Ďakujeme za vašu spätnú väzbu.

Zabezpečovacie prvky chránia pred hrozbami vrátane hrozieb pre identitu telef ónu a dáta. Tieto funkcie vytvárajú a udržiavajú overené komunikačné toky medzi telefónom a Cisco Unified Communications Manager serverom a zabezpečujú, že telefón používa iba digitálne podpísané súbory.

Cisco Unified Communications ManagerVydanie 8.5 (1) a novšie obsahuje predvolene zabezpečenie, ktoré poskytuje nasledujúce bezpečnostné funkcie pre telefóny Cisco IP bez spustenia klienta CTL:

• Podpisovanie konfiguračných súborov telefónu

• Šifrovanie konfiguračného súboru telefónu

• HTTPS s Tomcat a inými webovými službami

Implementácia zabezpečenia v Cisco Unified Communications Manager systéme zabraňuje krádeži identity telefónu a Cisco Unified Communications Manager servera, zabraňuje manipulácii s údajmi a zabraňuje signalizácii hovorov a manipulácii s mediálnym prúdom.

Na zmiernenie týchto hrozieb IP telefónna sieť Cisco vytvára a udržiava bezpečné (šifrované) komunikačné toky medzi telefónom a serverom, digitálne podpisuje súbory pred ich prenosom do telefónu a šifruje mediálne toky a signalizáciu hovorov medzi telefónmi Cisco IP.

Lokálne významný certifikát (LSC) sa nainštaluje do telefónov po vykonaní potrebných úloh spojených s funkciou Certificate Authority proxy (CAPF). Môžete použiť Cisco Unified Communications Manager Administration na konfiguráciu LSC, ako je opísané v príručke Cisco Unified Communications Managerzabezpečenia. Prípadne môžete začať inštaláciu LSC z ponuky Zabezpeč enie v telefóne. Táto ponuka vám tiež umožňuje aktualizovať alebo odstrániť LSC.

Telefóny používajú bezpečnostný profil telefónu, ktorý určuje, či zariadenie nie je zabezpečené alebo bezpečné. Informácie o použití bezpečnostného profilu v telefóne nájdete v dokumentácii pre konkrétne vy Cisco Unified Communications Manager danie.

Ak nastavíte nastavenia súvisiace s bezpečnosťou v nastaveníCisco Unified Communications Manager Administration, konfiguračný súbor telefónu obsahuje citlivé informácie. Ak chcete zabezpečiť súkromie konfigur ačného súboru, musíte ho nakonfigurovať na šifrovanie. Podrobné informácie nájdete v dokumentácii pre konkrétne vy Cisco Unified Communications Manager danie.

Nasledujúca tabuľka poskytuje prehľad bezpečnostných funkcií, ktoré telefóny podporujú. Ďalšie informácie nájdete v dokumentácii pre konkrétne vy Cisco Unified Communications Manager danie.

Nasledujúca tabuľka obsahuje upozornenia a význam aktualizácie zoznamu dôveryhodných údajov. Ďalšie informácie nájdete v Cisco Unified Communications Manager dokumentácii.

Keď je pre telefón implementované zabezpečenie, môžete identifikovať zabezpečené telefónne hovory pomocou ikon na obrazovke telefónu. Môžete tiež určiť, či je pripojený telefón bezpečný a chránený, ak sa na začiatku hovoru prehrá bezpečnostný tón.

V zabezpečenom hovore sú všetky signalizácie hovorov a mediálne toky šifrované. Bezpečný hovor ponúka vysokú úroveň bezpečnosti a poskytuje celistvosť a súkromie hovoru. Keď je prebi ehajúci hovor šifrovaný, môžete vidieť bezpečnostnú ikonu na linke.

V Cisco Unified Communications Manager prípade telefónov nakonfigurovaných ako bezpečné (šifrované a dôveryhodné) môže byť priradený chránený stav. Po ochrane je možné tieto zariadenia nakonfiguro vať tak, aby prehrávali bezpečnostný tón na začiatku každého hovoru.

• Chránené zariadenie:

  Ak chcete zmeniť stav zabezpečeného telefónu na chránený:

  1. V časti Cisco Unified Communications Manager Administration vyberte položky Zariad enie > Telefón.
  2. Vyhľadajte telefón, ktorý nastavíte.
  3. V okne Konfigurácia telefónu začiarknite polí čko Chránené zariadenie.
  4. Kliknite na polož ku Uložiť.

• Prehrať Secure Indication Tone:

  Ak chcete, aby chránený telefón mohol prehrávať zabezpečený alebo nezabezpečený indikačný tón:

  1. V časti Cisco Unified Communications Manager Administration vyberte položky Systém > Parametre služby.
  2. Vyberte server a potom Cisco CallManager službu.
  3. V oblasti Clusterwide Parameters (Funkcia — Zabezpečený tón) nastavte T ón prehrávania na označenie stavu bezpečných/nezabezpečených hovorov na hodnotu True.
  4. Kliknite na polož ku Uložiť.

