- Главная
- /
- Статья
Благодарим вас за обратную связь.
В этой статье
Отправить обратную связь?Компания Cisco утратила доверие к некоторым корневым центрам сертификации, используемым для проверки защищенных SIP-подключений, после инцидента, произошедшего в центре сертификации eMudhra в октябре 2026 года. Принудительное исполнение затронутых интеграций SIP Webex Meetings запланировано начать 2 ноября 2026 года. Развертывание может осуществляться поэтапно. Планируйте внести изменения до 2 ноября. Клиенты, чьи цепочки сертификатов зависят от органов, которым не доверяют, должны заменить соответствующий сертификат или цепочку сертификатов. В противном случае уязвимое защищенное SIP-соединение не сможет аутентифицироваться по протоколу TLS, если для этого соединения будет применена обновленная политика доверия.
Что может быть затронуто
Интеграции
-
Webex MeetingsEdge Audio: Доступен и исходящий телефонный звонок через уязвимые корпоративные SIP-соединения перестанут работать, как только эти соединения начнут действовать принудительно.
-
Конференц-залы для совместной работы (CMR): видеоустройства на базе SIP, подключенные через уязвимые безопасные SIP-соединения, не смогут работать, как только эти соединения будут применены принудительным образом.
-
Управляемая заказчиком инфраструктура может включать Cisco CUBE, Expressway-E и другие пограничные контроллеры сеансов (SBC). Изучите как основные, так и резервные системы.
Эти изменения направлены на интеграцию SIP с использованием затронутых цепочек сертификатов; другие способы доступа к совещаниям не зависят от того же пути к сертификатам SIP, управляемого клиентом.
Центры сертификации
Проверьте цепочки сертификатов, зависящие от любого из следующих органов:
-
Корневой протокол TLS EMSign CA-G3
-
Корневой центр переменного тока EMSign ECC — 3G
-
Корневой маршрутизатор EMsign CS — 3G
-
Службы сертификации AAA (корень служб Comodo AAA)
Службы сертификации AAA не были взломаны, но перекрестная подпись затронула промежуточных продуктов eMudhra и включена в этот ответ на меры безопасности. В некоторых сертификатах, выпущенных Sectigo, может использоваться метод перекрестной сертификации AAA, даже если сами сертификаты клиентов Sectigo не были взломаны.
EmSign Root CA — G1 не включен в это изменение недоверия. Не заменяйте и не удаляйте сертификаты только потому, что в них используется G1.
Проверьте и замените поврежденные сертификаты или цепочки
| 1 |
Определите, какие устройства CUBE, Expressway-E или SBC использовались для интеграции соответствующих конференций на базе Edge Audio или SIP. Запишите фактическое имя хоста и настроенный порт SIP TLS. Затем проверьте идентификационный сертификат TLS, установленный в этой системе, и все сопутствующие промежуточные сертификаты CA. На Expressway-E установленный сертификат сервера можно посмотреть в разделе Сертификат сервера. Для CUBE и других SBC используйте соответствующую процедуру проверки сертификатов поставщиков. Повторите то же самое для резервных и резервных систем. |
| 2 |
На компьютере с установленным OpenSSL и сетевым доступом к прослушивателю SIP TLS запустите соответствующий пример:
Замените примерное имя хоста и порт фактической конечной точкой SIP TLS; порт может отличаться в зависимости от развертывания. Если входящий доступ по протоколу TLS ограничен, запустите проверку в авторизованной системе управления. На Expressway-E для порта SIP TLS, используемого в Webex, может потребоваться сертификат клиента. В этом случае команда может закончиться ошибкой, но цепочка сертификатов по-прежнему отображается. Просмотрите записи в цепочке сертификатов, включая тему (ы) и эмитента (i). Найдите любое из четырех затронутых имен CA, включая сертификат центра сертификации UserTrust RSA, выданный службой сертификации AAA. Пример затронутой перекрестно подписанной записи в цепочке:
|
| 3 |
Интерпретируйте результаты:
|
| 4 |
Обратитесь к поставщику сертификатов или реселлеру за заменой сертификата или альтернативной цепочкой сертификатов, имеющей корневой каталог, не указанный выше. Попросите поставщика подтвердить, что цепочка замены подходит для интеграции Webex SIP.
Еще раз проверьте установленную цепочку, чтобы убедиться, что она больше не зависит от доверенных органов.
|
| 5 |
Проверьте подключение к совещанию:
Если проблемы с сертификатом или подключением к SIP сохраняются, обратитесь к партнеру Cisco или Cisco Technical Assistance Center (TAC). Укажите идентификатор организации Webex, соответствующий сервис, уязвимую систему и имя хоста SIP, сведения о цепочке сертификатов и любые сообщения об ошибках TLS или SIP. Не передавайте личные ключи. |
Сопутствующая информация
Дополнительные сведения см. в следующих разделах:
