Mulțumim pentru feedback.

Milioane de utilizatori la nivel global se bazează pe Webex pentru o colaborare sigură. De la consiliile de administrație ale întreprinderilor și sesiuni legislative guvernamentale până la consultări sensibile medic-pacient, Webex servește ca o platformă de încredere pentru comunicări critice.

Pe măsură ce cererea de muncă la distanță crește, crește și nevoia de instrumente robuste și confidențiale de colaborare. Webex a abordat această nevoie mai mult decât orice alt furnizor. Odată cu creșterea impersonării bazate pe AI și a amenințărilor sofisticate deepfake, cerința unei colaborări verificate de identitate, bazată pe politici este primordială. Pentru clienții noștri, securitatea nu este doar o caracteristică - este o componentă integrată a întregului ciclu de viață al întâlnirii, acoperind programarea, identitatea participanților și protecția conținutului.

Webex are o istorie lungă de susținere a criptării puternice end-to-end (E2EE). Modelul nostru Webex Zero Trust Security evoluează acest patrimoniu prin trei piloni primari:

• Stabilirea unei fundații a criptografiei bazate pe standarde, verificată oficial
• Îmbunătățirea criptării end-to-end cu identitate verificată end-to-end
• Extinderea suportului pentru dispozitivele Webex curente, precum și pentru aplicația Webex

Această lucrare tehnică oferă informații despre securitatea end-to-end și prezintă bazele tehnice ale modului în care funcționează WebExZero Trust Security. Pentru securitatea operațională a întâlnirii, cum ar fi tipurile de sesiuni de întâlnire, diferențele de securitate dintre întâlnirile programate față de sălile de ședințe personale, controalele administratorului și gazdei, partajarea și păstrarea conținutului întâlnirii și rezistența mai largă a inteligenței artificiale și deepfake în experiența întâlnirii, consultați documentul tehnic însoțitor WSMP Meetings Security.

O moștenire de 18 ani de furnizare a securității E2E

Webex a fost pionier în criptarea E2E pentru întâlniri în 2008. Prin definiție, securitatea E2E asigură că conținutul este criptat din momentul în care este trimis până când este afișat de către destinatar, împiedicând furnizorul de cloud sau orice terță parte să acceseze sau să manipuleze datele.

În funcție de cât de multă investiție face un furnizor de conferințe video în mecanismele de securitate E2E, acestea pot oferi diferite niveluri de protecție, așa cum se arată în Figura 1. Orice securitate E2E este mai bună decât criptarea doar în tranzit și în repaus.

Nivel de protecție	Atacatorii de rețea	Atacuri pasive (ascultare)	Atacuri active (imitare)	Exemple
Criptare în tranzit și în repaus	da	Nu	Nu	Aplicații non-E2EE
Criptare E2E	da	da	Nu	E2EE vechi și aplicații pentru consumatori
Criptare E2E și identitate E2E	da	da	da	Securitate Webex Zero Trust

Majoritatea aplicațiilor care pretind că oferă securitate E2E oferă protecție numai împotriva atacurilor pasive. Protecțiile doar pasive sunt încă valoroase, deoarece fac ca actorii răi să poată asculta doar o întâlnire în timp ce aceasta este în desfășurare. Cu toate acestea, cea mai bună abordare este protejarea atât împotriva atacurilor pasive, cât și împotriva atacurilor active, în cazul în care furnizorul de conferințe însuși s-ar putea pretinde a fi un participant legitim pentru a intra în întâlnire. Pentru aceasta, este necesar un strat de identitate E2E pe lângă criptarea E2E.

Cu Zero Trust Security, Webex aduce o criptografie mai puternică întâlnirilor și mărește criptarea end-to-end cu identitate verificată end-to-end pentru a ajuta la menținerea întâlnirilor în siguranță de întregul spectru de atacuri.

Înainte de a vă scufunda în detalii tehnice, este util să înțelegeți experiența utilizatorului. Pentru a crea o întâlnire criptată E2E, gazda selectează tipul de întâlnire corespunzător în timpul programării în aplicația Webex (Figura 2).

Când participanții se alătură, ei văd o pictogramă „scut cu blocare” care indică faptul că întâlnirea este criptată E2E (Figura 3). Atingerea acestei pictograme oferă detalii despre protecția întâlnirii.

În cele din urmă, în lista participanților la întâlnire, aplicația Webex indică dacă identitatea participantului a fost verificată într-un mod E2E-Secure - adică dacă altcineva decât Cisco a garantat identitatea participantului (Figura 4).

Participanții pot verifica, de asemenea, dacă toți au același cod de securitate pentru a confirma că toți au aceeași viziune asupra întâlnirii și, prin urmare, sunt protejați de atacurile de impersonare. În implementările care utilizează certificate de identitate end-to-end furnizate de client, starea listei oferă transparență cu privire la asigurarea identității.

