc și întrețin fluxuri de comunicare autentificate între telefon și serverul Cisco Unified Communications Manager și garantează faptul că telefonul utilizează numai fișiere semnate digital.

Cisco Unified Communications Manager versiunea 8.5(1) și versiuni mai recente includ securitate în mod prestabilit, care oferă următoarele caracteristici de securitate pentru telefoanele Cisco IP, fără să ruleze clientul CTL:

• Semnarea fișierelor de configurare a telefonului

• Criptarea fișierelor de configurare a telefonului

• HTTPS cu Tomcat și alte servicii web

Implementarea securității în sistemul Cisco Unified Communications Manager previne furtul de identitate al telefonului și al serverului Cisco Unified Communications Manager, previne falsificarea datelor și previne falsificarea semnalizărilor apelurilor și a fluxului media.

Pentru a atenua aceste amenințări, rețeaua de telefonie Cisco IP stabilește și întreține fluxuri de comunicație securizate (criptate) între un telefon și server, semnează digital fișierele înainte de a fi transferate pe un telefon și criptează fluxurile media și semnalizarea apelurilor dintre telefoanele Cisco IP.

Un certificat semnificativ la nivel local (LSC) se instalează pe telefoane după ce efectuați sarcinile necesare, asociate cu Proxy Certificate Authority Function (CAPF). Puteți utiliza Cisco Unified Communications Manager Administration pentru a configura un LSC, așa cum este descris în Ghidul de securitate Cisco Unified Communications Manager. Alternativ, puteți iniția instalarea unui LSC din meniul Securitate de pe telefon. De asemenea, acest meniu vă permite să actualizați sau să eliminați un LSC.

Telefoanele utilizează profilul de securitate al telefonului, care definește dacă dispozitivul este nesecurizat sau securizat. Pentru informații despre aplicarea profilului de securitate pe telefon, consultați documentația pentru versiunea dvs. specifică Cisco Unified Communications Manager.

Când configurați setările legate de securitate în Administrare Cisco Unified Communications Manager, fișierul de configurare a telefonului conține informații confidențiale. Pentru a asigura confidențialitatea unui fișier de configurare, trebuie să-l configurați pentru criptare. Pentru informații detaliate, consultați documentația pentru versiunea dvs. specifică Cisco Unified Communications Manager.

Următorul tabel oferă o prezentare generală a caracteristicilor de securitate pe care le acceptă telefoanele. Pentru informații suplimentare, consultați documentația versiunii dvs. Cisco Unified Communications Manager.

Următorul tabel conține mesajele de alarmă pentru actualizarea listei de încredere și semnificația. Pentru informații suplimentare, consultați documentația platformei Cisco Unified Communications Manager.

Când este implementată securitatea pentru un telefon, puteți să identificați apelurile telefonice securizate prin pictograme de pe ecranul telefonului. De asemenea, puteți determina dacă telefonul conectat este securizat și protejat dacă un ton de securitate este redat la începutul apelului.

Într-un apel securizat, toate fluxurile de semnalizare a apelurilor și fluxurile media sunt criptate. Un apel securizat oferă un nivel înalt de securitate, asigurând integritatea și confidențialitatea apelului. Atunci când un apel în curs este criptat, puteți vedea pictograma securizată Pe linie.

În Cisco Unified Communications Manager, telefoanelor configurate ca sigure (criptate și de încredere) li se poate atribui un statut protejat. Odată protejate, aceste dispozitive pot fi configurate pentru a reda un ton de securitate la începutul fiecărui apel.

• Dispozitiv protejat:

  Pentru a schimba starea unui telefon securizat la protejat:

  1. În Cisco Unified Communications Manager Administration, selectați Dispozitiv > Telefon.
  2. Localizați telefonul pe care îl veți configura.
  3. În fereastra Configurare telefon, bifați caseta de selectare Dispozitiv protejat.
  4. Faceți clic pe Salvare.

• Redați tonul indicator sigur:

  Pentru a permite telefonului protejat să redea un ton de indicare sigur sau nesecurizat:

  1. În Cisco Unified Communications Manager Administration, selectați Parametri sistem >serviciu.
  2. Selectați serverul și apoi serviciul Cisco CallManager .
  3. În zona Parametri la nivel de cluster (caracteristică - ton securizat), setați tonul de redare la Indicați starea apelului securizat/nesecurizat la adevărat.
  4. Faceți clic pe Salvare.

