Fyzická bezpečnosť

Je dôležité zabezpečiť fyzickú bezpečnosť miestnostiam Equinix Meet-Me Room a zariadeniam Cisco Dedicated Instance Data Center. Ak je fyzická bezpečnosť ohrozená, môžu sa začať jednoduché útoky, ako napríklad prerušenie služby vypnutím napájania prepínačov zákazníka. S fyzickým prístupom mohli útočníci získať prístup k serverovým zariadeniam, obnoviť heslá a získať prístup k prepínačom. Fyzický prístup tiež uľahčuje sofistikovanejšie útoky, ako sú útoky typu man-in-the-middle, a preto je druhá bezpečnostná vrstva, sieťová bezpečnosť, rozhodujúca.

Samošifrujúce jednotky sa používajú v dátových centrách vyhradených inštancií, ktoré hostia aplikácie UC.

Ďalšie informácie o všeobecných bezpečnostných postupoch nájdete v dokumentácii na nasledujúcom mieste: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Zabezpečenie siete

Partneri musia zabezpečiť, aby všetky prvky siete boli zabezpečené v infraštruktúre dedikovanej inštancie (ktorá sa spája cez Equinix). Partner je zodpovedný za zabezpečenie osvedčených postupov v oblasti bezpečnosti, ako napríklad:

• Samostatná sieť VLAN pre hlas a dáta

• Povoliť zabezpečenie portov, ktoré obmedzuje počet povolených adries MAC na port, proti zaplaveniu tabuľky CAM

• Ochrana zdroja IP pred podvodnými adresami IP

• Dynamic ARP Inspection (DAI) skúma protokol rozlíšenia adries (ARP) a bezplatný ARP (GARP) na porušenie (proti spoofingu ARP)

• 802.1x obmedzuje prístup k sieti na autentifikáciu zariadení na priradených VLAN (telefóny podporujú 802.1x)

• Konfigurácia kvality služby (QoS) pre vhodné označovanie hlasových paketov

• Konfigurácie portov Firewall na blokovanie akejkoľvek inej prevádzky

Zabezpečenie koncových bodov

Koncové body spoločnosti Cisco podporujú predvolené bezpečnostné funkcie, ako je podpísaný firmvér, zabezpečené zavádzanie (vybrané modely), certifikát nainštalovaný výrobcom (MIC) a podpísané konfiguračné súbory, ktoré poskytujú určitú úroveň zabezpečenia pre koncové body.

Okrem toho môže partner alebo zákazník povoliť dodatočné zabezpečenie, ako napríklad:

• Šifrovanie telefónnych služieb IP (cez HTTPS) pre služby, ako sú Extension Mobility

• Vydávajte miestne významné certifikáty (LSC) z funkcie proxy orgánu certifikátu (CAPF) alebo verejného certifikačného orgánu (CA)

• Šifrovanie konfiguračných súborov

• Šifrovanie médií a signalizácie

• Vypnite tieto nastavenia, ak sa nepoužívajú: PC port, PC Voice VLAN Access, bezplatný ARP, Web Access, tlačidlo nastavení, SSH, konzola

Implementácia bezpečnostných mechanizmov v špecializovanej inštancii zabraňuje krádeži identity telefónov a Unified CM servera, manipulácii s údajmi a signalizácii volania/manipulácii s mediálnym prúdom.

Vyhradená inštancia cez sieť:

• Vytvára a udržiava overené komunikačné toky

• Digitálne podpisuje súbory pred prenosom súboru do telefónu

• Šifruje mediálne toky a signalizáciu hovorov medzi telefónmi Cisco Unified IP

Zabezpečenie v predvolenom nastavení poskytuje nasledujúce automatické bezpečnostné funkcie pre telefóny Cisco Unified IP:

• Podpisovanie konfiguračných súborov telefónu

• Podpora šifrovania konfiguračných súborov telefónu

• HTTPS s Tomcat a inými webovými službami (MIDLets)

V prípade Unified CM novšej verzie 8.0 sú tieto bezpečnostné funkcie predvolene poskytované bez spustenia klienta Certificate Trust List (CTL).

Pretože v sieti existuje veľké množstvo telefónov a telefóny IP majú obmedzenú pamäť, Cisco Unified CM funguje ako vzdialený úložný priestor dôvery prostredníctvom služby overovania dôvery (TVS), takže na každom telefóne nemusí byť umiestnený úložisko dôveryhodnosti certifikátov. IP telefóny Cisco kontaktujú server TVS na overenie, pretože nemôžu overiť podpis alebo certifikát prostredníctvom súborov CTL alebo ITL. Mať centrálny obchod s dôveryhodnosťou je jednoduchšie spravovať ako mať úložisko dôvery na každom telefóne Cisco Unified IP.

TVS umožňuje telefónom Cisco Unified IP overovať aplikačné servery, ako sú služby EM, adresár a MIDlet, počas vytvárania HTTPS.

Súbor Počiatočný zoznam dôveryhodnosti (ITL) sa používa pre počiatočné zabezpečenie, aby koncové body mohli dôverovať. Cisco Unified CM ITL nepotrebuje žiadne bezpečnostné funkcie, aby boli výslovne povolené. Súbor ITL sa automaticky vytvorí po nainštalovaní klastra. Súkrom Unified CM ný kľúč servera Trivial File Transfer Protocol (TFTP) sa používa na podpísanie súboru ITL.

