Благодарим вас за обратную связь.

Функции безопасности защищают от угроз, в том числе от угроз идентификации телефона и данным. Эти функции устанавливают и поддерживают аутентифицированные потоки связи между телефоном и сервером Cisco Unified Communications Manager, а также гарантируют, что телефон использует только файлы с цифровой подписью.

Cisco Unified Communications Manager версии 8.5(1) и более поздних версий включает в себя функцию безопасности по умолчанию, которая предоставляет следующие функции безопасности для IP-телефонов Cisco без запуска клиента CTL:

• Подписание файлов конфигурации телефона

• Шифрование файла конфигурации телефона

• HTTPS с Tomcat и другими веб-сервисами

Внедрение мер безопасности в систему Cisco Unified Communications Manager предотвращает кражу личных данных с телефона и сервера Cisco Unified Communications Manager, предотвращает несанкционированное изменение данных, а также предотвращает искажение сигналов вызовов и медиапотоков.

Для смягчения этих угроз сеть IP-телефонии Cisco устанавливает и поддерживает защищенные (зашифрованные) потоки связи между телефоном и сервером, подписывает файлы цифровой подписью перед их передачей на телефон, а также шифрует потоки мультимедиа и сигналы вызовов между IP-телефонами Cisco.

Локально значимый сертификат (LSC) устанавливается на телефоны после выполнения необходимых задач, связанных с функцией прокси-сервера центра сертификации (CAPF). Для настройки LSC можно использовать Cisco Unified Communications Manager Administration, как описано в руководстве по безопасности Cisco Unified Communications Manager. В качестве альтернативы, вы можете инициировать установку LSC из меню настроек безопасности на телефоне. В этом меню также можно обновить или удалить LSC.

В телефонах используется профиль безопасности, который определяет, является ли устройство незащищенным или защищенным. Для получения информации о применении профиля безопасности к телефону см. документацию для вашей конкретной версии Cisco Unified Communications Manager.

Если вы настраиваете параметры безопасности в разделе администрирования Cisco Unified Communications Manager, файл конфигурации телефона содержит конфиденциальную информацию. Для обеспечения конфиденциальности конфигурационного файла необходимо настроить его на шифрование. Для получения подробной информации см. документацию к конкретной версии Cisco Unified Communications Manager.

Телефон соответствует Федеральному стандарту обработки информации (FIPS). Для корректной работы режима FIPS требуется размер ключа 2048 бит или более. Если размер сертификата меньше 2048 бит, телефон не зарегистрируется в Cisco Unified Communications Manager, и на экране телефона отобразится Phone failed to register. Cert key size is not FIPS compliant.

Если телефон оснащен модулем LSC, перед включением FIPS необходимо обновить размер ключа LSC до 2048 бит или больше.

В таблице ниже представлен обзор функций безопасности, поддерживаемых этими телефонами. Для получения более подробной информации см. документацию по вашей конкретной версии Cisco Unified Communications Manager.

Чтобы просмотреть режим безопасности, нажмите Настройки и перейдите в Сеть и службы > Настройки безопасности.

В таблице ниже приведены сообщения об ошибках, связанных с обновлением списка доверенных лиц, и их значения. Для получения более подробной информации см. документацию Cisco Unified Communications Manager.

Меню «Настройка безопасности» предоставляет информацию о различных параметрах безопасности. Меню также предоставляет доступ к меню «Список доверенных файлов» и показывает, установлен ли на телефоне файл CTL или ITL.

В таблице ниже описаны параметры меню «Настройка безопасности».

IP-телефоны Cisco поддерживают аутентификацию 802.1X.

Традиционно IP-телефоны Cisco и коммутаторы Cisco Catalyst используют протокол Cisco Discovery Protocol (CDP) для идентификации друг друга и определения таких параметров, как распределение VLAN и требования к питанию по линии. CDP не идентифицирует локально подключенные рабочие станции. IP-телефоны Cisco обеспечивают механизм сквозной передачи данных по стандарту EAPOL. Этот механизм позволяет рабочей станции, подключенной к IP-телефону Cisco, передавать сообщения EAPOL аутентификатору 802.1X на коммутаторе локальной сети. Механизм сквозной передачи данных гарантирует, что IP-телефон не будет выступать в роли коммутатора локальной сети для аутентификации конечной точки передачи данных перед доступом к сети.