Deoarece toate dispozitivele WLAN care se află în aria de acoperire pot primi tot celălalt trafic WLAN, securizarea comunicațiilor vocale este critică în rețelele WLAN. Pentru a se asigura că intrușii nu manipulează și nu interceptează traficul de voce, arhitectura Cisco SAFE Security acceptă telefonul. Pentru mai multe informații despre securitatea în rețele, consultați http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Soluția de telefonie Cisco Wireless IP oferă securitate de rețea wireless care previne conectările neautorizate și comunicațiile compromise prin utilizarea următoarelor metode de autentificare acceptate de telefon.

• Autentificare deschisă: orice dispozitiv wireless poate solicita autentificarea într-un sistem deschis. AP care primește solicitarea poate acorda autentificare oricărui solicitant sau numai solicitanților care se află pe o listă de utilizatori. Comunicarea dintre dispozitivul wireless și punctul de acces (AP) ar putea fi necriptată.

• Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling (EAP-FAST) Autentificare: Această arhitectură de securitate client-server criptează EAP tranzacțiile dintr-un tunel Transport Level Security (TLS) între AP și serverul RADIUS, cum ar fi Identity Services Engine (ISE).

  Tunelul TLS utilizează Protected Access Credentials (PAC) pentru autentificarea dintre client (telefon) și serverul RADIUS. Serverul trimite un ID de autoritate (AID) către client (telefon), care, la rândul său, selectează PAC corespunzătoare. Clientul (telefonul) returnează PAC-Opaque către serverul RADIUS. Serverul decriptează PAC cu cheia primară. Ambele puncte finale conțin acum cheia PAC și este creat un tunel TLS. EAP-FAST acceptă asigurarea automată PAC, dar trebuie s-o activați pe serverul RADIUS.

  În ISE, în mod implicit, PAC expiră într-o săptămână. Dacă telefonul are PAC expirate, autentificarea pe serverul RADIUS durează mai mult, în timp ce telefonul primește PAC noi. Pentru a evita întârzierile de asigurare a PAC, setați perioada de expirare a PAC la 90 zile sau mai mult pe serverul ISE sau RADIUS.

• Autentificarea Extensible Authentication Protocol-Transport Layer Security (EAP-TLS): EAP-TLS necesită un certificat client pentru autentificare și accesul în rețea. Pentru wireless EAP-TLS, certificatul client poate fi MIC, LSC, sau certificat instalat de utilizator.

• Protected Extensible Authentication Protocol (PEAP): schema proprietară Cisco de autentificare reciprocă bazată pe parolă dintre client (telefon) și un server RADIUS. Telefonul poate utiliza PEAP pentru autentificarea cu rețeaua wireless. Sunt acceptate ambele metode de autentificare, PEAP-MSCHAPV2 și PEAP-GTC.

• Cheie pre-partajată (PSK): telefonul acceptă formatele ASCII și hexazecimal (HEX). Trebuie să utilizați aceste formate atunci când configurați o cheie WPA2/SAE pre-partajată.

  ASCII: Un șir de caractere ASCII cu o lungime de 8 până la 63 de caractere (0-9, litere mici a-z, majuscule A-Z și caractere speciale). De exemplu,GREG123567@9ZX &W.

  HEX: Un șir de caractere HEX cu lungimea de 64 de cifre hexazecimale (0-9, a-f sau A-F).

Următoarele scheme de autentificare utilizează serverul RADIUS pentru a gestiona cheile de autentificare:

• WPA2/WPA3: utilizează informațiile despre serverul RADIUS pentru a genera chei unice pentru autentificare. Deoarece aceste chei sunt generate la serverul centralizat RADIUS, WPA2/WPA3 oferă mai multă securitate decât cheile prepartajate WPA care sunt stocate pe AP și telefon.

• Roaming rapid securizat: utilizează informațiile despre serverul RADIUS și despre serverul de domeniu wireless (WDS) pentru a gestiona și a autentifica cheile. WDS creează o memorie cache de acreditări de securitate pentru dispozitivele client compatibile FT pentru reautentificare rapidă și sigură.

Cu WPA2/WPA3, cheile de criptare nu sunt introduse pe telefon, ci sunt derivate automat între AP și telefon. Dar numele de utilizator și parola EAP care sunt utilizate pentru autentificare trebuie introduse pe fiecare telefon.