Zero Trust Security este construit pe protocoale criptografice standard din industrie, pe care Cisco le conduce împreună cu alți lideri în securitate și confidențialitate, inclusiv Google, Cloudflare, Wickr și Wire. Cisco a condus prima generație de Voice over IP securizat (VoIP) cu tehnologii precum Secure Real-Time Protocol (SRTP), DTLS-SRTP, STIR/SHAKEN și WebRTC, iar Cisco face același lucru cu Zero Trust Security (Figura 5).

Strat	Astăzi	Securitate Zero Trust
Identitate	SSO (SAML, OpenID)	Certificat X.509
Schimb de chei	SDES/DTLS	Securitatea stratului de mesagerie (MLS)
Criptare media	SRTP	Cadre securizate (SFrame)

Există practic trei straturi ale sistemului și la fiecare strat luăm vechea tehnologie hop-by-hop și o consolidăm cu un strat suplimentar de protecție end-to-end. Cele trei straturi includ:

• Identitate — Identitatea E2E necesită ca clienții să aibă acreditări care să le dovedească identitatea. Cu Zero Trust E2E Identity, acreditările clienților sunt furnizate de un Webex Independent. Certificate Authority
• Schimb de chei — Clienții care participă la o întâlnire E2E trebuie să configureze chei pentru criptarea E2E fără ca furnizorul de conferințe să poată accesa acele chei. Protocolul Messaging Layer Security (MLS) este un standard ratificat, RFC 9420, care se bazează pe tehnologii dezvoltate în comunitatea open-source și le pune într-un cadru riguros, verificat formal.
• Protecția conținutului — În cele din urmă, conținutul media real al întâlnirii are nevoie de protecție end-to-end. SFrame (pentru „Cadre securizate”) este RFC 9605. Este un cadru de criptare rapid și simplu pentru criptarea mediilor în timp real, care permite adăugarea unui strat suplimentar de criptare cu costuri minime.

Să ne uităm la aceste tehnologii într-un pic mai detaliat, începând de jos în sus.

O schemă de criptare media este o modalitate de a prelua o cheie partajată de participanții la o întâlnire și de a o utiliza pentru a proteja conținutul real partajat în întâlnire, cum ar fi audio, video și partajarea ecranului. La nivel de protocol, schema de criptare trebuie să trimită informații suplimentare cu fiecare unitate de date criptate, cel mai important:

1. Un antet care spune receptorului cum să decripteze pachetul și
2. O etichetă de autentificare pe care receptorul o folosește pentru a verifica dacă pachetul nu a fost modificat.

De exemplu, în SRTP, unitatea de criptare este un pachet RTP; SRTP se bazează pe antetul RTP pentru configurarea sa și adaugă o etichetă de autentificare la sfârșitul pachetului.

Deoarece toate aceste informații suplimentare măresc lățimea de bandă necesară pentru o întâlnire criptată E2E, SFrame oferă cantitatea minimă de încadrare necesară. Antetul SFrame indică ce cheie ar trebui utilizată, permițând rotația cheii și oferă un număr unic de secvență care definește vectorul de inițializare. Acesta este urmat de conținutul criptat cu cheia E2E și o etichetă de autentificare. Antetul, conținutul și eticheta SFrame sunt apoi înfășurate într-un pachet SRTP, astfel încât SRTP protejează împotriva inspecției sau modificării de către atacatorii de rețea, iar SFrame protejează împotriva elementelor media ale furnizorului de conferințe (vezi exemplul din Figura 6).

Această abordare minimalistă are și alte beneficii. SFrame este independent de transportul subiacent, deci este compatibil cu tehnologiile emergente, cum ar fi RTP peste QUIC și RIPT. De asemenea, este posibil să configurați SFrame astfel încât să funcționeze pe unități cu mai multe pachete, cum ar fi cadre întregi, pentru a reduce și mai mult cheltuielile de criptare.

Configurarea unei chei secrete între un grup atunci când grupul are acces doar la un canal neîncrezător pare magică. Tehnicile pentru a face acest lucru au fost dezvoltate pentru prima dată în anii 1980, iar astăzi mai mult de 90% din navigarea web utilizează Transport Layer Security (TLS) pentru a face exact acest lucru. Securitatea stratului de mesagerie (MLS) extinde această funcționalitate la grupuri, în timp ce TLS funcționează numai punct la punct, astfel încât Webex poate utiliza MLS pentru a configura chei de conferință chiar și atunci când furnizorul de conferință nu este de încredere.

MLS oferă trei caracteristici critice de securitate:

1. Cheie partaj ată — Cheia este cunoscută numai de membrii grupului autentificați.
2. Coerență — Se asigură că toți membrii au o viziune consecventă asupra listei grupului.
3. Rotație —Actualizează automat tastele atunci când un membru se alătură sau pleacă.

Prima caracteristică ne oferă cheile pe care le folosim pentru a cripta media cu SFrame. Împreună cu a doua caracteristică, oferă punctul de plecare pentru identitatea E2E. A treia caracteristică asigură că singurele persoane care pot decripta mass-media sunt persoanele care se află în întâlnire chiar acum - nu poți decripta media înainte de a te alătura sau după ce ai plecat (sau ai fost dat afară).

Pentru a realiza toate acestea, clienții dintr-o întâlnire schimbă mesaje MLS în punctele critice ale întâlnirii pentru a menține un grup MLS care conține exact participanții la întâlnire în orice moment. Webex direcționează mesajele între clienți, dar MLS protejează aceste mesaje, astfel încât este sigur pentru Webex să le gestioneze. Figura 7 arată modul în care curg mesajele.

Cre are: Prima persoană care se alătură întâlnirii, gazdă sau nu, creează grupul MLS pentru întâlnire și devine „lider” în scopul MLS. În orice moment dat, un singur participant la întâlnire este desemnat ca lider. În cele mai multe cazuri, acest participant va fi gazda întâlnirii. Odată ce sesiunea este începută, MLS asigură că fiecare participant la întâlnire are informațiile criptografice pentru a acționa ca lider; Webex desemnează pur și simplu un lider pentru a evita confuzia.

Al ăturare: Când un nou participant dorește să se alăture întâlnirii, solicită să fie lăsat să intre trimițând un mesaj MLS Key Package către lider, care furnizează cheia publică și informațiile de autentificare. Liderul răspunde cu un mesaj de bun venit care îi spune tâmplarului despre ceilalți participanți la întâlnire. Liderul transmite, de asemenea, un mesaj Adăugare și un mesaj Commit grupului. Mesajul Adăugare anunță noul îmbinător celor care se află deja în întâlnire. Mesajul Commit determină toți participanții curenți să hasheze vechea cheie de grup pentru a obține o cheie nouă pentru grupul extins acum; mesajul de întâmpinare furnizează această cheie alăturatorului.

Plecați: Când cineva pără sește întâlnirea, sarcina liderului este să-i blocheze. Liderul face acest lucru prin difuzarea mesajelor MLS Remove and Commit către toți cei rămași în întâlnire. Mesajul Eliminare informează participanții rămași care au plecat, iar Commit criptează o nouă cheie tuturor participanților rămași, dar nu și persoanei care a plecat. Participanții rămași hashează noua cheie cu vechea cheie de grup pentru a obține o cheie pe care persoana care a plecat nu o are. Dacă participantul care a plecat este liderul, Webex numește un nou lider, iar noul lider îl elimină pe vechiul lider.

Rotirea cheilor poate însemna că este nevoie de câteva secunde suplimentare pentru a vă alătura unei întâlniri sau a elimina pe cineva, dar oferă o asigurare clară a securității: dacă cineva nu apare în lista de participanți pentru întâlnire, nu are cheile pentru a decripta conținutul.

Lista de participanți într-o întâlnire criptată E2E arată verificarea identității fiecărui utilizator. Utilizarea certificatelor de identitate emise de client oferă o identitate adevărată verificată E2E în sensul că Cisco nu o poate modifica. În aceste cazuri, lista de participanți arată domeniul căruia îi aparține participantul în text albastru. De exemplu, în întâlnirea prezentată în Figura 8, puteți vedea că Kevin are o adresă de e-mail verificată de la example.com, iar Isabella are o adresă de e-mail verificată de la company.com.

Certificatele de identitate emise de un WebexCertificate Authority, cum ar fi o identitate de dispozitiv video, oferă o protecție mai limitată. Doar un atacator care compromite Webex Certificate Authority poate impersona un utilizator. Chiar dacă acest lucru este mai bun decât să nu aveți deloc protecție a identității, astfel de participanți la întâlnire nu sunt marcați în albastru ca fiind verificată identitatea Zero Trust end-to-end. Acestea sunt afișate cu text gri pentru a indica verificarea identității de încredere Webex.

Ca un backstop pentru aceste proceduri, Webex oferă, de asemenea, un cod de securitate pentru întâlnire. Un cod de securitate este un șir scurt, care poate fi citit de om, calculat ca ieșire a procesului MLS. Codul de securitate rezumă starea criptografică a întâlnirii, inclusiv cheile grupului și certificatele prezentate de participanți. Acest cod poate fi folosit pentru a detecta un atac de impersonare, deoarece un astfel de atac ar duce la cel puțin un participant să aibă o stare criptografică diferită de toți ceilalți. Dar exclude doar impersonarea dacă toată lumea verifică că au același cod. Dacă un subset al participanților verifică că au același cod, știu că identitățile lor sunt reprezentate fidel unul față de celălalt, dar cineva care nu confirmă codul lor ar fi putut fi imitat. Figura 9 prezintă un exemplu al modului în care codul de securitate este afișat într-o întâlnire.

Acest cod oferă o apărare foarte puternică împotriva atacurilor de impersonare. Face parte din protocolul MLS, deci a avut o analiză robustă de securitate. Deoarece este strâns legat de starea întâlnirii, codul de securitate se schimbă de fiecare dată când cineva se alătură întâlnirii. Ca urmare, participanții la întâlnire trebuie să-și reverifice codurile de securitate de fiecare dată când cineva se alătură. Codul nu se rotește când cineva pleacă, deoarece plecarea nu poate introduce un impersonator.

Webex Zero Trust Security a fost lansat în 2021. În 2026, întâlnirile Webex Ultra Secure au introdus suport pentru puncte finale suplimentare în întâlnirile Webex criptate E2E, întâlniri Zero Trust E2EE cu Node Video Mesh (VMN) și capabilități de criptare și identitate end-to-end pentru întâlniri standard:

• Criptografie bazată pe standarde, verificată oficial
• Criptare Zero Trust E2E
• Zero Trust E2E identitate verificată
• Suport pentru toate dispozitivele Webex disponibile spre vânzare
• Suport pentru aplicația Webex pe desktop, mobil și web
• Suport pentru aplicația Web Webex și SDK Web (planificat pentru Q1CY27)
• Suport pentru Webex Calling telefoane (planificat pentru Q3CY26)
• Suport pentru Video Mesh Node
• Suport pentru criptarea E2E în întâlnirile programate și sălile de ședințe personale

Zero Trust are unele limitări. Întâlnirile criptate E2E nu acceptă:

• Caracteristici furnizate de serviciile cloud Cisco care necesită acces la suporturi media cu text simplu, inclusiv:
  • Înregistrare și AI Assistant servicii bazate pe cloud Webex. Aceste servicii pot fi furnizate folosind implementări hibride cu Video Mesh Node (VMN).
  • Salvarea chat-ului de întâlnire, a fișierelor, a tablelor albe și a adnotărilor.
  • Interoperabilitatea PSTN sau SIP.

În viitor, Webex va îmbunătăți întâlnirile criptate E2E în câteva dimensiuni, ghidate de principiile de a acorda cloud-ului cel mai mic privilegiu necesar și de a oferi clienților control asupra datelor lor.

Securitate E2E omniprezentă: Totul ar trebui să fie securizat E2E, nu doar întâlniri selectate. Primul pas pentru realizarea acestei viziuni a fost atins cu securitatea E2E pentru telefoanele Cisco Webex Web App și conectate la cloud. În cele din urmă, arhitectura E2E deschisă, bazată pe standarde, ar trebui să permită Webex să introducă și infrastructura Protocolului de inițiere a sesiunii (SIP).

Inovațiile discutate în această lucrare arată o cale clară către viziunea pe termen lung a criptării E2E mereu activată. Odată ce utilizatorii se pot conecta de oriunde și clienții pot opta în siguranță la funcțiile pe care le doresc într-o întâlnire, criptarea E2E poate fi utilizată pentru fiecare întâlnire Webex - de la întâlniri ad-hoc informale cu toate funcțiile activate, până la întâlniri blocate, de înaltă securitate. Criptarea E2E va asigura întotdeauna că conținutul întâlnirii este disponibil numai pentru participanții autorizați, iar clienții și utilizatorii vor decide ce set de participanți este potrivit pentru o anumită întâlnire.

Impersonare compatibilă cu inteligența artificială și rezistența deepfake

Webex abordează amenințările de impersonare compatibile cu AI printr-o abordare stratificată care completează modelul de criptare end-to-end Zero Trust. În timp ce această lucrare se concentrează pe fundamentele tehnice ale identității verificate end-to-end, inclusiv verificarea bazată pe certificate furnizate de clienți și îndeplinirea verificărilor de integritate criptografică, Webex oferă, de asemenea, controale de securitate operațională în experiența întâlnirii pentru a reduce riscul accesului neautorizat și al interacțiunilor dăunătoare.

Pentru tipurile de sesiuni de întâlnire, diferențele de securitate ale întâlnirilor programate față de sălile de ședințe personale, controalele gazdei și administratorului din Control Hub și detectarea și prevenirea AI și deepfake în experiența mai largă a întâlnirilor, consultați documentul tehnic însoțitor WSMP Meetings Security.

Webex definește viitorul întâlnirilor sigure prin criptografie bazată pe standarde și identitate verificată. Angajamentul față de un ecosistem deschis asigură că clienții păstrează controlul absolut asupra datelor lor, indiferent de scenariul întâlnirii.