Ďakujeme za vašu spätnú väzbu.

Bezpečnostné funkcie chránia pred hrozbami vrátane ohrozenia identity telefónu a údajov. Tieto funkcie vytvárajú a udržiavajú overené komunikačné toky medzi telefónom a Cisco Unified Communications Manager server a zabezpečujú, že telefón používa iba digitálne podpísané súbory.

Cisco Unified Communications Manager Release 8.5 (1) a novšie verzie obsahujú predvolené zabezpečenie, ktoré poskytuje nasledujúce funkcie zabezpečenia pre Cisco IP Phones bez spustenia klienta CTL:

• Podpisovanie konfiguračných súborov telefónu

• Šifrovanie konfiguračného súboru telefónu

• HTTPS so službou Tomcat a ďalšími webovými službami

Implementácia zabezpečenia v Cisco Unified Communications Manager system zabraňuje krádeži identity telefónu a Cisco Unified Communications Manager server, zabraňuje manipulácii s údajmi a zabraňuje signalizácii hovoru a manipulácii s mediálnym tokom.

Na zmiernenie týchto hrozieb telefónna sieť Cisco IP vytvára a udržiava bezpečné (šifrované) komunikačné toky medzi telefónom a serverom, digitálne podpisuje súbory pred ich prenosom do telefónu a šifruje mediálne toky a signalizáciu hovorov medzi Cisco IP Phones.

A Locally Significant Certificate (LSC) sa nainštaluje do telefónov po vykonaní potrebných úloh, ktoré sú priradené k certificate authority proxy function (CAPF). Pomocou Cisco Unified Communications Manager Administration môžete nakonfigurovať LSC, ako je popísané v príručke Cisco Unified Communications Manager zabezpečenia. Prípadne môžete spustiť inštaláciu LSC z ponuky Zabezpečenie v telefóne. Táto ponuka vám tiež umožňuje aktualizovať alebo odstrániť LSC.

Telefóny používajú profil zabezpečenia telefónu, ktorý definuje, či je zariadenie nezabezpečené alebo zabezpečené. Informácie o použití profilu zabezpečenia v telefóne nájdete v dokumentácii k konkrétnemu vydaniu Cisco Unified Communications Manager.

Ak nastavenia týkajúce sa zabezpečenia nakonfigurujete v Cisco Unified Communications Manager Administration, konfiguračný súbor telefónu bude obsahovať citlivé informácie. Ak chcete zabezpečiť súkromie konfiguračného súboru, musíte ho nakonfigurovať na šifrovanie. Podrobné informácie nájdete v dokumentácii k vášmu konkrétnemu vydaniu Cisco Unified Communications Manager.

Nasledujúca tabuľka poskytuje prehľad funkcií zabezpečenia, ktoré telefóny podporujú. Ďalšie informácie nájdete v dokumentácii k vášmu konkrétnemu vydaniu Cisco Unified Communications Manager.

Nasledujúca tabuľka obsahuje informácie o aktualizácii zoznamu dôveryhodných, výstražných hláseniach a význame. Ďalšie informácie nájdete v dokumentácii Cisco Unified Communications Manager.

Keď je implementované zabezpečenie telefónu, môžete identifikovať zabezpečené telefónne hovory podľa ikon na obrazovke telefónu. Zabezpečenie a ochranu pripojeného telefónu môžete určiť aj vtedy, ak sa na začiatku hovoru ozve tón zabezpečenia.

Pri zabezpečenom hovore sú všetky signalizácie hovorov a prúdy mediálnych údajov šifrované. Zabezpečený hovor ponúka vysokú úroveň zabezpečenia a poskytuje integritu a súkromie hovoru. Keď je prebiehajúci hovor šifrovaný, zobrazí sa ikona zabezpečeného hovoru Na linke.

V Cisco Unified Communications Manager možno telefónom nakonfigurovaným ako bezpečné (šifrované a dôveryhodné) priradiť chránený stav. Po ochrane môžu byť tieto zariadenia nakonfigurované tak, aby na začiatku každého hovoru prehrávali bezpečnostný tón.

• Chránené zariadenie:

  Zmena stavu zabezpečeného telefónu na chránený:

  1. V Cisco Unified Communications Manager Administration vyberte položku Device > Phone.
  2. Nájdite telefón, ktorý nastavíte.
  3. V okne Konfigurácia telefónu začiarknite políčko Chránené zariadenie .
  4. Kliknite na položku Uložiť.

• Prehrať bezpečný indikačný tón:

  Povolenie prehrávania zabezpečeného alebo nezabezpečeného indikačného tónu v chránenom telefóne:

  1. V Cisco Unified Communications Manager Administration vyberte položku Parametre systému >služby.
  2. Vyberte server a potom službu Cisco CallManager .
  3. V oblasti Clusterwide Parameters (Feature – Secure Tone) ) nastavte položku Tón prehrávania na indikáciu stavu zabezpečeného alebo nezabezpečeného hovoru na hodnotu True.
  4. Kliknite na položku Uložiť.

Pretože všetky zariadenia WLAN, ktoré sú v dosahu, môžu prijímať všetku ostatnú prevádzku WLAN, zabezpečenie hlasovej komunikácie je v sieti WLAN rozhodujúce. Aby sa zabezpečilo, že votrelci nebudú manipulovať ani nezachytiť hlasovú prevádzku, architektúra Cisco SAFE Security podporuje telefón. Ďalšie informácie o zabezpečení sietí nájdete v téme http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Bezdrôtové telefónne riešenie Cisco IP poskytuje zabezpečenie bezdrôtovej siete, ktoré zabraňuje neoprávnenému prihláseniu a narušeniu komunikácie pomocou nasledujúcich metód overovania, ktoré telefón podporuje.

• Otvorené overenie: Každé bezdrôtové zariadenie môže požiadať o overenie v otvorenom systéme. Prístupový bod, ktorý prijme žiadosť, môže udeliť autentifikáciu ktorémukoľvek žiadateľovi alebo len žiadateľom, ktorí sa nachádzajú v zozname používateľov. Komunikácia medzi bezdrôtovým zariadením a prístupovým bodom (AP) mohla byť nešifrovaná.

• Rozšíriteľný autentifikačný protokol – flexibilné overovanie prostredníctvom zabezpečeného tunelovania (EAP-FAST) Autentifikácia: Táto architektúra zabezpečenia klient-server šifruje EAP transakcie v rámci tunela Transport Level Security (TLS) medzi prístupovým bodom a serverom RADIUS, ako je napríklad Identity Services Engine (ISE).

  Tunel TLS používa poverenia chráneného prístupu (PAC) na autentifikáciu medzi klientom (telefónom) a serverom RADIUS. Server odošle klientovi (telefónu) autoritu ID (AID), ktorá v TURN vyberie príslušné PAC. Klient (telefón) vráti PAC-Opaque na server RADIUS. Server dešifruje PAC primárnym kľúčom. Oba koncové body teraz obsahujú kľúč PAC a vytvorí sa tunel TLS. EAP-FAST podporuje automatické poskytovanie PAC, ale musíte ho povoliť na serveri RADIUS.

  V systéme ISE predvolene platnosť PAC vyprší o týždeň. Ak má telefón PAC s vypršanou platnosťou, overenie pomocou servera RADIUS trvá dlhšie, kým telefón dostane nový PAC. Aby ste sa vyhli oneskoreniam pri poskytovaní PAC, nastavte dobu vypršania platnosti PAC na 90 dní alebo dlhšie na serveri ISE alebo RADIUS.

• Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) Autentifikácia: EAP-TLS vyžaduje certifikát klienta na autentifikáciu a prístup do siete. V prípade bezdrôtového pripojenia EAP-TLS môže byť certifikátom klienta certifikát MIC, LSC, alebo certifikát nainštalovaný používateľom.

• Protected Extensible Authentication Protocol (PEAP): Cisco proprietárna vzájomná autentifikačná schéma založená na hesle medzi klientom (telefónom) a serverom RADIUS. Telefón môže použiť PEAP na autentifikáciu v bezdrôtovej sieti. Podporované sú metódy overovania PEAP-MSCHAPV2 aj PEAP-GTC.

• Predzdieľaný kľúč (PSK): Telefón podporuje formáty ASCII a hexadecimálne (HEX). Tieto formáty musíte použiť pri nastavovaní vopred zdieľaného kľúča WPA2/SAE.

  ASCII: Reťazec znakov ASCII s dĺžkou 8 až 63 znakov (0-9, malé a-z, veľké A-Z a špeciálne znaky). Napríklad,GREG123567@9ZX &W.

  HEX: reťazec so šesťhrannými znakmi a dĺžkou 64 hexadecimálnych číslic (0-9, a-f alebo A-F).

Nasledujúce schémy overovania používajú server RADIUS na správu autentifikačných kľúčov:

• WPA2/WPA3: Používa informácie o serveri RADIUS na generovanie jedinečných kľúčov na overenie. Keďže tieto kľúče sú generované na centralizovanom serveri RADIUS, WPA2/WPA3 poskytuje väčšiu bezpečnosť ako WPA predzdieľané kľúče, ktoré sú uložené v prístupovom bode a telefóne.

• Rýchly zabezpečený roaming: Používa informácie zo servera RADIUS a bezdrôtového doménového servera (WDS) na správu a overovanie kľúčov. WDS vytvára vyrovnávaciu pamäť bezpečnostných poverení pre klientske zariadenia s podporou FT pre rýchlu a bezpečnú opätovnú autentifikáciu.

Pri zabezpečení WPA2/WPA3 sa šifrovacie kľúče nezadávajú do telefónu, ale automaticky sa odvodzujú medzi prístupovým bodom a telefónom. Používateľské meno a heslo EAP, ktoré sa používajú na overenie, však musia byť zadané na každom telefóne.