Pentru a contribui la protejarea traficului de voce prin conexiunea wireless, telefonul acceptă criptarea bazată pe AES pentru autentificarea WPA2/WPA3. AES este un cifru bloc simetric standardizat de NIST. AES utilizează o dimensiune fixă a blocului pe 128 de biți și acceptă dimensiuni cheie de 128 de biți, 192 de biți și 256 de biți. În rețelele Wi-Fi, AES este utilizat de suitele de cifrare, cum ar fi CCMP sau GCMP, în timp ce autentificarea este furnizată separat de PSK, SAE sau 802.1X/EAP, în funcție de modul de securitate WLAN configurat. Suita de cifruri acceptată și dimensiunea cheii depind de modelul telefonului și de configurația WLAN.

Când telefonul utilizează criptarea AES, atât pachetele de semnalizare SIP, cât și pachetele de voce Real-Time Transport Protocol (RTP) sunt criptate între AP și telefon.

Schemele de autentificare și criptare sunt configurate în cadrul rețelei LAN wireless. VLAN-urile sunt configurate în rețea și pe AP-uri și specifică diferite combinații de autentificare și criptare. Un SSID se asociază cu un VLAN și cu schema specifică de autentificare și criptare. Pentru ca dispozitivele client wireless să se autentifice cu succes, trebuie să configurați aceleași SSID-uri cu schemele lor de autentificare și criptare pe AP-uri și pe telefon.

Unele scheme de autentificare necesită tipuri specifice de criptare.

Schemele de autentificare și criptare din tabelul următor arată opțiunile de configurare a rețelei pentru Cisco Wireless Phone 9821 care corespund configurației AP.

Cisco Telefonul wireless 9821 acceptă autentificarea 802.1X pentru rețelele cu fir. Acest lucru este utilizat de obicei în timpul asigurării automate a accesului , atunci când telefonul este conectat la încărcătorul de birou printr-un adaptor USB-la-Ethernet acceptat.

Suportul pentru autentificarea 802.1X în rețelele cu fir necesită mai multe componente, după cum urmează:

• Telefonul Cisco IP: telefonul inițiază solicitarea de a accesa rețeaua. Telefoanele Cisco IP conțin un solicitant 802.1X. Acest solicitant permite administratorilor de rețea să controleze conectivitatea telefoanelor IP la porturile switch-ului LAN. Versiunea curentă a solicitantului 802.1X de pe telefon utilizează opțiunile EAP-FAST și EAP-TLS pentru autentificarea în rețea.

• Server de autentificare: Serverul de autentificare și comutatorul trebuie să fie configurate cu un secret partajat RADIUS.

• Comutator: Comutatorul trebuie să accepte 802.1X, astfel încât să poată acționa ca autentificator și să transmită mesajele EAP între telefon și serverul de autentificare. După finalizarea schimbului, switch-ul acordă sau respinge accesul telefonului în rețea.

Telefoanele Cisco IP și switch-urile Cisco Catalyst utilizează în mod tradițional Cisco Discovery Protocol (CDP) pentru a se identifica reciproc și pentru a determina parametrii, cum ar fi alocarea VLAN și cerințele de alimentare în linie.

Trebuie să efectuați următoarele acțiuni pentru a configura 802.1X.

• Configurați CDP/LLDP bypass vocal VLAN.

• Configurați serverul de autentificare și comutatorul înainte de a activa autentificarea 802.1X pentru rețelele cu fir de pe telefon.

• Configurare VLAN vocal: deoarece standardul 802.1X nu ține cont de VLAN-uri, trebuie să configurați această setare pe baza compatibilității switch-ului.

  • Activat: dacă utilizați un comutator care acceptă autentificarea multidomeniu, îl puteți configura să utilizeze vocea VLAN.
  • Dezactivat: dacă switch-ul nu acceptă autentificarea în mai multe domenii, dezactivați VLAN-ul vocal și luați în considerare atribuirea portului către VLAN-ul nativ.

• Cisco Telefonul wireless 9821 are un prefix diferit în PID față de cel pentru celelalte telefoane Cisco. Pentru a permite telefonului să treacă autentificarea 802.1X, setați Rază · Parametrul Nume utilizator pentru a include telefonul wireless Cisco 9821.

  De exemplu, PID-ul telefonului wireless Cisco 9821 este WP-9821. Puteți seta raza· Nume de utilizator pentru a începe cu WP sau conține WP în ambele secțiuni următoare:

  • Politică > Condiții > Condiții de bibliotecă

  • Politici > Seturi de politici> Politica de autorizare> Regula de autorizare 1