Mulțumim pentru feedback.

Funcțiile de securitate protejează împotriva amenințărilor, inclusiv amenințărilor la adresa identității telefonului și a datelor. Aceste caracteristici stabilesc și mențin fluxuri de comunicare autentificate între telefon și Cisco Unified Communications Manager server și asigură că telefonul utilizează numai fișiere semnate digital.

Cisco Unified Communications ManagerVersiunea 8.5 (1) și versiunile ulterioare includ Securitate în mod implicit, care oferă următoarele caracteristici de securitate pentru telefoanele IP Cisco fără a rula clientul CTL:

• Semnarea fișierelor de configurare a telefonului

• Criptarea fișierelor de configurare a telefonului

• HTTPS cu Tomcat și alte servicii web

Implementarea securității în Cisco Unified Communications Manager sistem previne furtul de identitate al telefonului și Cisco Unified Communications Manager serverului, previne manipularea datelor și previne semnalizarea apelurilor și manipularea fluxului media.

Pentru a atenua aceste amenințări, rețeaua de telefonie IP Cisco stabilește și menține fluxuri de comunicare securizate (criptate) între un telefon și server, semnează digital fișierele înainte de a fi transferate pe un telefon și criptează fluxurile media și semnalizarea apelurilor între telefoanele IP Cisco.

Un certificat local semnificativ (LSC) se instalează pe telefoane după ce efectuați sarcinile necesare asociate funcției Certificate Authority proxy (CAPF). Puteți utiliza Cisco Unified Communications Manager Administration pentru a configura un LSC, așa cum este descris în Ghidul de Cisco Unified Communications Manager securitate. Alternativ, puteți iniția instalarea unui LSC din meniul Setări de securitate de pe telefon. Acest meniu vă permite, de asemenea, să actualizați sau să eliminați un LSC.

Telefoanele utilizează profilul de securitate al telefonului, care definește dacă dispozitivul este nesecurizat sau securizat. Pentru informații despre aplicarea profilului de securitate la telefon, consultați documentația pentru versiunea dvs. particul Cisco Unified Communications Manager ară.

Dacă configurați setările legate de securitate înCisco Unified Communications Manager Administration, fișierul de configurare a telefonului conține informații sensibile. Pentru a asigura confidențialitatea unui fișier de configurare, trebuie să îl configurați pentru criptare. Pentru informații detaliate, consultați documentația pentru versiunea dvs. particul Cisco Unified Communications Manager ară.

Telefonul respectă standardul federal de procesare a informațiilor (FIPS). Pentru a funcționa corect, modul FIPS necesită o dimensiune a cheii de 2048 biți sau mai mare. Dacă certificatul este mai mic de 2048 biți, telefonul nu se va înregistra și telefonul nu Cisco Unified Communications Manager a reușit să se înregistreze. Dimensiunea cheii cert nu este compatibilă cu afișajele FIPS de pe telefon.

Dacă telefonul are un LSC, trebuie să actualizați dimensiunea cheii LSC la 2048 biți sau mai mare înainte de a activa FIPS.

Următorul tabel oferă o prezentare generală a caracteristicilor de securitate pe care telefoanele le acceptă. Pentru mai multe informații, consultați documentația pentru versiunea dvs. particul Cisco Unified Communications Manager ară.

Pentru a vizualiza modul Securitate, apăsați Setări și navigați la Rețea și servicii > Setări de securitate.

Următorul tabel conține mesajele de alarmă și semnificația actualizării Listei de încredere. Pentru mai multe informații, consultați Cisco Unified Communications Manager documentația.

Meni ul Configurare securitate oferă informații despre diverse setări de securitate. M eniul oferă, de asemenea, acces la meniul Listă de încredere și indică dacă fișierul CTL sau ITL este instalat pe telefon.

Următorul tabel descrie opțiunile din meniul Configurare securitate.

Telefoanele IP Cisco acceptă autentificarea 802.1X.

Telefoanele IP Cisco și switch-urile Cisco Catalyst folosesc în mod tradițional Cisco Discovery Protocol (CDP) pentru a se identifica reciproc și a determina parametri precum alocarea VLAN și cerințele de alimentare în linie. CDP nu identifică stațiile de lucru atașate local. Telefoanele IP Cisco oferă un mecanism de trecere EAPOL. Acest mecanism permite unei stații de lucru atașate telefonului IP Cisco să transmită mesaje EAPOL către autentificatorul 802.1X la comutatorul LAN. Mecanismul de trecere asigură că telefonul IP nu acționează ca comutator LAN pentru a autentifica un punct final de date înainte de a accesa rețeaua.