IP-телефоны Cisco также предоставляют механизм выхода из системы EAPOL через прокси-сервер. Если локально подключенный ПК отключается от IP-телефона, коммутатор локальной сети не фиксирует обрыв физического соединения, поскольку связь между коммутатором локальной сети и IP-телефоном сохраняется. Чтобы избежать нарушения целостности сети, IP-телефон отправляет коммутатору сообщение EAPOL-Logoff от имени подключенного компьютера, что приводит к тому, что коммутатор локальной сети удаляет запись аутентификации для подключенного компьютера.

Для поддержки аутентификации 802.1X требуется несколько компонентов:

• IP-телефон Cisco: Телефон инициирует запрос на доступ к сети. IP-телефоны Cisco содержат модуль 802.1X для обработки запросов. Этот клиент позволяет сетевым администраторам контролировать подключение IP-телефонов к портам коммутатора локальной сети. В текущей версии приложения для подключения телефона по протоколу 802.1X используются опции EAP-FAST и EAP-TLS для сетевой аутентификации.

• Сервер аутентификации: И сервер аутентификации, и коммутатор должны быть настроены с использованием общего секретного ключа для аутентификации телефона.

• Выключатель: Коммутатор должен поддерживать стандарт 802.1X, чтобы он мог выступать в качестве аутентификатора и передавать сообщения между телефоном и сервером аутентификации. После завершения обмена данными коммутатор предоставляет или запрещает телефону доступ к сети.

Для настройки 802.1X необходимо выполнить следующие действия.

• Перед включением аутентификации 802.1X на телефоне необходимо настроить остальные компоненты.

• Настройка порта ПК: Стандарт 802.1X не учитывает VLAN и поэтому рекомендует аутентифицировать только одно устройство на конкретном порту коммутатора. Однако некоторые коммутаторы поддерживают многодоменную аутентификацию. Настройки коммутатора определяют, можно ли подключить ПК к порту телефона, предназначенному для подключения к ПК.

  • Включено: Если вы используете коммутатор, поддерживающий многодоменную аутентификацию, вы можете включить порт для ПК и подключить к нему компьютер. В этом случае IP-телефоны Cisco поддерживают прокси-сервер EAPOL-Logoff для мониторинга обмена данными аутентификации между коммутатором и подключенным ПК.

    Для получения дополнительной информации о поддержке стандарта IEEE 802.1X на коммутаторах Cisco Catalyst см. руководства по настройке коммутаторов Cisco Catalyst по адресу:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Выключено: Если коммутатор не поддерживает подключение нескольких устройств, совместимых с 802.1X, к одному порту, следует отключить порт для ПК при включенной аутентификации 802.1X. Если вы не отключите этот порт, а затем попытаетесь подключить к нему компьютер, коммутатор запретит доступ к сети как телефону, так и компьютеру.

• Настройка голосовой VLAN: Поскольку стандарт 802.1X не учитывает VLAN, этот параметр следует настраивать в соответствии с поддержкой коммутатора.
  • Включено: Если вы используете коммутатор, поддерживающий многодоменную аутентификацию, вы можете продолжить использование голосовой VLAN.
  • Выключено: Если коммутатор не поддерживает многодоменную аутентификацию, отключите Voice VLAN и рассмотрите возможность назначения порта собственному VLAN.
• (Только для настольных телефонов Cisco серии 9800)

  Телефоны Cisco Desk Phone 9800 Series имеют другой префикс в PID, отличающийся от префикса других телефонов Cisco. Чтобы ваш телефон проходил аутентификацию 802.1X, установите параметр Radius·User-Name так, чтобы он включал ваш настольный телефон Cisco серии 9800.

  Например, PID телефона 9841 — DP-9841; вы можете установить Radius·User-Name в Start with DP или Contains DP. Вы можете установить это в обоих следующих разделах:

  • Политика > Условия > Условия пользования библиотекой

  • Политика > Наборы политик > Политика авторизации > Правило авторизации 1

При наличии встроенной системы безопасности телефона, вы можете идентифицировать защищенные телефонные звонки по значкам на экране телефона. Также можно определить, является ли подключенный телефон защищенным, если в начале разговора воспроизводится сигнал безопасности.

При защищенном вызове все сигналы вызова и потоки мультимедиа шифруются. Защищенный звонок обеспечивает высокий уровень безопасности, гарантируя целостность и конфиденциальность разговора. Когда текущий вызов зашифрован, на линии отображается значок безопасности . Для обеспечения безопасности телефона вы также можете увидеть значок аутентификации или значок шифрования рядом с подключенным сервером в меню телефона (Настройки > Об этом устройстве).

В защищенном вызове в начале разговора воспроизводится сигнал безопасности, указывающий на то, что другой подключенный телефон также принимает и передает защищенный аудиосигнал. Если ваш звонок соединится с незащищенным телефоном, сигнал безопасности не прозвучит.

Когда телефон настроен как защищенный (зашифрованный и доверенный) в Cisco Unified Communications Manager, ему может быть присвоен статус защищенный. После этого, при желании, защищенный телефон можно настроить на воспроизведение звукового сигнала в начале разговора:

• Защищаемое устройство: Чтобы изменить статус защищенного телефона на защищенный, установите флажок «Защищенное устройство» в окне «Конфигурация телефона» в разделе «Администрирование Cisco Unified Communications Manager» (Устройство > Телефон).

• Звуковой сигнал подтверждения безопасного воспроизведения: Чтобы защищенный телефон мог воспроизводить сигнал подтверждения безопасности или отсутствия безопасности, установите параметр «Воспроизводить сигнал подтверждения безопасности» в значение «Истина». По умолчанию параметр Play Secure Indication Tone установлен в значение False. Этот параметр устанавливается в разделе администрирования Cisco Unified Communications Manager (Система > Параметры сервиса). Выберите сервер, а затем службу Unified Communications Manager. В окне «Настройка параметров службы» выберите параметр в области «Функция — Защищенный тон». Значение по умолчанию — False.

Поскольку все устройства беспроводной сети, находящиеся в зоне действия, могут принимать весь остальной трафик беспроводной сети, обеспечение безопасности голосовой связи имеет решающее значение в беспроводных сетях. Для обеспечения защиты от манипулирования или перехвата голосового трафика злоумышленниками, архитектура безопасности Cisco SAFE поддерживает работу телефона. Для получения дополнительной информации о безопасности в сетях см. http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Решение Cisco для беспроводной IP-телефонии обеспечивает безопасность беспроводной сети, предотвращая несанкционированный вход в систему и компрометацию связи за счет использования следующих методов аутентификации, поддерживаемых телефоном:

• Открытая аутентификация: В открытой системе любое беспроводное устройство может запросить аутентификацию. Точка доступа, получившая запрос, может предоставить аутентификацию любому запрашивающему лицу или только тем запрашивающим лицам, которые указаны в списке пользователей. Обмен данными между беспроводным устройством и точкой доступа (AP) может осуществляться без шифрования.

• Расширяемый протокол аутентификации — гибкая аутентификация через защищенное туннелирование (EAP-FAST): Эта архитектура безопасности «клиент-сервер» шифрует транзакции EAP в туннеле с уровнем безопасности транспортного уровня (TLS) между точкой доступа и сервером RADIUS, например, Identity Services Engine (ISE).

  В туннеле TLS для аутентификации между клиентом (телефоном) и сервером RADIUS используются защищенные учетные данные доступа (PAC). Сервер отправляет клиенту (телефону) идентификатор авторизации (AID), который, в свою очередь, выбирает соответствующий PAC-код. Клиент (телефон) отправляет PAC-Opaque на RADIUS-сервер. Сервер расшифровывает PAC-код с помощью первичного ключа. Теперь обе конечные точки содержат ключ PAC, и создан TLS-туннель. EAP-FAST поддерживает автоматическую настройку PAC-кодов, но эту функцию необходимо включить на RADIUS-сервере.

  В ISE по умолчанию срок действия PAC-кода истекает через неделю. Если срок действия PAC-кода телефона истек, аутентификация с RADIUS-сервером занимает больше времени, пока телефон не получит новый PAC-код. Во избежание задержек при предоставлении PAC-кодов установите срок действия PAC-кодов на сервере ISE или RADIUS равным 90 дням или более.

• Расширяемый протокол аутентификации — безопасность транспортного уровня (EAP-TLS) Аутентификация: Для аутентификации и доступа к сети EAP-TLS требует наличия клиентского сертификата. Для беспроводного протокола EAP-TLS клиентский сертификат может быть MIC, LSC или установленным пользователем сертификатом.

• Защищенный расширяемый протокол аутентификации (PEAP): Собственная схема взаимной аутентификации Cisco на основе паролей между клиентом (телефоном) и RADIUS-сервером. Телефон может использовать PEAP для аутентификации в беспроводной сети. Поддерживаются оба метода аутентификации: PEAP-MSCHAPV2 и PEAP-GTC.

• Предварительно согласованный ключ (PSK): Телефон поддерживает формат ASCII. При настройке необходимо использовать этот формат. WPA/WPA2/SAE Предварительно заданный ключ:

  ASCII: Строка символов ASCII длиной от 8 до 63 символов (0-9, строчные и прописные буквы AZ, а также специальные символы).

  Пример. GREG123567@9ZX & В

Следующие схемы аутентификации используют RADIUS-сервер для управления ключами аутентификации:

• WPA/WPA2/WPA3: Использует информацию с RADIUS-сервера для генерации уникальных ключей аутентификации. Поскольку эти ключи генерируются на централизованном RADIUS-сервере, WPA2/WPA3 обеспечивает более высокий уровень безопасности, чем предварительно согласованные ключи WPA, хранящиеся на точке доступа и телефоне.

• Быстрый и безопасный роуминг: Использует информацию RADIUS-сервера и сервера беспроводного домена (WDS) для управления и аутентификации ключей. WDS создает кэш учетных данных безопасности для клиентских устройств с поддержкой FT для быстрой и безопасной повторной аутентификации. Настольные телефоны Cisco 9861 и 9871, а также видеотелефон Cisco 8875 поддерживают стандарт 802.11r (FT). Поддерживаются как беспроводная связь, так и связь через DS, что обеспечивает быстрый и безопасный роуминг. Однако мы настоятельно рекомендуем использовать метод передачи данных по беспроводной сети 802.11r (FT).

С WPA/WPA2/WPA3, Ключи шифрования не вводятся в телефон, а автоматически генерируются между точкой доступа и телефоном. Однако имя пользователя и пароль EAP, используемые для аутентификации, необходимо ввести на каждом телефоне.

Для обеспечения безопасности голосового трафика телефон поддерживает шифрование с использованием алгоритмов TKIP и AES. При использовании этих механизмов шифрования как сигнальные SIP-пакеты, так и голосовые RTP-пакеты шифруются между точкой доступа и телефоном.

ТКИП

WPA использует шифрование TKIP, которое имеет ряд улучшений по сравнению с WEP. TKIP обеспечивает шифрование ключей для каждого пакета и более длинные векторы инициализации (IV), что повышает уровень шифрования. Кроме того, проверка целостности сообщения (MIC) гарантирует, что зашифрованные пакеты не изменяются. TKIP устраняет предсказуемость WEP, которая помогает злоумышленникам расшифровать ключ WEP.

АЭС

Метод шифрования, используемый для WPA2/WPA3 аутентификация. Этот национальный стандарт шифрования использует симметричный алгоритм, в котором для шифрования и дешифрования используется один и тот же ключ. В алгоритме AES используется шифрование с помощью цепочки блоков (CBC) размером 128 бит, что позволяет поддерживать ключи размером не менее 128, 192 и 256 бит. Телефон поддерживает размер ключа в 256 бит.

В беспроводной локальной сети настроены схемы аутентификации и шифрования. Виртуальные локальные сети (VLAN) настраиваются в сети и на точках доступа и определяют различные комбинации аутентификации и шифрования. SSID связан с VLAN и конкретной схемой аутентификации и шифрования. Для успешной аутентификации беспроводных клиентских устройств необходимо настроить одинаковые SSID с соответствующими схемами аутентификации и шифрования как на точках доступа, так и на телефоне.

Некоторые схемы аутентификации требуют использования определенных типов шифрования.

В таблице ниже представлены схемы аутентификации и шифрования, отображающие параметры сетевой конфигурации телефона, соответствующие конфигурации точки доступа.

Assured Services SIP (AS-SIP) — это набор функций и протоколов, обеспечивающих высокозащищенный поток вызовов для IP-телефонов Cisco и телефонов сторонних производителей. Следующие функции в совокупности известны как AS-SIP:

• Многоуровневое приоритетное право и вытеснение (MLPP)
• Кодовая точка дифференцированного обслуживания (DSCP)
• Протоколы Transport Layer Security (TLS) и Secure Realtime Transport Protocol (SRTP)
• Протокол интернета версии 6 (IPv6)

Протокол AS-SIP часто используется с многоуровневой системой приоритета и вытеснения (MLPP) для определения приоритета вызовов во время чрезвычайной ситуации. В системе MLPP вы присваиваете исходящим вызовам уровень приоритета, от уровня 1 (низкий) до уровня 5 (высокий). При входящем звонке на экране телефона отображается значок уровня приоритета, показывающий приоритет вызова.

Для настройки AS-SIP выполните следующие действия в Cisco Unified Communications Manager:

• Настройка пользователя для дайджест-аутентификации — настройте конечного пользователя для использования дайджест-аутентификации для SIP-запросов.
• Настройка защищенного порта для SIP-телефонов — Cisco Unified Communications Manager использует этот порт для прослушивания SIP-телефонов на предмет регистрации SIP-линий по протоколу TLS.
• Перезапуск служб — После настройки защищенного порта перезапустите службы Cisco Unified Communications Manager и Cisco CTL Provider. Настройка SIP-профиля для AS-SIP — настройте SIP-профиль с параметрами SIP для ваших конечных точек AS-SIP и для ваших SIP-транков. Параметры, специфичные для данного телефона, не загружаются на AS-SIP-телефон стороннего производителя. Они используются только в Cisco Unified Manager. Для телефонов сторонних производителей необходимо выполнить локальную настройку тех же параметров.
• Настройка профиля безопасности телефона для AS-SIP — Вы можете использовать профиль безопасности телефона для назначения параметров безопасности, таких как TLS, SRTP и дайджест-аутентификация.
• Настройка AS-SIP-терминала — настройте IP-телефон Cisco или сторонний терминал с поддержкой AS-SIP.
• Привязка устройства к конечному пользователю — свяжите конечную точку с пользователем.
• Настройка профиля безопасности SIP-транка для AS-SIP — Вы можете использовать профиль безопасности SIP-транка для назначения функций безопасности, таких как TLS или дайджест-аутентификация, SIP-транку.
• Настройка SIP-транка для AS-SIP — Настройка SIP-транка с поддержкой AS-SIP.
• Настройка функций AS-SIP — настройте дополнительные функции AS-SIP, такие как MLPP, TLS, V.150 и IPv6.

Подробную информацию о настройке AS-SIP см. в главе «Настройка конечных точек AS-SIP» в Руководстве по настройке функций Cisco Unified Communications Manager.

Если на телефоне настроены коды принудительной авторизации (FAC) или коды клиентских дел (CMC), или оба варианта, пользователям необходимо ввести требуемые пароли для совершения звонка.

Для получения дополнительной информации о настройке FAC и CMC в Cisco Unified Communications Manager см. главу «Коды клиентских задач и коды принудительной авторизации» в Руководстве по настройке функций для Cisco Unified Communications Manager, версия 12.5(1) или более поздняя.

Функция Cisco VPN помогает обеспечить безопасность сети, предоставляя пользователям безопасный и надежный способ подключения к корпоративной сети. Используйте эту функцию, когда:

• Телефон находится вне доверенной сети.
• Сетевой трафик между телефоном и Cisco Unified Communications Manager проходит через ненадежную сеть.

При использовании VPN существует три распространенных подхода к аутентификации клиента:

• Цифровые сертификаты
• Пароли
• Имя пользователя и пароль

Каждый метод имеет свои преимущества. Но если политика безопасности вашей компании это позволяет, мы рекомендуем использовать подход на основе сертификатов, поскольку сертификаты обеспечивают беспрепятственный вход в систему без какого-либо вмешательства пользователя. Поддерживаются как сертификаты LSC, так и MIC.

Для настройки любой из функций VPN сначала выполните инициализацию устройства локально, а затем разверните его за пределами локальной сети.

Для получения дополнительной информации об аутентификации по сертификатам и работе с VPN-сетью см. Настройка AnyConnect VPN Phone с аутентификацией по сертификатам на ASA.

При использовании пароля или имени пользователя и пароля пользователю предлагается ввести учетные данные для входа. Настройте учетные данные для входа пользователей в систему в соответствии с политикой безопасности вашей компании. Также можно настроить параметр «Включить сохранение пароля», чтобы пароль пользователя сохранялся на телефоне. Пароль пользователя сохраняется до тех пор, пока не произойдет неудачная попытка входа в систему, пользователь вручную не удалит пароль, или пока телефон не перезагрузится или не разрядится.

Ещё один полезный инструмент — это настройка «Включить автоматическое определение сети». Если вы установите этот флажок, VPN-клиент сможет работать только тогда, когда обнаружит, что находится за пределами корпоративной сети. Этот параметр отключен по умолчанию.

Ваш телефон Cisco поддерживает Cisco SVC IPhone Client v1.0 в качестве типа клиента.

Для получения дополнительной информации о настройке VPN в Unified CM см. Руководство по настройке функций для Cisco Unified Communications Manager.

Функция Cisco VPN использует протокол Secure Sockets Layer (SSL) для обеспечения безопасности сети.