Благодарим вас за обратную связь.

Функции безопасности защищают от угроз, включая угрозы идентификации телефона и данных. Эти функции обеспечивают и поддерживают аутентифицированные каналы связи между телефоном и Cisco Unified Communications Manager сервером и обеспечивают использование в телефоне только файлов с цифровой подписью.

Cisco Unified Communications ManagerВерсия 8.5 (1) и более поздние версии по умолчанию включают функцию безопасности, которая предоставляет следующие функции безопасности для телефонов Cisco IP без запуска клиента CTL:

• Подписание файлов конфигурации телефона

• Шифрование файлов конфигурации телефона

• HTTPS с помощью Tomcat и других веб-сервисов

Внедрение мер безопасности в Cisco Unified Communications Manager систему предотвращает кражу личных данных телефона и Cisco Unified Communications Manager сервера, предотвращает фальсификацию данных, сигнализацию вызовов и подделку медиапотоков.

Для устранения этих угроз сеть IP-телефонии Cisco создает и поддерживает безопасные (зашифрованные) потоки связи между телефоном и сервером, подписывает файлы цифровой подписью перед их передачей на телефон и шифрует медиапотоки и сигналы вызовов между телефонами Cisco IP Phone.

Сертификат локального значения (LSC) устанавливается на телефоны после выполнения необходимых задач, связанных с функцией Certificate Authority прокси-сервера (CAPF). Его можно использовать Cisco Unified Communications Manager Administration для настройки LSC, как описано в руководстве по безопасности. Cisco Unified Communications Manager Кроме того, вы можете начать установку LSC из меню настроек безопасности на телефоне. В этом меню также можно обновить или удалить LSC.

В телефонах используется профиль безопасности телефона, который определяет, является ли устройство небезопасным или защищенным. Сведения о применении профиля безопасности к телефону см. в документации к конкретной Cisco Unified Communications Manager версии.

Если вы настроите параметры, связанные с безопасностьюCisco Unified Communications Manager Administration, в файле конфигурации телефона содержится конфиденциальная информация. Чтобы обеспечить конфиденциальность файла конфигурации , необходимо настроить его на шифрование. Подробные сведения см. в документации к конкретной Cisco Unified Communications Manager версии.

Телефон соответствует Федеральному стандарту обработки информации (FIPS). Для правильной работы режима FIPS требуется ключ размером 2048 бит или больше. Если размер сертификата меньше 2048 бит, телефон не будет зарегистрирован, Cisco Unified Communications Manager а телефон не зарегистрируется. Размер сертификатного ключа не соответствует требованиям FIPS на дисплеях телефона.

Если на телефоне установлен LSC, перед включением FIPS необходимо обновить размер ключа LSC до 2048 бит или более.

В следующей таблице представлен обзор функций безопасности, поддерживаемых телефонами. Дополнительные сведения см. в документации к конкретной версии. Cisco Unified Communications Manager

Чтобы перейти в режим безопасности, нажмите Настройки и выберите Сеть и служба > Настройки безопасности.

В следующей таблице приведены аварийные сообщения об обновлении списка доверия и их значение. Дополнительные сведения см. в Cisco Unified Communications Manager документации.

В меню «Настройка безопасности» представлена информация о различных настройках безопасности. Меню также обеспечивает доступ к меню «Список доверия» и указывает, установлен ли на телефоне файл CTL или ITL.

В следующей таблице описаны параметры меню «Настройка безопасности».

Телефоны Cisco IP поддерживают аутентификацию 802.1X.

Телефоны Cisco IP и коммутаторы Cisco Catalyst традиционно используют Cisco Discovery Protocol технологию CDP для идентификации друг друга и определения таких параметров, как распределение VLAN и требования к встроенному питанию. CDP не идентифицирует локально подключенные рабочие станции. Телефоны Cisco IP оснащены механизмом сквозной передачи данных EAPOL. Этот механизм позволяет рабочей станции, подключенной к телефону Cisco IP Phone, передавать сообщения EAPOL аутентификатору 802.1X на коммутаторе локальной сети. Механизм сквозной передачи данных гарантирует, что IP-телефон не служит коммутатором локальной сети для аутентификации конечной точки передачи данных перед доступом к сети.

IP-телефоны Cisco также оснащены механизмом выхода из системы EAPOL через прокси-сервер. Если подключенный к локальной сети ПК отсоединяется от IP-телефона, коммутатор локальной сети не видит сбоя в физическом канале, поскольку связь между коммутатором локальной сети и IP-телефоном сохраняется. Чтобы избежать нарушения целостности сети, IP-телефон отправляет коммутатору сообщение о выходе из системы EAPOL от имени дочернего компьютера, в результате чего коммутатор локальной сети очищает запись аутентификации для нижестоящего ПК.

Для поддержки аутентификации 802.1X требуется несколько компонентов :

• Телефон Cisco IP: телефон инициирует запрос на доступ к сети. Телефоны Cisco IP содержат запрашивающий сигнал 802.1X. Этот заявитель позволяет сетевым администраторам управлять подключением IP-телефонов к портам коммутатора локальной сети. В текущей версии телефона, запрашивающей стандарт 802.1X, для сетевой аутентификации используются опции EAP-FAST и EAP-TLS.

• Сервер аутентификации. Сервер аутентификации и коммутатор должны быть настроены с использованием общего секретного ключа, позволяющего аутентифицировать телефон.

• Коммутатор: коммутатор должен поддерживать стандарт 802.1X, чтобы он мог выполнять роль аутентификатора и передавать сообщения между телефоном и сервером аутентификации. После завершения обмена коммутатор предоставляет или отказывает телефону в доступе к сети.

Для настройки 802.1X необходимо выполнить следующие действия.

• Настройте другие компоненты, прежде чем включить аутентификацию 802.1X на телефоне.

• Настройте порт ПК: стандарт 802.1X не учитывает VLAN и поэтому рекомендует аутентифицировать только одно устройство на определенном порту коммутатора. Однако некоторые коммутаторы поддерживают мультидоменную аутентификацию. Конфигурация коммутатора определяет, можно ли подключить компьютер к порту ПК телефона.

  • Включено: если вы используете коммутатор, поддерживающий многодоменную аутентификацию, вы можете включить порт ПК и подключить к нему компьютер. В этом случае телефоны Cisco IP поддерживают функцию EAPOL-Logoff через прокси-сервер для отслеживания аутентификационных обменов между коммутатором и подключенным ПК.

    Дополнительные сведения о поддержке IEEE 802.1X на коммутаторах Cisco Catalyst см. в руководствах по настройке коммутаторов Cisco Catalyst по адресу:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Отключено: если коммутатор не поддерживает несколько устройств, совместимых с 802.1X, на одном порту, следует отключить порт ПК при включенной аутентификации 802.1X. Если вы не отключите этот порт, а затем попытаетесь подключить к нему компьютер, коммутатор откажет в сетевом доступе как телефону, так и ПК.

• Настройте голосовую сеть VLAN: поскольку стандарт 802.1X не учитывает VLAN, вам следует настроить этот параметр в зависимости от поддержки коммутатора.
  • Включено: если вы используете коммутатор, поддерживающий многодоменную аутентификацию, вы можете продолжить использовать голосовую сеть VLAN.
  • Отключено: если коммутатор не поддерживает многодоменную аутентификацию, отключите голосовую сеть VLAN и попробуйте назначить порт собственной сети VLAN.
• (Только для настольных телефонов Cisco серии 9800)

  Префикс PID настольных телефонов Cisco серии 9800 отличается от префикса других телефонов Cisco. Чтобы телефон прошел аутентификацию 802.1X, задайте параметр Radius·User-Name, включив в него настольный телефон Cisco серии 9800.

  Например, PID телефона 9841 равен DP-9841; для параметра Radius·User-Name можно задать значение «Начинается с DP» или «Содержит DP». Его можно задать в обоих следующих разделах:

  • Политика > Условия > Условия использования библиотеки

  • Политика > Наборы политик > Политика авторизации > Правило авторизации 1

Когда на телефоне реализована защита, вы можете идентифицировать защищенные телефонные звонки с помощью значков на экране телефона. Вы также можете определить, защищен ли подключенный телефон, если в начале вызова звучит звуковой сигнал безопасности.

При защищенном вызове все сигналы вызова и медиапотоки зашифрованы. Защищенный вызов обеспечивает высокий уровень безопасности, обеспечивая целостность и конфиденциальность вызова. Если входящий звонок зашифрован, на линии отображается значок безопасности. На защищенном телефоне вы также можете посмотреть значок аутентификации или зашифрованный значок рядом с подключенным сервером в меню телефона (Настройки > Об этом устройстве).

При защищенном вызове в начале вызова звучит звуковой сигнал, указывающий на то, что другой подключенный телефон также принимает и передает защищенный звук. Если звонок осуществляется на незащищенный телефон, звуковой сигнал безопасности не воспроизводится.

Если телефон настроен как защищенный (зашифрованный и доверенный)Cisco Unified Communications Manager, ему можно присвоить статус защищенного. После этого при желании защищенный телефон можно настроить на воспроизведение звукового сигнала в начале вызова:

• Защищенное устройство: чтобы изменить статус защищенного телефона на защищенный, установите флажок Защищенное устройство в окне «Конфигурация телефона» в разделе Cisco Unified Communications Manager Administration (Устройство > Телефон).

• Звуковой сигнал индикации Play Secure: чтобы на защищенном телефоне можно было воспроизводить защищенный или небезопасный сигнал индикации, установите для параметра «Звук индикации Play Secure» значение True. По умолчанию для сигнала индикации Play Secure установлено значение False. Вы устанавливаете эту опцию в Cisco Unified Communications Manager Administration меню (Система > Параметры сервиса). Выберите сервер, а затем службу Unified Communications Manager. В окне «Настройка параметров сервиса» выберите опцию в области Функция — Secure Tone. По умолчанию установлено значение False.

Поскольку все устройства WLAN, находящиеся в пределах досягаемости, могут принимать весь другой трафик WLAN, обеспечение голосовой связи крайне важно в беспроводных локальных сетях. Чтобы злоумышленники не могли манипулировать голосовым трафиком и не перехватывать его, архитектура Cisco SAFE Security поддерживает телефон. Дополнительные сведения о безопасности в сетях см. на сайте http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Решение Cisco Wireless IP для телефонии обеспечивает безопасность беспроводной сети, предотвращающую несанкционированный вход и скомпрометированную связь с помощью следующих методов аутентификации, поддерживаемых телефоном:

• Открытая аутентификация. Любое беспроводное устройство может запросить аутентификацию в открытой системе. Точка доступа, получившая запрос, может предоставить аутентификацию любому отправителю запроса или только тем, кто указан в списке пользователей. Связь между беспроводным устройством и точкой доступа (AP) может быть незашифрованной.

• Расширяемый протокол аутентификации. Гибкая аутентификация с помощью аутентификации с помощью безопасного туннелирования (EAP-FAST): эта архитектура безопасности клиент-сервер шифрует транзакции EAP в туннеле TLS между точкой доступа и сервером RADIUS, например Identity Services Engine (ISE).

  Туннель TLS использует учетные данные защищенного доступа (PACs) для аутентификации между клиентом (телефоном) и сервером RADIUS. Сервер отправляет клиенту (телефону) идентификатор авторитета (AID), который, в свою очередь, выбирает подходящий PAC. Клиент (телефон) возвращает серверу RADIUS непрозрачный PAC-файл. Сервер расшифровывает PAC с помощью первичного ключа. Обе конечные точки теперь содержат ключ PAC, и создается туннель TLS. EAP-FAST поддерживает автоматическую инициализацию PAC, но ее необходимо включить на сервере RADIUS.

  В ISE срок действия PAC по умолчанию истекает через неделю. Если у телефона истек срок действия PAC, аутентификация на сервере RADIUS займет больше времени, пока телефон получит новый PAC. Чтобы избежать задержек с выделением PAC, установите срок действия PAC на сервере ISE или RADIUS на 90 дней или более.

• Аутентификация по протоколу расширяемой аутентификации и безопасности транспортного уровня (EAP-TLS). Для аутентификации и доступа к сети EAP-TLS требуется сертификат клиента. Для беспроводного протокола EAP-TLS клиентским сертификатом может быть MIC, LSC или сертификат, установленный пользователем.

• Защищенный расширяемый протокол аутентификации (PEAP): запатентованная Cisco схема взаимной аутентификации на основе паролей между клиентом (телефоном) и сервером RADIUS. Телефон может использовать PEAP для аутентификации в беспроводной сети. Поддерживаются методы аутентификации PEAP-MSCHAPV2 и PEAP-GTC.

• Предварительный общий ключ (PSK): телефон поддерживает формат ASCII. При настройке предварительно используемого ключа WPA/WPA2/SAE необходимо использовать этот формат:

  ASCII: строка символов ASCII длиной от 8 до 63 символов (0-9, строчные и прописные буквы A-Z, а также специальные символы)

  Пример: GREG123567 @9ZX &W

В следующих схемах аутентификации сервер RADIUS используется для управления ключами аутентификации:

• WPA/WPA2/WPA3: использует информацию о сервере RADIUS для создания уникальных ключей для аутентификации. Поскольку эти ключи генерируются на централизованном сервере RADIUS, WPA2/WPA3 обеспечивает большую безопасность, чем предварительные общие ключи WPA, хранящиеся на точке доступа и телефоне.

• Быстрый безопасный роуминг: использует данные сервера RADIUS и беспроводного доменного сервера (WDS) для управления ключами и их аутентификации. WDS создает кэш учетных данных безопасности для клиентских устройств с поддержкой FT для быстрой и безопасной повторной аутентификации. Настольные телефоны Cisco 9861 и 9871 и видеотелефон Cisco 8875 поддерживают стандарт 802.11r (FT). Поддерживается как беспроводная связь, так и передача данных через DS, что обеспечивает быстрый и безопасный роуминг. Но мы настоятельно рекомендуем использовать беспроводной метод 802.11r (FT).

При использовании WPA/WPA2/WPA3 ключи шифрования не вводятся на телефоне, а автоматически передаются между точкой доступа и телефоном. Но имя пользователя и пароль EAP, используемые для аутентификации, должны быть введены на каждом телефоне.

Чтобы обеспечить безопасность голосового трафика, телефон поддерживает шифрование TKIP и AES. Когда эти механизмы используются для шифрования, как сигнальные пакеты SIP, так и пакеты голосового транспортного протокола реального времени (RTP) шифруются между точкой доступа и телефоном.

TKIP

WPA использует шифрование TKIP, которое имеет несколько улучшений по сравнению с WEP. Протокол TKIP обеспечивает шифрование по каждому пакету ключей и более длинные векторы инициализации (IV), которые усиливают шифрование. Кроме того, проверка целостности сообщений (MIC) гарантирует, что зашифрованные пакеты не будут изменены. Протокол TKIP исключает предсказуемость WEP, что помогает злоумышленникам расшифровать ключ WEP.

AES

Метод шифрования, используемый для аутентификации WPA2/WPA3. В этом национальном стандарте шифрования используется симметричный алгоритм с одним и тем же ключом для шифрования и дешифрования. AES использует шифрование Cipher Blocking Chain (CBC) размером 128 бит, которое поддерживает ключи размером не менее 128 бит, 192 бита и 256 бит. Телефон поддерживает ключ размером 256 бит.

Схемы аутентификации и шифрования настроены в беспроводной локальной сети. VLAN настраиваются в сети и на точках доступа и предусматривают различные комбинации аутентификации и шифрования. SSID связан с VLAN и конкретной схемой аутентификации и шифрования. Для успешной аутентификации беспроводных клиентских устройств необходимо настроить одинаковые идентификаторы SSID со схемами аутентификации и шифрования на точках доступа и на телефоне.

Некоторые схемы аутентификации требуют определенных типов шифрования.

Схемы аутентификации и шифрования в следующей таблице показывают параметры сетевой конфигурации телефона, соответствующие конфигурации точки доступа.

SIP с гарантированными услугами (AS-SIP) — это набор функций и протоколов, обеспечивающих высокобезопасный поток вызовов для IP-телефонов Cisco и телефонов сторонних производителей. Следующие функции в совокупности называются AS-SIP:

• Многоуровневый приоритет и приоритет (MLPP)
• Кодовая точка дифференцированных сервисов (DSCP)
• Безопасность транспортного уровня (TLS) и безопасный транспортный протокол реального времени (SRTP)
• Интернет-протокол версии 6 (IPv6)

AS-SIP часто используется в сочетании с многоуровневым приоритетом и преимущественным режимом (MLPP) для приоритизации вызовов в чрезвычайных ситуациях. С помощью MLPP вы назначаете своим исходящим вызовам уровень приоритета от уровня 1 (низкий) до уровня 5 (высокий). Когда вы получаете звонок, на телефоне отображается значок уровня приоритета, показывающий приоритет вызова.

Чтобы настроить AS-SIP, выполните следующие задачи: Cisco Unified Communications Manager

• Настройка пользователя дайджеста — настройте конечного пользователя на использование дайджест-аутентификации для запросов SIP.
• Настройте защищенный порт SIP Phone — Cisco Unified Communications Manager используйте этот порт для прослушивания SIP-телефонов при регистрации линий SIP по протоколу TLS.
• Перезапустите службы. После настройки защищенного порта перезапустите службы Cisco CTL Cisco Unified Communications Manager Provider. Настройте профиль SIP для AS-SIP. Настройте профиль SIP с параметрами SIP для конечных точек AS-SIP и магистралей SIP. Параметры, специфичные для телефона, не загружаются на телефон AS-SIP стороннего производителя. Они используются только в Cisco Unified Manager. Телефоны сторонних производителей должны локально настраивать те же параметры.
• Настройте профиль безопасности телефона для AS-SIP. Вы можете использовать профиль безопасности телефона для назначения таких параметров безопасности, как TLS, SRTP и дайджест-аутентификация.
• Настройка конечной точки AS-SIP — настройте телефон Cisco IP Phone или стороннюю конечную точку с поддержкой AS-SIP.
• Свяжите устройство с конечным пользователем — свяжите конечную точку с пользователем.
• Настройте профиль безопасности SIP Trunk для AS-SIP. С помощью профиля безопасности магистрали SIP можно назначить магистрали SIP такие функции безопасности, как TLS или дайджест-аутентификация.
• Настройка SIP Trunk для AS-SIP — настройте магистраль SIP с поддержкой AS-SIP.
• Настройка функций AS-SIP. Настройте дополнительные функции AS-SIP, такие как MLPP, TLS, V.150 и IPv6.

Подробные сведения о настройке AS-SIP см. в главе «Настройка конечных точек AS-SIP» в руководстве по настройке функций. Cisco Unified Communications Manager

Если на телефоне настроены коды принудительной авторизации (FAC) или коды клиента (CMC) или и то, и другое, пользователи должны ввести необходимые пароли для набора номера.

Дополнительные сведения о настройке FAC и CMC см. в Cisco Unified Communications Manager главе «Коды клиентов и коды принудительной авторизации» руководства по настройке функций версии 12.5 (1) или Cisco Unified Communications Manager более поздней версии.

Функция Cisco VPN помогает обеспечить безопасность сети, предоставляя пользователям безопасный и надежный способ подключения к корпоративной сети. Используйте эту функцию, когда:

• Телефон находится за пределами доверенной сети
• Сетевой трафик между телефоном и телефоном Cisco Unified Communications Manager пересекает ненадежную сеть

При использовании VPN существует три распространенных подхода к аутентификации клиентов:

• Цифровые сертификаты
• Пароли
• Имя пользователя и пароль

Каждый метод имеет свои преимущества. Но если ваша корпоративная политика безопасности позволяет это сделать, мы рекомендуем использовать подход, основанный на сертификатах, поскольку сертификаты позволяют легко войти в систему без вмешательства пользователя. Поддерживаются сертификаты LSC и MIC.

Чтобы настроить любую из функций VPN, сначала разместите устройство в локальной среде, а затем разверните устройство в автономном режиме.

Дополнительные сведения о сертификационной аутентификации и работе с сетью VPN см. в разделе Настройка AnyConnect VPN телефона с сертификатной аутентификацией на ASA.

При использовании пароля или имени пользователя и пароля пользователю предлагается ввести учетные данные для входа. Задайте учетные данные пользователя в соответствии с политикой безопасности вашей компании. Можно также настроить параметр Включить сохранение пароля таким образом, чтобы пароль пользователя сохранялся на телефоне. Пароль пользователя сохраняется до тех пор, пока не произойдет неудачная попытка входа в систему, пользователь вручную не очистит пароль или не перезагрузится или не отключится питание телефона.

Еще одним полезным инструментом является параметр «Включить автоматическое определение сети». Если вы включите этот флажок, VPN-клиент сможет работать только в том случае, если он обнаружит, что он находится за пределами корпоративной сети. По умолчанию эта настройка отключена.

В качестве типа клиента ваш телефон Cisco поддерживает клиент Cisco SVC IPPhone версии 1.0.

Дополнительные сведения о том, как включить VPNUnified CM, см. в руководстве по настройке функций для. Cisco Unified Communications Manager

Функция Cisco VPN использует протокол SSL (Secure Sockets Layer) для обеспечения сетевой безопасности.