Na ochranu hlasovej prevádzky prostredníctvom bezdrôtového spojenia telefón podporuje šifrovanie WPA2/WPA3 založené na AES. AES je symetrická bloková šifra štandardizovaná NIST. AES používa pevnú 128-bitovú veľkosť bloku a podporuje kľúčové veľkosti 128 bitov, 192 bitov a 256 bitov. V sieťach Wi-Fi používajú AES šifrovacie balíky ako CCMP alebo GCMP, zatiaľ čo autentifikáciu poskytuje samostatne PSK, SAE alebo 802.1X / EAP, v závislosti od nakonfigurovaného bezpečnostného režimu WLAN. Podporovaná šifrovacia sada a veľkosť kľúča závisia od modelu telefónu a konfigurácie WLAN.

Keď telefón používa šifrovanie AES, medzi prístupovým bodom a telefónom sú šifrované pakety signalizácie SIP aj hlasové pakety protokolu prenosu v reálnom čase (RTP).

Schémy overovania a šifrovania sú nastavené v rámci bezdrôtovej siete LAN. VLAN sú konfigurované v sieti a na prístupových bodoch a špecifikujú rôzne kombinácie autentifikácie a šifrovania. SSID sa spája s VLAN a konkrétnou autentifikačnou a šifrovacou schémou. Ak chcete, aby sa bezdrôtové klientske zariadenia úspešne overili, musíte na prístupových bodoch a v telefóne nakonfigurovať rovnaké identifikátory SSID s ich schémami overovania a šifrovania.

Niektoré schémy overovania vyžadujú špecifické typy šifrovania.

Schémy overovania a šifrovania v nasledujúcej tabuľke zobrazujú možnosti konfigurácie siete pre Cisco bezdrôtový telefón 9821, ktoré zodpovedajú konfigurácii prístupového bodu.

Cisco Bezdrôtový telefón 9821 podporuje autentifikáciu 802.1X pre káblové siete. Toto sa zvyčajne používa počas automatického poskytovania , keď je telefón pripojený k stolnej nabíjačke prostredníctvom podporovaného adaptéra USB-to-Ethernet.

Podpora autentifikácie 802.1X v káblových sieťach vyžaduje niekoľko komponentov:

• Cisco IP Phone: Telefón iniciuje požiadavku na prístup k sieti. Cisco IP Phones obsahujú prosebníka 802.1X. Tento prosebník umožňuje správcom siete kontrolovať pripojenie telefónov IP k portom prepínača LAN. Aktuálne vydanie prosebníka telefónu 802.1X využíva možnosti EAP-FAST a EAP-TLS na overovanie siete.

• Autentifikačný server: Autentifikačný server aj prepínač musia byť nakonfigurované so zdieľaným kľúčom RADIUS.

• Prepínač: Prepínač musí podporovať štandard 802.1X, aby mohol fungovať ako autentifikátor a prenášať správy EAP medzi telefónom a overovacím serverom. Po dokončení výmeny prepínač udelí alebo zakáže telefónu prístup k sieti.

Cisco IP Phones a Cisco Spínače katalyzátora tradične používajú Cisco Discovery Protocol (CDP) na vzájomnú identifikáciu a určenie parametrov, ako je alokácia VLAN a požiadavky na inline napájanie.

Ak chcete nakonfigurovať 802.1X, musíte vykonať nasledujúce akcie.

• Nakonfigurujte CDP/LLDP hlas VLAN bypass.

• Pred zapnutím overovania 802.1X pre káblové siete v telefóne nakonfigurujte autentifikačný server a prepínač.

• Konfigurácia hlasu VLAN: Keďže štandard 802.1X nezohľadňuje siete VLAN, mali by ste toto nastavenie nakonfigurovať na základe podpory prepínača.

  • Povolené: Ak používate prepínač, ktorý podporuje overovanie viacerých domén, môžete ho nakonfigurovať tak, aby používal hlas VLAN.
  • Vypnuté: Ak prepínač nepodporuje overovanie viacerých domén, vypnite hlas VLAN a zvážte priradenie portu k natívnemu VLAN.

• Cisco Bezdrôtový telefón 9821 má inú predvoľbu v PID ako pre ostatné telefóny Cisco. Ak chcete, aby váš telefón prešiel overením 802.1X, nastavte okruh· Parameter Meno používateľa na zahrnutie vášho bezdrôtového telefónu Cisco 9821.

  Napríklad PID bezdrôtového telefónu Cisco 9821 je WP-9821. Môžete nastaviť polomer· Meno používateľa na začiatok na WP alebo Obsahuje WP v oboch nasledujúcich častiach:

  • Zásada > Podmienky > Podmienky knižnice

  • Politika > Množiny politík> Autorizačná politika > Autorizačné pravidlo 1