Telefoanele IP Cisco oferă, de asemenea, un mecanism proxy EAPOL Logoff. Dacă PC-ul atașat local se deconectează de la telefonul IP, comutatorul LAN nu vede că legătura fizică eșuează, deoarece legătura dintre comutatorul LAN și telefonul IP este menținută. Pentru a evita compromiterea integrității rețelei, telefonul IP trimite un mesaj EAPOL-Logoff către comutator în numele PC-ului din aval, care declanșează comutatorul LAN pentru a șterge intrarea de autentificare pentru PC-ul din aval.

Supor tul pentru autentificarea 802.1X necesită mai multe componente:

• Cisco IP Phone: Telefonul inițiază solicitarea de acces la rețea. Telefoanele IP Cisco conțin un supplicant 802.1X. Acest supplicant permite administratorilor de rețea să controleze conectivitatea telefoanelor IP la porturile comutatorului LAN. Versiunea curentă a telefonului 802.1X supplicant utilizează opțiunile EAP-FAST și EAP-TLS pentru autentificarea în rețea.

• Server de autentificare: Serverul de autentificare și comutatorul trebuie să fie configurate cu un secret partajat care autentifică telefonul.

• Comutator: Comutatorul trebuie să accepte 802.1X, astfel încât să poată acționa ca autentificator și să transmită mesajele între telefon și serverul de autentificare. După finalizarea schimbului, comutatorul acordă sau refuză accesul telefonului la rețea.

Trebuie să efectuați următoarele acțiuni pentru a configura 802.1X.

• Configurați celelalte componente înainte de a activa autentificarea 802.1X pe telefon.

• Configurați portul PC: Standardul 802.1X nu ia în considerare VLAN-urile și, prin urmare, recomandă ca doar un singur dispozitiv să fie autentificat la un anumit port switch. Cu toate acestea, unele switch-uri acceptă autentificarea cu mai multe domenii. Configurația comutatorului determină dacă puteți conecta un PC la portul PC al telefonului.

  • Activat: Dacă utilizați un comutator care acceptă autentificarea cu mai multe domenii, puteți activa portul PC și puteți conecta un PC la acesta. În acest caz, telefoanele IP Cisco acceptă proxy EAPOL-Logoff pentru a monitoriza schimburile de autentificare dintre switch și PC-ul atașat.

    Pentru mai multe informații despre suportul IEEE 802.1X pentru switch-urile Cisco Catalyst, consultați ghidurile de configurare a comutatorului Cisco Catalyst la:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Dezactivat: Dacă comutatorul nu acceptă mai multe dispozitive compatibile 802.1X pe același port, ar trebui să dezactivați portul PC atunci când autentificarea 802.1X este activată. Dacă nu dezactivați acest port și apoi încercați să atașați un PC la acesta, comutatorul refuză accesul la rețea atât la telefon, cât și la PC.

• Configurați VLAN vocal: Deoarece standardul 802.1X nu ține cont de VLAN-urile, ar trebui să configurați această setare pe baza suportului comutatorului.
  • Activat: Dacă utilizați un comutator care acceptă autentificarea cu mai multe domenii, îl puteți continua pentru a utiliza VLAN-ul vocal.
  • Dezactivat: Dacă comutatorul nu acceptă autentificarea cu mai multe domenii, dezactivați VLAN-ul vocal și luați în considerare atribuirea portului la VLAN nativ.
• (Numai pentru telefonul Cisco Desk Series 9800)

  Cisco Desk Phone 9800 Series are un prefix diferit în PID de cel pentru celelalte telefoane Cisco. Pentru a permite telefonului să treacă autentificarea 802.1X, setați parametrul Radius·Nume utilizator pentru a include telefonul Cisco Desk Phone 9800 Series.

  De exemplu, PID al telefonului 9841 este DP-9841; puteți seta Radius·Nume utilizator pentru a începe cu DP sau Conține DP. Puteți să o setați în ambele secțiuni următoare:

  • Politică > Condi ţii > Condi ţii de bibliotecă

  • Politică > Seturi de politici > Poli tică de autorizare > Regula de autorizare 1

Când securitatea este implementată pentru un telefon, puteți identifica apelurile telefonice sigure prin pictograme de pe ecranul telefonului. De asemenea, puteți determina dacă telefonul conectat este securizat și protejat dacă se redă un ton de securitate la începutul apelului.

Într-un apel securizat, toate semnalele de apeluri și fluxurile media sunt criptate. Un apel securizat oferă un nivel ridicat de securitate, oferind integritate și confidențialitate apelului. Când un apel în curs este criptat, puteți vedea pictograma secur izată pe linie. Pentru un telefon securizat, puteți vizualiza, de asemenea, pictograma autenti ficată sau pictograma cri ptată de lângă serverul conectat din meniul telefonului (Setări > Despre acest dispozitiv).

Într-un apel securizat, se redă un ton de securitate la începutul unui apel pentru a indica faptul că celălalt telefon conectat primește și transmite audio securizat. Dacă apelul dvs. se conectează la un telefon nesecurizat, tonul de securitate nu se redă.

Când un telefon este configurat ca fiind securizat (criptat și de încredere)Cisco Unified Communications Manager, i se poate da o stare protej ată. După aceea, dacă se dorește, telefonul protejat poate fi configurat pentru a reda un ton de indicație la începutul unui apel:

• Dispozitiv protejat: Pentru a schimba starea unui telefon securizat la protejat, bifați caseta de selectare Dispozitiv protejat din fereastra Configurare telefon din Cisco Unified Communications Manager Administration (Dispozitiv > Telefon).

• Redare ton de indicație securizată: Pentru a permite telefonului protejat să redea un ton de indicație securizat sau nesecurizat, setați setarea Play Secure Indication Tone la True. În mod implicit, funcția Play Secure Indication Tone este setată la False. Setați această opțiune în Cisco Unified Communications Manager Administration (Sistem > Parametri de serviciu). Selectați serverul și apoi serviciul Unified Communications Manager. În fereastra Configurare parametru de serviciu, selectați opțiunea din zona Feature - Secure Tone. Valoarea implicită este False.

Deoarece toate dispozitivele WLAN care se află în raza de acțiune pot primi tot celălalt trafic WLAN, securizarea comunicațiilor vocale este esențială în rețelele WLAN. Pentru a se asigura că intrușii nu manipulează și nu interceptează traficul vocal, arhitectura Cisco SAFE Security acceptă telefonul. Pentru mai multe informații despre securitatea în rețele, consultați http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Soluția Cisco Wireless IP telefonie oferă securitate a rețelei wireless care previne conectarea neautorizată și comunicațiile compromise utilizând următoarele metode de autentificare pe care telefonul le acceptă:

• Autentificare deschisă: Orice dispozitiv wireless poate solicita autentificarea într-un sistem deschis. AP care primește solicitarea poate acorda autentificare oricărui solicitant sau numai solicitanților care se găsesc pe o listă de utilizatori. Comunicarea dintre dispozitivul wireless și punctul de acces (AP) ar putea fi necriptată.

• Protocol de autentificare extensibil-Autentificare flexibilă prin autentificare Secure Tuneling (EAP-FAST): Această arhitectură de securitate client-server criptează tranzacțiile EAP într-un tunel de securitate la nivel de transport (TLS) între AP și serverul RADIUS, cum ar fi Identity Services Engine (ISE).

  Tunelul TLS utilizează acreditări de acces protejate (PAC) pentru autentificarea între client (telefon) și serverul RADIUS. Serverul trimite un ID de autoritate (AID) clientului (telefon), care la rândul său selectează PAC corespunzător. Clientul (telefonul) returnează un PAC opac serverului RADIUS. Serverul decriptează PAC cu cheia primară. Ambele puncte finale conțin acum cheia PAC și este creat un tunel TLS. EAP-FAST acceptă provizionarea automată PAC, dar trebuie să o activați pe serverul RADIUS.

  În ISE, în mod implicit, PAC expiră într-o săptămână. Dacă telefonul are un PAC expirat, autentificarea cu serverul RADIUS durează mai mult în timp ce telefonul primește un nou PAC. Pentru a evita întârzierile de furnizare PAC, setați perioada de expirare PAC la 90 de zile sau mai mult pe serverul ISE sau RADIUS.

• Protocol de autentificare extensibil-Transport Layer Security (EAP-TLS) Autentificare: EAP-TLS necesită un certificat client pentru autentificare și acces la rețea. Pentru EAP-TLS fără fir, certificatul client poate fi MIC, LSC sau certificat instalat de utilizator.

• Protocol de autentificare extensibilă protejat (PEAP): schemă de autentificare reciprocă bazată pe parolă proprietară Cisco între client (telefon) și un server RADIUS. Telefonul poate utiliza PEAP pentru autentificarea cu rețeaua wireless. Sunt acceptate atât metodele de autentificare PEAP-MSCHAPV2, cât și PEAP-GTC.

• Cheie pre-partajată (PSK): Telefonul acceptă formatul ASCII. Trebuie să utilizați acest format atunci când configurați o cheie pre-partajată WPA/WPA2/SAE:

  ASCII: un șir de caractere ASCII cu 8 până la 63 de caractere în lungime (0-9, litere mici și mari A-Z și caractere speciale)

  Exemplu: GREG123567 @9ZX &W

Următoarele scheme de autentificare utilizează serverul RADIUS pentru a gestiona cheile de autentificare:

• WPA/WPA2/WPA3: Utilizează informațiile serverului RADIUS pentru a genera chei unice pentru autentificare. Deoarece aceste chei sunt generate la serverul RADIUS centralizat, WPA2/WPA3 oferă mai multă securitate decât cheile prepartajate WPA care sunt stocate pe AP și telefon.

• Roaming securizat rapid: Utilizează serverul RADIUS și informațiile despre un server de domeniu wireless (WDS) pentru a gestiona și autentifica cheile. WDS creează o memorie cache de acreditări de securitate pentru dispozitivele client compatibile FT pentru o reautentificare rapidă și sigură. Telefonul de birou Cisco 9861 și 9871 și Cisco Video Phone 8875 acceptă 802.11r (FT). Atât prin aer, cât și prin DS sunt acceptate pentru a permite roaming securizat rapid. Dar vă recomandăm cu tărie utilizarea metodei 802.11r (FT) over air.

Cu WPA/WPA2/WPA3, cheile de criptare nu sunt introduse pe telefon, ci sunt derivate automat între AP și telefon. Dar numele de utilizator și parola EAP care sunt utilizate pentru autentificare trebuie introduse pe fiecare telefon.

Pentru a vă asigura că traficul vocal este sigur, telefonul acceptă TKIP și AES pentru criptare. Când aceste mecanisme sunt utilizate pentru criptare, atât pachetele SIP de semnalizare, cât și pachetele vocale Real-Time Transport Protocol (RTP) sunt criptate între AP și telefon.

TKIP

WPA utilizează criptarea TKIP care are mai multe îmbunătățiri față de WEP. TKIP oferă cifrare cheie per pachet și vectori de inițializare mai lungi (IV) care întăresc criptarea. În plus, o verificare a integrității mesajelor (MIC) asigură că pachetele criptate nu sunt modificate. TKIP elimină predictibilitatea WEP care ajută intrușii să descifreze cheia WEP.

AES

O metodă de criptare utilizată pentru autentificarea WPA2/WPA3. Acest standard național pentru criptare utilizează un algoritm simetric care are aceeași cheie pentru criptare și decriptare. AES utilizează criptarea Cipher Blocking Chain (CBC) de dimensiuni de 128 de biți, care acceptă dimensiuni de cheie de 128 biți, 192 biți și 256 biți, ca minim. Telefonul acceptă o dimensiune cheie de 256 biți.

Schemele de autentificare și criptare sunt configurate în rețeaua LAN wireless. VLAN-urile sunt configurate în rețea și pe AP-uri și specifică diferite combinații de autentificare și criptare. Un SSID se asociază cu un VLAN și schema particulară de autentificare și criptare. Pentru ca dispozitivele client wireless să se autentifice cu succes, trebuie să configurați aceleași SSID-uri cu schemele lor de autentificare și criptare pe AP-uri și pe telefon.

Unele scheme de autentificare necesită tipuri specifice de criptare.

Schemele de autentificare și criptare din tabelul următor prezintă opțiunile de configurare a rețelei pentru telefonul care corespunde configurației AP.

ASSURED SERVICES SIP (AS-SIP) este o colecție de caracteristici și protocoale care oferă un flux de apeluri extrem de sigur pentru telefoanele IP Cisco și telefoanele terțe. Următoarele caracteristici sunt cunoscute colectiv sub numele de AS-SIP:

• Prioritatea și preempția pe mai multe niveluri (MLPP)
• Punct de cod pentru servicii diferențiate (DSCP)
• Securitatea stratului de transport (TLS) și Protocolul securizat de transport în timp real (SRTP)
• Protocolul Internet versiunea 6 (IPv6)

AS-SIP este adesea utilizat cu Multilevel Precedence and Preemption (MLPP) pentru a acorda prioritate apelurilor în timpul unei situații de urgență. Cu MLPP, atribuiți un nivel de prioritate apelurilor efectuate, de la nivelul 1 (scăzut) la nivelul 5 (ridicat). Când primiți un apel, pe telefon se afișează o pictogramă de nivel de prioritate care arată prioritatea apelului.

Pentru a configura AS-SIP, finalizați următoarele activități pe: Cisco Unified Communications Manager

• Configurarea unui utilizator de Digest — Configurați utilizatorul final să utilizeze autentificarea de tip Digest pentru solicitările SIP.
• Configurați portul securizat SIP Phone- Cisco Unified Communications Manager utilizează acest port pentru a asculta telefoanele SIP pentru înregistrările liniei SIP prin TLS.
• Reporniți serviciile — După configurarea portului securizat, reporniți serviciile Cisco CTL Provider. Cisco Unified Communications Manager Configurați profilul SIP pentru AS-SIP - Configurați un profil SIP cu setări SIP pentru punctele finale AS-SIP și pentru trunchiurile SIP. Parametrii specifici telefonului nu sunt descărcaţi pe un telefon AS-SIP terţ. Acestea sunt utilizate numai de Cisco Unified Manager. Telefoanele terțe trebuie să configureze local aceleași setări.
• Configurați profilul de securitate telefon pentru AS-SIP — Puteți utiliza profilul de securitate al telefonului pentru a atribui setări de securitate, cum ar fi TLS, SRTP și autentificarea Digest.
• Configurarea punctului final AS-SIP — Configurați un telefon Cisco IP sau un punct final terț cu suport AS-SIP.
• Asociați dispozitivul cu utilizatorul final — Asociați punctul final cu un utilizator.
• Configurați profilul de securitate SIP Trunk pentru AS-SIP — Puteți utiliza profilul de securitate SIP trunk pentru a atribui caracteristici de securitate, cum ar fi TLS sau autentificarea Digest unui trunchi SIP.
• Configurați trunchiul SIP pentru AS-SIP — Configurați un trunchi SIP cu suport AS-SIP.
• Configurarea caracteristicilor AS-SIP — Configurați caracteristici AS-SIP suplimentare, cum ar fi MLPP, TLS, V.150 și IPv6.

Pentru informații detaliate despre configurarea AS-SIP, consultați capitolul „Configurarea punctelor finale AS-SIP” din Ghidul de configurare a caracteristicilor pentru. Cisco Unified Communications Manager

Când codurile de autorizare forțată (FAC) sau codurile de materie client (CMC) sau ambele sunt configurate pe telefon, utilizatorii trebuie să introducă parolele necesare pentru a apela un număr.

Pentru mai multe informații despre configur area FAC și CMC înCisco Unified Communications Manager, consultați capitolul „Coduri de materie client și coduri de autorizare forțată” din Ghidul de configurare a caracteristicilor pentru Cisco Unified Communications Manager versiunea 12.5 (1) sau o versiune ulterioară.

Funcția Cisco VPN vă ajută să păstrați securitatea rețelei, oferind în același timp utilizatorilor o metodă sigură și fiabilă de conectare la rețeaua corporativă. Utilizați această caracteristică atunci când:

• Un telefon este localizat în afara unei rețele de încredere
• Traficul de rețea între telefon și Cisco Unified Communications Manager traversează o rețea nefiabilă

Cu un VPN, există trei abordări comune pentru autentificarea clientului:

• Certificate digitale
• Parole
• Nume utilizator și parolă

Fiecare metodă are avantajele sale. Dar dacă politica dvs. de securitate corporativă o permite, vă recomandăm o abordare bazată pe certificate, deoarece certificatele permit o conectare perfectă fără intervenția utilizatorului. Atât certificatele LSC, cât și MIC sunt acceptate.

Pentru a configura oricare dintre caracteristicile VPN, furnizați mai întâi dispozitivul local și apoi puteți implementa dispozitivul în afara sediului.

Pentru mai multe informații despre autentificarea prin certificare și lucrul cu rețeaua VPN, consultați Configurarea AnyConnect VPN telefonului cu autentificare de certificat pe un ASA.

Cu o parolă sau un nume de utilizator și o parolă, un utilizator este solicitat să furnizeze acreditări de conectare. Setați acreditările de conectare a utilizatorului în conformitate cu politica de securitate a companiei. De asemenea, puteți configura setarea Activare persistență parolă astfel încât parola de utilizator să fie salvată pe telefon. Parola utilizatorului este salvată până când apare o încercare de conectare eșuată, un utilizator șterge manual parola sau telefonul resetează sau pierde alimentarea.

Un alt instrument util este setarea Activare detectare automată a rețelei. Când activați această casetă de selectare, clientul VPN poate rula numai atunci când detectează că se află în afara rețelei corporative. Această setare este dezactivată în mod implicit.

Telefonul dvs. Cisco acceptă Cisco SVC IPPhone Client v1.0 ca tip de client.

Pentru mai multe informații despre modul de configurare a VPN-uluiUnified CM, consultați Ghi dul de configurare a caracteristicilor pentru Cisco Unified Communications Manager.

Caracteristica Cisco VPN utilizează Secure Sockets Layer (SSL) pentru a păstra securitatea rețelei.