Pretože všetky zariadenia WLAN, ktoré sú v dosahu, môžu prijímať všetku ostatnú prevádzku WLAN, zabezpečenie hlasovej komunikácie je v sieťach WLAN rozhodujúce. Aby sa zabezpečilo, že votrelci nemanipulujú ani nezachytávajú hlasovú prevádzku, podporuje telefón architektúra Cisco SAFE Security. Ďalšie informácie o zabezpečení v sieťach nájdete na stránke http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Riešenie bezdrôtovej IP telefónie Cisco poskytuje bezpečnosť bezdrôtovej siete, ktorá zabraňuje neoprávnenému prihlasovaniu a ohrozenej komunikácii pomocou nasledujúcich metód autentifikácie, ktoré telefón podporuje.

• Otvorená autentifik ácia: Akékoľvek bezdrôtové zariadenie môže požadovať autentifikáciu v otvorenom systéme. AP, ktorý žiadosť dostane, môže udeliť autentifikáciu ktorémukoľvek žiadateľovi alebo len žiadateľom, ktorí sa nachádzajú v zozname používateľov. Komunikácia medzi bezdrôtovým zariadením a prístupovým bodom (AP) môže byť nešifrovaná.

• Extensible Authentication Protocol — Flexibilná autentifikácia prostredníctvom bezpečného tunelovania (EAP-FAST): Táto bezpečnostná architektúra klient-server šifruje transakcie EAP v rámci tunela zabezpečenia úrovne transportu (TLS) medzi AP a serverom RADIUS, ako je napríklad Identity Services Engine (ISE).

  Tunel TLS používa chránené prístupové poverenia (PAC) na autentifikáciu medzi klientom (telefónom) a serverom RADIUS. Server odošle klientovi (telefón) ID autority (AID), ktorý zase vyberie príslušný PAC. Klient (telefón) vráti PAC-nepriehľadný na server RADIUS. Server dešifruje PAC pomocou primárneho kľúča. Oba koncové body teraz obsahujú kľúč PAC a vytvorí sa tunel TLS. EAP-FAST podporuje automatické poskytovanie PAC, ale musíte ho povoliť na serveri RADIUS.

  V ISE štandardne platnosť PAC vyprší o jeden týždeň. Ak má telefón vypršaný PAC, autentifikácia na serveri RADIUS trvá dlhšie, kým telefón dostane nový PAC. Aby ste predišli oneskoreniu poskytovania PAC, nastavte dobu vypršania platnosti PAC na serveri ISE alebo RADIUS na 90 dní alebo dlhšie.

• Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) Autentifikácia: EAP-TLS vyžaduje certifikát klienta na autentifik áciu a prístup k sieti. Pre bezdrôtové EAP-TLS môže byť klientskym certifikátom MIC, LSC alebo certifikát nainštalovaný používateľom.

• Protected Extensible Authentication Protocol (PEAP): Proprietárna schéma vzájomnej autentifikácie založená na hesle spoločnosti Cisco medzi klientom (telefónom) a serverom RADIUS. Telefón môže používať PEAP na autentifikáciu v bezdrôtovej sieti. Podporované sú metódy overovania PEAP-MSCHAPV2 aj PEAP-GTC.

• Predzdieľaný kľúč (PSK): Telefón podporuje formáty ASCII a hexadecimálne (HEX). Tieto formáty musíte použiť pri nastavovaní predzdieľaného kľúča WPA2/SAE.

  ASCII: Re ťazec znakov ASCII s dĺžkou 8 až 63 znakov (0-9, malé písmená a-z, veľké písmen á A-Z a špeciálne znaky). Napríklad, GREG123567@9ZX&W.

  HEX: Reťazec znakov Hex s dĺžkou 64 šesťhranných číslic (0-9, a-f alebo A-F).

Nasledujúce schémy overovania používajú server RADIUS na správu autentifikačných kľúčov:

• WPA2/WPA3: Používa informácie o serveri RADIUS na generovanie jedinečných kľúčov na autentifikáciu. Keďže tieto kľúče sú generované na centralizovanom serveri RADIUS, WPA2/WPA3 poskytuje väčšiu bezpečnosť ako predzdieľané kľúče WPA, ktoré sú uložené v AP a telefóne.

• Rýchly bezpečný roaming: Na správu a autentifikáciu kľúčov používa server RADIUS a informácie o bezdrôtovom doménovom serveri (WDS). WDS vytvára vyrovnávaciu pamäť bezpečnostných poverení pre klientske zariadenia s podporou FT pre rýchlu a bezpečnú opätovnú autentifikáciu.

Pri WPA2/WPA3 sa šifrovacie kľúče nezadávajú do telefónu, ale sú automaticky odvodené medzi AP a telefónom. Používateľské meno a heslo EAP, ktoré sa používajú na autentifikáciu, sa však musia zadať do každého telefónu.

