- Domov
- /
- Článok
Ďakujeme za vašu spätnú väzbu.
V tomto článku
Spätná väzba?Spoločnosť Cisco odstraňuje dôveru v určité koreňové CA používané na overenie bezpečných pripojení SIP po bezpečnostnom incidente eMuDHRA certifikačnej autority (CA) v októbri 2026. Presadzovanie dotknutých Webex Meetings SIP integrácií sa plánuje začať 2. novembra 2026. Zavedenie sa môže uskutočňovať postupne. Naplánujte si dokončenie zmien do 2. novembra. Zákazníci, ktorých certifikačné reťazce závisia od nedôveryhodných orgánov, musia nahradiť dotknutý certifikát alebo reťazec. V opačnom prípade postihnuté zabezpečené pripojenie SIP zlyhá autentifikácia TLS, keď sa pre toto pripojenie vynúti aktualizovaná politika dôveryhodnosti.
Čo môže byť ovplyvnené
Integrácie
-
Webex MeetingsEdge Audio: Vyvolanie a vytáčanie stretnutí prostredníctvom postihnutých podnikových SIP pripojení prestanú fungovať, keď presadzovanie dosiahne tieto pripojenia.
-
Konferenčné miestnosti pre spoluprácu (CMR): Pripojenie video zariadení založených na SIP prostredníctvom postihnutých zabezpečených pripojení SIP zlyhá, keď presadzovanie dosiahne tieto pripojenia.
-
Infraštruktúra spravovaná zákazníkom môže zahŕňať Cisco CUBE, Expressway-E a ďalšie kontroléry hraníc relácie (SBC). Preskúmajte primárne aj redundantné systémy.
Tieto zmeny sa zameriavajú na integrácie SIP pomocou dotknutých reťazcov certifikátov; iné metódy prístupu k schôdzam nezávisia od rovnakej cesty certifikátu SIP spravovanej zákazníkom.
Certifikačné orgány
Skontrolujte reťazce certifikátov, ktoré závisia od ktoréhokoľvek z nasledujúcich orgánov:
-
Koreňový eMsign TLS CA - G3
-
EMSign ECC Root CA - G3
-
Koreňový eMsign CS CA - G3
-
Služby certifikátov AAA (koreňové služby Comodo AAA Services)
AAA Certificate Services neboli ohrozené, ale krížovo podpísali dotknuté medziprodukty eMuDHRA a sú zahrnuté v tejto bezpečnostnej reakcii. Niektoré certifikáty vydané spoločnosťou Sectigo môžu používať krížovú certifikačnú cestu AAA, aj keď samotné certifikáty zákazníkov Sectigo neboli ohrozené.
EmSign Root CA - G1 nie je zahrnutý v tejto zmene nedôvery. Nevymieňajte ani neodstraň ujte certifikáty len preto, že používajú G1.
Skontrolujte a vymeňte dotknuté certifikáty alebo reťazce
| 1 |
Identifikujte CUBE, Expressway-E alebo SBC použité pre dotknutú integráciu stretnutí Edge Audio alebo SIP. Zaznamenajte skutočný názov hostiteľa a nakonfigurovaný port SIP TLS. Potom skontrolujte certifikát totožnosti TLS nainštalovaný v danom systéme a všetky sprievodné prechodné certifikáty CA. Na Expressway-E je možné nainštalovaný certifikát servera zobraziť v časti Ú . V prípade CUBE a iných SBC použite príslušný postup kontroly certifikátov dodávateľa. Opakujte pre zálohové a redundantné systémy. |
| 2 |
Z počítača s nainštalovaným OpenSSL a sieťovým prístupom k poslucháču SIP TLS spustite príslušný príklad:
Nahraďte príklad názvu hostiteľa a portu skutočným koncovým bodom SIP TLS; port sa môže líšiť podľa nasadenia. Ak je prístup prichádzajúceho TLS obmedzený, spustite kontrolu z autorizovaného systému správy. Na Expressway-E môže SIP TLS port používaný s Webex vyžadovať klientsky certifikát. Príkaz sa potom môže skončiť chybou, ale reťazec certifikátov sa stále zobrazuje. Skontrolujte záznamy v reťazci certifikátov vrátane subjektu (-ov:) a vydavateľa (i:). Vy hľadajte ktorýkoľvek zo štyroch dotknutých názvov CA vrátane certifikátu UserTrust RSA Certification Authority vydan ého spoločnosťou AAA Certification Services. Príklad dotknutej krížovo podpísanej reťazcovej položky:
|
| 3 |
Interpretujte zistenia:
|
| 4 |
Kontaktujte svojho poskytovateľa certifikátov alebo predajcu certifikátov a získajte náhradný certifikát alebo alternatívny certifikačný reťazec končiaci koreňom, ktorý nie je uvedený vyššie. Požiadajte poskytovateľa, aby potvrdil, že náhradný reťazec je vhodný pre integráciu Webex SIP.
Znovu skontrolujte nainštalovaný reťazec, aby ste skontrolovali, či už nezávisí od nedôveryhodných orgánov.
|
| 5 |
Overte pripojenie schôdze:
Ak pretrvávajú problémy s pripojením certifikátu alebo SIP, obráťte sa na svojho partnera Cisco alebo Cisco Technical Assistance Center (TAC). Uveďte ID organizácie Webex, dotknutú službu , dotknutý systém a názov hostiteľa SIP, podrobnosti o reťazci certifikátov a akékoľvek chybové hlásenia TLS alebo SIP. Nezdieľajte súkromné kľúče. |
Súvisiace informácie
Ďalšie informácie nájdete v nasledujúcom texte:
