Mulțumim pentru feedback.

Funcțiile de securitate protejează împotriva amenințărilor, inclusiv amenințările la adresa identității telefonului și a datelor. Aceste funcții stabilesc și mențin fluxuri de comunicare autentificate între telefon și serverul Cisco Unified Communications Manager și asigură că telefonul utilizează doar fișiere semnate digital.

Cisco Unified Communications Manager versiunea 8.5(1) și versiunile ulterioare includ implicit Securitatea, care oferă următoarele funcții de securitate pentru telefoanele IP Cisco fără a rula clientul CTL:

• Semnarea fișierelor de configurare a telefonului

• Criptarea fișierului de configurare a telefonului

• HTTPS cu Tomcat și alte servicii web

Implementarea securității în sistemul Cisco Unified Communications Manager previne furtul de identitate al telefonului și al serverului Cisco Unified Communications Manager, previne manipularea datelor și previne manipularea semnalizării apelurilor și a fluxurilor media.

Pentru a atenua aceste amenințări, rețeaua de telefonie IP Cisco stabilește și menține fluxuri de comunicații securizate (criptate) între un telefon și server, semnează digital fișierele înainte de a fi transferate pe un telefon și criptează fluxurile media și semnalizarea apelurilor între telefoanele IP Cisco.

Un certificat local semnificativ (LSC) se instalează pe telefoane după ce efectuați sarcinile necesare asociate cu funcția proxy a autorității de certificare (CAPF). Puteți utiliza Cisco Unified Communications Manager Administration pentru a configura un LSC, așa cum este descris în Ghidul de securitate Cisco Unified Communications Manager. Alternativ, puteți iniția instalarea unui LSC din meniul Setări de securitate de pe telefon. Acest meniu vă permite, de asemenea, să actualizați sau să eliminați un LSC.

Telefoanele utilizează profilul de securitate al telefonului, care definește dacă dispozitivul este securizat sau nesigur. Pentru informații despre aplicarea profilului de securitate la telefon, consultați documentația pentru versiunea dvs. de Cisco Unified Communications Manager.

Dacă configurați setări legate de securitate în Cisco Unified Communications Manager Administration, fișierul de configurare al telefonului conține informații sensibile. Pentru a asigura confidențialitatea unui fișier de configurare, trebuie să îl configurați pentru criptare. Pentru informații detaliate, consultați documentația pentru versiunea dvs. de Cisco Unified Communications Manager.

Telefonul respectă Standardul Federal de Procesare a Informațiilor (FIPS). Pentru a funcționa corect, modul FIPS necesită o dimensiune a cheii de 2048 biți sau mai mare. Dacă certificatul are mai puțin de 2048 de biți, telefonul nu se va înregistra la Cisco Unified Communications Manager și pe telefon va apărea Phone failed to register. Cert key size is not FIPS compliant.

Dacă telefonul are un LSC, trebuie să actualizați dimensiunea cheii LSC la 2048 biți sau mai mare înainte de a activa FIPS.

Următorul tabel oferă o prezentare generală a funcțiilor de securitate acceptate de telefoane. Pentru mai multe informații, consultați documentația pentru versiunea dvs. de Cisco Unified Communications Manager.

Pentru a vizualiza modul Securitate, apăsați Setări și navigați la Rețea și servicii > Setări de securitate.

Următorul tabel conține mesajele de alarmă de actualizare a Listei de încredere și semnificația acestora. Pentru mai multe informații, consultați documentația Cisco Unified Communications Manager.

Meniul Configurare securitate oferă informații despre diverse setări de securitate. Meniul oferă, de asemenea, acces la meniul Listă de încredere și indică dacă fișierul CTL sau ITL este instalat pe telefon.

Următorul tabel descrie opțiunile din meniul Configurare securitate.

Telefoanele IP Cisco acceptă autentificarea 802.1X.

Telefoanele IP Cisco și switch-urile Cisco Catalyst utilizează în mod tradițional Cisco Discovery Protocol (CDP) pentru a se identifica reciproc și a determina parametri precum alocarea VLAN și cerințele de alimentare în linie. CDP nu identifică stațiile de lucru atașate local. Telefoanele IP Cisco oferă un mecanism de pass-through EAPOL. Acest mecanism permite unei stații de lucru conectate la telefonul IP Cisco să transmită mesaje EAPOL către autentificatorul 802.1X de la switch-ul LAN. Mecanismul de pass-through asigură că telefonul IP nu acționează ca un switch LAN pentru a autentifica un punct final de date înainte de a accesa rețeaua.

Telefoanele IP Cisco oferă și un mecanism proxy EAPOL Logoff. Dacă PC-ul conectat local se deconectează de la telefonul IP, switch-ul LAN nu vede căderea legăturii fizice, deoarece legătura dintre switch-ul LAN și telefonul IP este menținută. Pentru a evita compromiterea integrității rețelei, telefonul IP trimite un mesaj EAPOL-Logoff către switch în numele PC-ului downstream, ceea ce declanșează switch-ul LAN pentru a șterge intrarea de autentificare pentru PC-ul downstream.

Suportul pentru autentificarea 802.1X necesită mai multe componente:

• Telefon IP Cisco: Telefonul inițiază cererea de accesare a rețelei. Telefoanele IP Cisco conțin un supplicant 802.1X. Acest supplicant permite administratorilor de rețea să controleze conectivitatea telefoanelor IP la porturile switch-ului LAN. Versiunea curentă a solicitantului telefonic 802.1X utilizează opțiunile EAP-FAST și EAP-TLS pentru autentificarea în rețea.

• Server de autentificare: Serverul de autentificare și switch-ul trebuie să fie configurate ambele cu un secret partajat care autentifică telefonul.

• Comutator: Comutatorul trebuie să fie compatibil cu 802.1X, astfel încât să poată acționa ca autentificator și să transmită mesajele între telefon și serverul de autentificare. După finalizarea schimbului, switch-ul acordă sau refuză telefonului accesul la rețea.

Trebuie să efectuați următoarele acțiuni pentru a configura 802.1X.

• Configurați celelalte componente înainte de a activa autentificarea 802.1X pe telefon.

• Configurați portul PC: Standardul 802.1X nu ia în considerare VLAN-urile și, prin urmare, recomandă ca un singur dispozitiv să fie autentificat la un anumit port de switch. Totuși, unele switch-uri acceptă autentificarea multidomeniu. Configurația switch-ului determină dacă puteți conecta un PC la portul PC al telefonului.

  • Activat: Dacă utilizați un switch care acceptă autentificarea multidomeniu, puteți activa portul PC și conecta un PC la acesta. În acest caz, telefoanele IP Cisco acceptă proxy EAPOL-Logoff pentru a monitoriza schimburile de autentificare dintre switch și PC-ul conectat.

    Pentru mai multe informații despre compatibilitatea cu IEEE 802.1X pe switch-urile Cisco Catalyst, consultați ghidurile de configurare a switch-urilor Cisco Catalyst la adresa:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Dezactivat: Dacă switch-ul nu acceptă mai multe dispozitive compatibile 802.1X pe același port, ar trebui să dezactivați portul PC atunci când este activată autentificarea 802.1X. Dacă nu dezactivați acest port și apoi încercați să conectați un PC la acesta, switch-ul refuză accesul la rețea atât pentru telefon, cât și pentru PC.

• Configurați VLAN-ul vocal: Deoarece standardul 802.1X nu ia în considerare VLAN-urile, ar trebui să configurați această setare în funcție de compatibilitatea switch-ului.
  • Activat: Dacă utilizați un switch care acceptă autentificarea multidomeniu, îl puteți continua să utilizeze VLAN-ul vocal.
  • Dezactivat: Dacă switch-ul nu acceptă autentificarea multidomeniu, dezactivați VLAN-ul vocal și luați în considerare atribuirea portului VLAN-ului nativ.
• (Numai pentru telefonul de birou Cisco din seria 9800)

  Telefonul Cisco Desk Phone seria 9800 are un prefix diferit în PID față de cel al celorlalte telefoane Cisco. Pentru a permite telefonului să treacă de autentificarea 802.1X, setați parametrul Radius·Nume-utilizator pentru a include telefonul Cisco Desk Phone seria 9800.

  De exemplu, PID-ul telefonului 9841 este DP-9841; puteți seta Radius·Nume-utilizator la Start with DP sau Contains DP. Îl puteți seta în ambele secțiuni următoare:

  • Politică > Condiții > Condiții bibliotecii

  • Politică > Seturi de politici > Politica de autorizare > Regula de autorizare 1

Când este implementată securitatea pentru un telefon, puteți identifica apelurile telefonice securizate prin pictogramele de pe ecranul telefonului. De asemenea, puteți determina dacă telefonul conectat este securizat și protejat dacă se aude un ton de securitate la începutul apelului.

Într-un apel securizat, toate semnalizările apelurilor și fluxurile media sunt criptate. Un apel securizat oferă un nivel ridicat de securitate, asigurând integritate și confidențialitate apelului. Când un apel în desfășurare este criptat, puteți vedea pictograma de securitate pe linie. Pentru un telefon securizat, puteți vizualiza și pictograma autentificat sau pictograma criptat de lângă serverul conectat în meniul telefonului (Setări > Despre acest dispozitiv).

Într-un apel securizat, la începutul apelului se aude un ton de securitate pentru a indica faptul că și celălalt telefon conectat primește și transmite sunet securizat. Dacă apelul se conectează la un telefon nesecurizat, tonul de securitate nu se va reda.

Când un telefon este configurat ca securizat (criptat și de încredere) în Cisco Unified Communications Manager, i se poate atribui starea protejat. După aceea, dacă se dorește, telefonul protejat poate fi configurat să redea un ton de indicație la începutul unui apel:

• Dispozitiv protejat: Pentru a schimba starea unui telefon securizat la protejat, bifați caseta de selectare Dispozitiv protejat din fereastra Configurare telefon din Administrarea Cisco Unified Communications Manager (Dispozitiv > Telefon).

• Redați tonul de indicare a securității: Pentru a permite telefonului protejat să redea un ton de indicare securizat sau nesecurizat, setați setarea Redare ton de indicare securizat la Adevărat. În mod implicit, opțiunea Redare ton de indicare securizată este setată pe Fals. Această opțiune se setează în Administrarea Cisco Unified Communications Manager (Sistem > Parametri serviciu). Selectați serverul și apoi serviciul Unified Communications Manager. În fereastra Configurare parametri serviciu, selectați opțiunea din zona Funcție - Ton securizat. Valoarea implicită este Fals.

Deoarece toate dispozitivele WLAN aflate în raza de acțiune pot recepționa tot restul traficului WLAN, securizarea comunicațiilor vocale este esențială în rețelele WLAN. Pentru a se asigura că intrușii nu manipulează și nu interceptează traficul vocal, arhitectura de securitate Cisco SAFE este compatibilă cu telefonul. Pentru mai multe informații despre securitatea în rețele, consultați http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Soluția de telefonie IP wireless Cisco oferă securitate a rețelei wireless care previne conectările neautorizate și comunicațiile compromise, utilizând următoarele metode de autentificare acceptate de telefon:

• Autentificare deschisă: Orice dispozitiv wireless poate solicita autentificare într-un sistem deschis. Punctul de acces (AP) care primește cererea poate acorda autentificarea oricărui solicitant sau doar solicitanților care se găsesc pe o listă de utilizatori. Comunicarea dintre dispozitivul wireless și punctul de acces (AP) ar putea fi necriptată.

• Protocol de autentificare extensibil - autentificare flexibilă prin tunelare securizată (EAP-FAST): Această arhitectură de securitate client-server criptează tranzacțiile EAP într-un tunel TLS (Transport Level Security) între punctul de acces și serverul RADIUS, cum ar fi Identity Services Engine (ISE).

  Tunelul TLS utilizează acreditări de acces protejat (PAC) pentru autentificarea dintre client (telefon) și serverul RADIUS. Serverul trimite un ID de autoritate (AID) clientului (telefonului), care la rândul său selectează PAC-ul corespunzător. Clientul (telefonul) returnează un mesaj PAC-Opaque serverului RADIUS. Serverul decriptează PAC-ul cu cheia primară. Ambele puncte finale conțin acum cheia PAC și este creat un tunel TLS. EAP-FAST acceptă furnizarea automată a PAC, dar trebuie să o activați pe serverul RADIUS.

  În ISE, în mod implicit, PAC-ul expiră peste o săptămână. Dacă telefonul are un PAC expirat, autentificarea cu serverul RADIUS durează mai mult timp cât telefonul primește un nou PAC. Pentru a evita întârzierile legate de furnizarea PAC-ului, setați perioada de expirare a PAC-ului la 90 de zile sau mai mult pe serverul ISE sau RADIUS.

• Autentificare prin Protocolul de autentificare extensibil - Securitatea nivelului de transport (EAP-TLS): EAP-TLS necesită un certificat client pentru autentificare și acces la rețea. Pentru EAP-TLS wireless, certificatul client poate fi MIC, LSC sau un certificat instalat de utilizator.

• Protocol de autentificare extensibilă protejată (PEAP): Schemă de autentificare reciprocă bazată pe parolă, proprietară Cisco, între client (telefon) și un server RADIUS. Telefonul poate utiliza PEAP pentru autentificarea cu rețeaua wireless. Sunt acceptate atât metodele de autentificare PEAP-MSCHAPV2, cât și PEAP-GTC.

• Cheie pre-partajată (PSK): Telefonul acceptă formatul ASCII. Trebuie să utilizați acest format atunci când configurați o WPA/WPA2/SAE Cheie pre-partajată:

  ASCII: un șir de caractere ASCII cu o lungime de 8 până la 63 de caractere (0-9, litere mici și majuscule de la A la Z și caractere speciale)

  Exemplu: GREG123567@9ZX & V

Următoarele scheme de autentificare utilizează serverul RADIUS pentru a gestiona cheile de autentificare:

• WPA/WPA2/WPA3: Folosește informațiile serverului RADIUS pentru a genera chei unice pentru autentificare. Deoarece aceste chei sunt generate la serverul RADIUS centralizat, WPA2/WPA3 oferă mai multă securitate decât cheile WPA prepartajate care sunt stocate pe punctul de acces și pe telefon.

• Roaming rapid și sigur: Folosește informațiile unui server RADIUS și ale unui server de domeniu wireless (WDS) pentru a gestiona și autentifica cheile. WDS creează o memorie cache cu acreditări de securitate pentru dispozitivele client compatibile cu FT, pentru o reautentificare rapidă și sigură. Telefoanele de birou Cisco 9861 și 9871 și videotelefonul Cisco 8875 acceptă 802.11r (FT). Atât conexiunea wireless, cât și cea prin DS sunt acceptate pentru a permite roaming rapid și sigur. Însă vă recomandăm insistent să utilizați metoda 802.11r (FT) prin eter.

Cu WPA/WPA2/WPA3, Cheile de criptare nu sunt introduse în telefon, ci sunt derivate automat între punct de acces și telefon. Însă numele de utilizator și parola EAP utilizate pentru autentificare trebuie introduse pe fiecare telefon.

Pentru a asigura securitatea traficului vocal, telefonul acceptă criptarea TKIP și AES. Când aceste mecanisme sunt utilizate pentru criptare, atât pachetele SIP de semnalizare, cât și pachetele vocale Real-Time Transport Protocol (RTP) sunt criptate între AP și telefon.

TKIP

WPA utilizează criptarea TKIP, care are mai multe îmbunătățiri față de WEP. TKIP oferă cifruri cu cheie per pachet și vectori de inițializare (IV) mai lungi care consolidează criptarea. În plus, o verificare a integrității mesajului (MIC) asigură că pachetele criptate nu sunt modificate. TKIP elimină predictibilitatea WEP care ajută intrușii să descifreze cheia WEP.

AES

O metodă de criptare utilizată pentru WPA2/WPA3 autentificare. Acest standard național de criptare utilizează un algoritm simetric care are aceeași cheie atât pentru criptare, cât și pentru decriptare. AES utilizează criptare Cipher Blocking Chain (CBC) cu o dimensiune de 128 de biți, care acceptă chei cu dimensiuni minime de 128 de biți, 192 de biți și 256 de biți. Telefonul acceptă o dimensiune a cheii de 256 de biți.

Schemele de autentificare și criptare sunt configurate în cadrul rețelei locale fără fir. Rețelele VLAN sunt configurate în rețea și pe punctele de acces și specifică diferite combinații de autentificare și criptare. Un SSID se asociază cu un VLAN și cu schema specifică de autentificare și criptare. Pentru ca dispozitivele client wireless să se autentifice cu succes, trebuie să configurați aceleași SSID-uri cu schemele lor de autentificare și criptare pe punctele de acces și pe telefon.

Unele scheme de autentificare necesită anumite tipuri de criptare.

Schemele de autentificare și criptare din tabelul următor prezintă opțiunile de configurare a rețelei pentru telefonul care corespunde configurației punctului de acces.

Assured Services SIP (AS-SIP) este o colecție de funcții și protocoale care oferă un flux de apeluri extrem de securizat pentru telefoanele IP Cisco și telefoanele terțe. Următoarele caracteristici sunt cunoscute colectiv sub denumirea de AS-SIP:

• Precedență și Preempțiune pe mai multe niveluri (MLPP)
• Punct de cod pentru servicii diferențiate (DSCP)
• Securitatea nivelului de transport (TLS) și Protocolul de transport securizat în timp real (SRTP)
• Protocolul de internet versiunea 6 (IPv6)

AS-SIP este adesea utilizat împreună cu Multilevel Priority and Preemption (MLPP) pentru a prioritiza apelurile în timpul unei situații de urgență. Cu MLPP, atribuiți un nivel de prioritate apelurilor de ieșire, de la nivelul 1 (scăzut) la nivelul 5 (ridicat). Când primiți un apel, pe telefon se afișează o pictogramă de nivel de prioritate care indică prioritatea apelului.

Pentru a configura AS-SIP, finalizați următoarele activități în Cisco Unified Communications Manager:

• Configurați un utilizator Digest — Configurați utilizatorul final să utilizeze autentificarea digest pentru solicitările SIP.
• Configurați portul securizat pentru telefonul SIP — Cisco Unified Communications Manager utilizează acest port pentru a asculta telefoanele SIP pentru înregistrări de linii SIP prin TLS.
• Reporniți serviciile — După configurarea portului securizat, reporniți serviciile Cisco Unified Communications Manager și Cisco CTL Provider. Configurați profilul SIP pentru AS-SIP - Configurați un profil SIP cu setări SIP pentru punctele finale AS-SIP și pentru trunchiurile SIP. Parametrii specifici telefonului nu sunt descărcați pe un telefon AS-SIP terț. Acestea sunt utilizate doar de Cisco Unified Manager. Telefoanele terțe trebuie să configureze local aceleași setări.
• Configurați profilul de securitate al telefonului pentru AS-SIP — Puteți utiliza profilul de securitate al telefonului pentru a atribui setări de securitate, cum ar fi TLS, SRTP și autentificarea digest.
• Configurați punctul final AS-SIP — Configurați un telefon IP Cisco sau un punct final terț cu suport AS-SIP.
• Asociați dispozitivul cu utilizatorul final – Asociați punctul final cu un utilizator.
• Configurați profilul de securitate al trunchiului SIP pentru AS-SIP - Puteți utiliza profilul de securitate al trunchiului SIP pentru a atribui funcții de securitate precum TLS sau autentificarea digest unui trunchi SIP.
• Configurați trunchiul SIP pentru AS-SIP — Configurați un trunchi SIP cu suport AS-SIP.
• Configurați funcțiile AS-SIP — Configurați funcții AS-SIP suplimentare, cum ar fi MLPP, TLS, V.150 și IPv6.

Pentru informații detaliate despre configurarea AS-SIP, consultați capitolul „Configurarea terminalelor AS-SIP” din Ghidul de configurare a funcțiilor pentru Cisco Unified Communications Manager.

Când codurile de autorizare forțată (FAC) sau codurile de problemă client (CMC) sau ambele sunt configurate pe telefon, utilizatorii trebuie să introducă parolele necesare pentru a apela un număr.

Pentru mai multe informații despre cum se configurează FAC și CMC în Cisco Unified Communications Manager, consultați capitolul „Coduri de problemă client și coduri de autorizare forțată” din Ghidul de configurare a funcțiilor pentru Cisco Unified Communications Manager, versiunea 12.5(1) sau o versiune ulterioară.

Funcția Cisco VPN vă ajută să mențineți securitatea rețelei, oferind în același timp utilizatorilor o metodă sigură și fiabilă de a se conecta la rețeaua companiei. Folosește această funcție când:

• Un telefon se află în afara unei rețele de încredere
• Traficul de rețea dintre telefon și Cisco Unified Communications Manager traversează o rețea neîncrezătoare

Cu o rețea VPN, există trei abordări comune pentru autentificarea clienților:

• Certificate digitale
• Parole
• Nume de utilizator și parolă

Fiecare metodă are avantajele sale. Dar dacă politica de securitate a companiei dumneavoastră o permite, vă recomandăm o abordare bazată pe certificate, deoarece certificatele permit o conectare fără probleme, fără intervenția utilizatorului. Sunt acceptate atât certificatele LSC, cât și cele MIC.

Pentru a configura oricare dintre funcțiile VPN, mai întâi configurați dispozitivul local, apoi puteți implementa dispozitivul în afara sediului.

Pentru mai multe informații despre autentificarea prin certificare și lucrul cu o rețea VPN, consultați Configurarea telefonului VPN AnyConnect cu autentificare prin certificat pe un ASA.

Cu o parolă sau o abordare cu nume de utilizator și parolă, unui utilizator i se solicită acreditările de conectare. Setați acreditările de conectare ale utilizatorului în conformitate cu politica de securitate a companiei. De asemenea, puteți configura setarea Activare persistență parolă astfel încât parola utilizatorului să fie salvată pe telefon. Parola utilizatorului este salvată până când are loc o încercare de conectare eșuată, un utilizator șterge manual parola sau telefonul se resetează ori se întrerupe alimentarea.

Un alt instrument util este setarea Activare detectare automată rețea. Când bifați această casetă de selectare, clientul VPN poate rula doar atunci când detectează că se află în afara rețelei corporative. Această setare este dezactivată în mod implicit.

Telefonul dumneavoastră Cisco acceptă Cisco SVC IPPhone Client v1.0 ca tip de client.

Pentru mai multe informații despre cum se configurează VPN pe Unified CM, consultați Ghidul de configurare a funcțiilor pentru Cisco Unified Communications Manager.

Funcția Cisco VPN utilizează Secure Sockets Layer (SSL) pentru a menține securitatea rețelei.