Na ochranu hlasovej prevádzky cez bezdrôtové prepojenie telefón podporuje šifrovanie založené na AES pre autentifikáciu WPA2/WPA3. AES je symetrická bloková šifra štandardizovaná spoločnosťou NIST. AES používa pevnú 128-bitovú veľkosť bloku a podporuje veľkosti kľúčov 128 bitov, 192 bitov a 256 bitov. V sieťach Wi-Fi používajú AES šifrové sady, ako sú CCMP alebo GCMP, zatiaľ čo autentifikáciu poskytujú samostatne PSK, SAE alebo 802.1X/EAP, v závislosti od nakonfigurovaného bezpečnostného režimu WLAN. Podporovaná šifrovacia sada a veľkosť kľúča závisia od modelu telefónu a konfigurácie WLAN.

Keď telefón používa šifrovanie AES, medzi AP a telefónom sú šifrované signálne pakety SIP aj pakety hlasového protokolu v reálnom čase transportného protokolu (RTP).

Schémy autentifikácie a šifrovania sú nastavené v rámci bezdrôtovej siete LAN. VLAN sú nakonfigurované v sieti a na AP a špecifikujú rôzne kombinácie autentifikácie a šifrovania. SSID sa spája s VLAN a konkrétnou schémou autentifikácie a šifrovania. Aby sa bezdrôtové klientske zariadenia mohli úspešne overovať, musíte nakonfigurovať rovnaké SSID s ich schémami autentifikácie a šifrovania na prístupoch a v telefóne.

Niektoré schémy autentifikácie vyžadujú špecifické typy šifrovania.

Schémy autentifikácie a šifrovania v nasledujúcej tabuľke zobrazujú možnosti konfigurácie siete pre bezdrôtový telefón Cisco 9821, ktoré zodpovedajú konfigurácii AP.

Cisco Wireless Phone 9821 podporuje 802.1X autentifikáciu pre káblové siete. Toto sa zvyčajne používa pri automatickom poskytovaní, keď je telefón pripojený k stolnej nabíja čke prostredníctvom podporovaného adaptéra USB-to-Ethernet.

Podpora autentifikácie 802.1X v káblových sieťach vyžaduje niekoľko nasledujúcich komponentov:

• Cisco IP Phone: Telefón iniciuje žiadosť o prístup do siete. Telefóny Cisco IP obsahujú 802.1X aplikáciu. Táto prosba umožňuje správcom siete ovládať pripojenie telefónov IP k portom prepínača LAN. Aktuálne vydanie telefónu 802.1X supplicant využíva možnosti EAP-FAST a EAP-TLS pre autentifikáciu siete.

• Autentifikačný server: Autentifikačný server aj prepínač musia byť nakonfigurované so zdieľaným tajomstvom RADIUS.

• Prepínač: Prepínač musí podporovať 802.1X, aby mohol fungovať ako autentifikátor a prenášať správy EAP medzi telefónom a autentifikačným serverom. Po dokončení výmeny prepínač udelí alebo odmietne prístup telefónu do siete.

Cisco IP Phones a Cisco Catalyst prepínače tradične používajú Cisco Discovery Protocol (CDP) na vzájomnú identifikáciu a určovanie parametrov, ako je alokácia VLAN a požiadavky na napájanie v linke.

Ak chcete nakonfigurovať 802.1X, musíte vykonať nasledujúce akcie.

• Nakonfigurujte CDP/LLDP hlasový obtok VLAN.

• Pred povolením autentifikácie 802.1X pre káblové siete v telefóne nakonfigur ujte autentifikačný server a prepínač.

• Konfigurácia hlasovej siete VLAN: Pretože štandard 802.1X nezohľadňuje VLAN, mali by ste toto nastavenie nakonfigurovať na základe podpory prepínača.

  • Povolené: Ak používate prepínač, ktorý podporuje autentifikáciu viacerých domén, môžete ho nakonfigurovať tak, aby používal hlasovú VLAN.
  • Zakázané: Ak prepínač nepodporuje autentifikáciu viacerých domén, vypnite hlasovú VLAN a zvážte priradenie portu natívnej VLAN.

• Bezdrôtový telefón Cisco 9821 má v PID inú predponu ako pre ostatné telefóny Cisco. Ak chcete, aby váš telefón mohol prejsť autentifikáciou 802.1X, nastavte parameter Radius · UserName tak, aby zahrnul váš bezdrô tový telefón Cisco 9821.

  Napríklad PID bezdrôtového telefónu Cisco 9821 je WP-9821. Radius·Užívateľské meno môžete nastaviť na Start with WPalebo Contains WPv oboch nasledujúcich sekciách:

  • Pravidlá > Pod mienky > Podmi enky knižnice

  • Politika > Sú bory politík > Politika autorizácie > Pravid lo autorizácie 1