Securitate fizică

Este important să oferiți securitate fizică locațiilor Equinix Meet-Me Room și facilităților Cisco Dedicated Instance Data Center. Atunci când securitatea fizică este compromisă, pot fi inițiate atacuri simple, cum ar fi întreruperea serviciului prin oprirea alimentării la comutatoarele unui client. Cu acces fizic, atacatorii ar putea avea acces la dispozitivele server, pot reseta parolele și pot avea acces la switch-uri. Accesul fizic facilitează, de asemenea, atacuri mai sofisticate, cum ar fi atacurile man-in-the-middle, motiv pentru care al doilea strat de securitate, securitatea rețelei, este critic.

Unitățile de auto-criptare sunt utilizate în centrele de date pentru instanțe dedicate care găzduiesc aplicații UC.

Pentru mai multe informații despre practicile generale de securitate, consultați documentația de la următoarea locație: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Securitatea rețelei

Partenerii trebuie să se asigure că toate elementele de rețea sunt securizate în infrastructura Dedicated Instance (care se conectează prin Equinix). Este responsabilitatea partenerului să asigure cele mai bune practici de securitate, cum ar fi:

• VLAN separat pentru voce și date

• Activați securitatea portului care limitează numărul de adrese MAC permise pe port, împotriva inundării tabelelor CAM

• Protecție sursă IP împotriva adreselor IP falsificate

• Inspecția dinamică ARP (DAI) examinează protocolul de rezoluție a adreselor (ARP) și ARP gratuit (GARP) pentru încălcări (împotriva falsificării ARP)

• 802.1x limitează accesul la rețea pentru autentificarea dispozitivelor pe VLAN-urile atribuite (telefoanele acceptă 802.1x)

• Configurarea calității serviciului (QoS) pentru marcarea corespunzătoare a pachetelor vocale

• Configurații de porturi firewall pentru blocarea oricărui alt trafic

Securitatea punctelor finale

Punctele finale Cisco acceptă caracteristici de securitate implicite, cum ar fi firmware-ul semnat, pornirea securizată (modelele selectate), certificatul instalat de producător (MIC) și fișierele de configurare semnate, care oferă un anumit nivel de securitate pentru punctele finale.

În plus, un partener sau un client poate activa securitate suplimentară, cum ar fi:

• Criptați serviciile de telefonie IP (prin HTTPS) pentru servicii precum Extension Mobility

• Emiteți certificate semnificative la nivel local (LSC) de la funcția proxy a autorității de certificare (CAPF) sau de la o autoritate publică de certificare (CA)

• Criptați fișierele de configurare

• Criptați suporturile media și semnalizarea

• Dezactivați aceste setări dacă nu sunt utilizate: port PC, acces VLAN vocal PC, ARP gratuit, acces web, buton Setări, SSH, consolă

Implementarea mecanismelor de securitate în instanța dedicată previne furtul de identitate al telefoanelor și Unified CM serverului, manipularea datelor și manipularea semnalării apelurilor/fluxului media.

Instanță dedicată prin rețea:

• Stabilește și menține fluxuri de comunicații autentificate

• Semnează digital fișierele înainte de a transfera fișierul pe telefon

• Criptează fluxurile media și semnalizarea apelurilor între telefoanele Cisco Unified IP

Securitatea în mod implicit oferă următoarele caracteristici automate de securitate pentru telefoanele Cisco Unified IP:

• Semnarea fișierelor de configurare a telefonului

• Suport pentru criptarea fișierelor de configurare a telefonului

• HTTPS cu Tomcat și alte servicii Web (MIDlets)

Pentru Unified CM versiunea 8.0 ulterioară, aceste caracteristici de securitate sunt furnizate în mod implicit fără a rula clientul Lista de încredere a certificatelor (CTL).

Deoarece există un număr mare de telefoane într-o rețea și telefoanele IP au memorie limitată, Cisco Unified CM acționează ca un depozit de încredere la distanță prin Serviciul de verificare a încrederii (TVS), astfel încât să nu fie necesar să fie plasat un depozit de încredere de certificate pe fiecare telefon. Telefoanele IP Cisco contactează serverul TVS pentru verificare, deoarece nu pot verifica o semnătură sau un certificat prin fișiere CTL sau ITL. A avea un magazin central de încredere este mai ușor de gestionat decât să ai magazinul de încredere pe fiecare telefon Cisco Unified IP.

TVS permite telefoanelor Cisco Unified IP să autentifice serverele de aplicații, cum ar fi serviciile EM, director și MIDlet, în timpul stabilirii HTTPS.

Fișierul Listă de încredere inițială (ITL) este utilizat pentru securitatea inițială, astfel încât punctele finale să poată avea încredere. Cisco Unified CM ITL nu are nevoie de nicio caracteristică de securitate pentru a fi activată în mod explicit. Fișierul ITL este creat automat atunci când clusterul este instalat. Cheia privată a serverului Unified CM Trivial File Transfer Protocol (TFTP) este utilizată pentru a semna fișierul ITL .

Când Cisco Unified CM clusterul sau serverul este în modul nesecurizat, fișierul ITL este descărcat pe fiecare telefon Cisco IP acceptat. Un partener poate vizualiza conținutul unui fișier ITL folosind comanda CLI, ad min:show itl.

Telefoanele IP Cisco au nevoie de fișierul ITL pentru a efectua următoarele sarcini:

• Comunicați în siguranță cu CAPF, o condiție prealabilă pentru a sprijini criptarea fișierelor de configurare

• Autentificarea semnăturii fișierului de configurare

• Autentificarea serverelor de aplicații, cum ar fi serviciile EM, directorul și MIDlet în timpul stabilirii HTTPS utilizând TVS

Autentificarea dispozitivelor, fișierelor și semnalizării se bazează pe crearea fișierului Listă de încredere a certificatelor (CTL), care este creat atunci când partenerul sau clientul instalează și configurează clientul Cisco Certificate Trust List.

Fișierul CTL conține intrări pentru următoarele servere sau jetoane de securitate:

• Token de securitate al administratorului de sistem (SAST)

• Cisco CallManagerși serviciile Cisco TFTP care rulează pe același server

• Certificate AuthorityFuncția proxy (CAPF)

• Server (e) TFTP

• Paravan de protecție ASA

Fișierul CTL conține un certificat de server, cheie publică, număr de serie, semnătură, nume emitent, nume subiect, funcție server, nume DNS și adresă IP pentru fiecare server.

Securitatea telefonului cu CTL oferă următoarele funcții:

• Autentificarea fișierelor descărcate TFTP (configurare, localizare, listă de apel și așa mai departe) folosind o cheie de semnare

• Criptarea fișierelor de configurare TFTP utilizând o cheie de semnare

• Semnalizarea apelurilor criptate pentru telefoanele IP

• Sunet de apel criptat (media) pentru telefoane IP

Instanța dedicată oferă înregistrarea punctului final și procesarea apelurilor. Semnalizarea între punctele Cisco Unified CM finale se bazează pe Secure Skinny Client Control Protocol (SCCP) sau Session Initiation Protocol (SIP) și poate fi criptată folosind Transport Layer Security (TLS). Mediul de la/la punctele finale se bazează pe Protocolul de transport în timp real (RTP) și poate fi, de asemenea, criptat folosind Secure RTP (SRTP).

Activarea modului mixt activat Unified CM permite criptarea semnalării și a traficului media de la și către punctele finale Cisco.

Aplicații UC securizate

Modul mixt este activat implicit în instanță dedicată.

Activarea modului mixt în instanță dedicată permite posibilitatea de a efectua criptarea semnalării și a traficului media de la și către punctele finale Cisco.

De la Cisco Unified CM versiunea 12.5 (1), a fost adăug ată o nouă opțiune pentru a activa criptarea semnalizării și a mediilor bazate pe SIP OAuth în loc de mod mixt/CTL pentru clienții Jabber și Webex. Prin urmare, în Unified CM versiunea 12.5 (1), SIP OAuth și SRTP pot fi utilizate pentru a activa criptarea pentru semnalizare și media pentru clienții Jabber sau Webex. Activarea modului mixt continuă să fie necesară pentru telefoanele IP Cisco și alte puncte finale Cisco în acest moment. Există un plan de a adăuga suport pentru SIP OAuth în punctele finale 7800/8800 într-o versiune viitoare.

Securizarea comunicațiilor între Cisco Unified CM și CUBE

Pentru comunicații sigure între Cisco Unified CM și CUBE, partenerii/clienții trebuie să utilizeze fie certificate auto-semnate, fie certificate semnate CA.

Pentru certificatele auto-semnate:

1. CUBE și Cisco Unified CM generează certificate auto-semnate

2. CUBE exportă certificatul către Cisco Unified CM

3. Cisco Unified CMCertificat de export către CUBE

Pentru certificatele semnate CA:

1. Clientul generează o pereche de chei și trimite o cerere de semnare a certificatului (CSR) către (CA) Certificate Authority

2. CA îl semnează cu cheia privată, creând un certificat de identitate

3. Clientul instalează lista certificatelor rădăcină și intermediare CA de încredere și certificatul de identitate

Rezumatul protocolului

Următorul tabel prezintă protocoalele și serviciile asociate utilizate în Unified CM soluție.

Pentru mai multe informații despre configurarea MRA, consultați secțiunea Scen arii de implementare MRA din Ghi dul de Cisco Expressway implementare mobilă și Remote Access prin intermediul.

Securizarea Jabber și Webex cu SIP OAuth

Clienții Jabber și Webex sunt autentificați printr-un token OAuth în loc de un certificat semnificativ local (LSC), care nu necesită activarea funcției proxy a autorității de certificat (CAPF) (și pentru MRA). SIP OAuth care lucrează cu sau fără mod mixt a fost introdus în Cisco Unified CM 12.5 (1) și versiuni ulterioare, Jabber 12.5 și versiuni ulterioare și Expressway X12.5.

În Cisco Unified CM 12.5 și versiuni ulterioare, avem o nouă opțiune în Profil de securitate telefonică care permite criptarea fără LSC/CAPF, folosind un singur Transport Layer Security (TLS) +token OAuth în SIP REGISTER. Nodurile Expressway-C utilizează API-ul Administrative XML Web Service (AXL) pentru a informa despre SN/SAN în Cisco Unified CM certificatul lor. Cisco Unified CMutilizează aceste informații pentru a valida certificatul Exp-C atunci când stabilește o conexiune TLS reciprocă.

SIP OAuth permite criptarea media și semnalizare fără un certificat de punct final (LSC).

Cisco Jabberutilizează porturi efemere și porturi securizate 6971 și 6972 prin conexiune HTTPS la serverul TFTP pentru a descărca fișierele de configurare. Portul 6970 este un port nesecurizat pentru descărcare prin HTTP.

Mai multe detalii despre configurația SIP OAuth: Modul SIP O Auth.