Ak je Cisco Unified CM klaster alebo server v nezabezpečenom režime, súbor ITL sa stiahne do každého podporovaného telefónu Cisco IP. Partner môže zobraziť obsah súboru ITL pomocou príkazu CLI, admin: show itl.

Telefóny Cisco IP potrebujú súbor ITL na vykonávanie nasledujúcich úloh:

• Bezpečná komunikácia s CAPF, predpokladom podpory šifrovania konfiguračného súboru

• Autentifikácia podpisu konfiguračného súboru

• Autentifikujte aplikačné servery, ako sú služby EM, adresár a MIDlet počas vytvárania HTTPS pomocou TVS

Autentifikácia zariadení, súborov a signalizácie sa spolieha na vytvorenie súboru CTL (Certificate Trust List), ktorý sa vytvorí, keď partner alebo zákazník nainštaluje a konfiguruje klienta Cisco Certificate Trust List.

Súbor CTL obsahuje položky pre nasledujúce servery alebo bezpečnostné tokeny:

• Bezpečnostný token správcu systému (SAST)

• Cisco CallManagera služby Cisco TFTP, ktoré sú spustené na rovnakom serveri

• Certificate AuthorityFunkcia proxy (CAPF)

• TFTP server (y)

• ASA firewall

Súbor CTL obsahuje certifikát servera, verejný kľúč, sériové číslo, podpis, názov vydavateľa, názov predmetu, funkciu servera, názov DNS a adresu IP pre každý server.

Zabezpečenie telefónu s CTL poskytuje nasledujúce funkcie:

• Autentifikácia stiahnutých súborov TFTP (konfigurácia, miestne nastavenia, zoznam zvonení atď.) pomocou podpisovacieho kľúča

• Šifrovanie konfiguračných súborov TFTP pomocou podpisovacieho kľúča

• Šifrovaná signalizácia hovorov pre IP telefóny

• Šifrovaný zvuk hovorov (médiá) pre telefóny IP

Dedikovaná inštancia poskytuje registráciu koncových bodov a spracovanie hovorov. Signalizácia medzi koncovými bodmi Cisco Unified CM a koncovými bodmi je založená na Secure Skinny Client Control Protocol (SCCP) alebo protokole iniciácie relácie (SIP) a môže byť šifrovaná pomocou zabezpečenia transportnej vrstvy (TLS). Médiá z/do koncových bodov sú založené na reálnom čase Transport Protocol (RTP) a môžu byť tiež šifrované pomocou Secure RTP (SRTP).

Zapnutie zmiešaného režimu Unified CM umožňuje šifrovanie signalizácie a mediálnej prevádzky z a do koncových bodov Cisco.

Bezpečné aplikácie UC

Zmiešaný režim je predvolene povolený v Dedikovanej inštancii.

Povolenie zmiešaného režimu v aplikácii Dedikovaná inštancia umožňuje vykonávať šifrovanie signalizácie a mediálnej prevádzky z koncových bodov Cisco a do nich.

Od vy Cisco Unified CM dania 12.5 (1) bola pre klientov Jabber a Webex pridaná nová možnosť umožňujúca šifrovanie signalizácie a médií založených na SIP OAuth namiesto zmiešaného režimu/CTL. Preto vo vy daní Unified CM 12.5 (1) môžu byť SIP OAuth a SRTP použité na umožnenie šifrovania signalizácie a médií pre klientov Jabber alebo Webex. Povolenie zmiešaného režimu je v súčasnosti potrebné pre telefóny Cisco IP a ďalšie koncové body spoločnosti Cis co. Existuje plán pridať podporu pre SIP OAuth v 7800/8800 koncových bodoch v budúcom vydaní.

Zabezpečenie komunikácie medzi Cisco Unified CM a CUBE

Pre bezpečnú komunikáciu medzi spoločnosťou Cisco Unified CM CUBE musia partneri/zákazníci používať buď samopodpísaný certifikát alebo certifikáty podpísané CA.

Pre samopodpísané certifikáty:

1. CUBE a Cisco Unified CM generujte samopodpísané certifikáty

2. CUBE exportuje certifikát do Cisco Unified CM

3. Cisco Unified CMvyváža certifikát do CUBE

Pre certifikáty podpísané CA:

1. Klient vygeneruje pár kľúčov a odošle žiadosť o podpis certifikátu (CSR) spoločnosti (CA) Certificate Authority

2. CA ho podpíše svojím súkromným kľúčom a vytvorí certifikát totožnosti

3. Klient nainštaluje zoznam dôveryhodných certifikátov CA root a sprostredkovateľských certifikátov a certifikát totožnosti

Zhrnutie protokolu

Nasledujúca tabuľka zobrazuje protokoly a súvisiace služby používané v Unified CM riešení.

Ďalšie informácie o konfigurácii MRA nájdete v časti Scenáre nasadenia MRA v príručke Mobile and Through Deplo Cisco Expressway yment Remote Access Gu ide.

Zabezpečenie Jabber a Webex pomocou SIP OAuth

Klienti Jabber a Webex sú overovaní prostredníctvom tokenu OAuth namiesto lokálne významného certifikátu (LSC), ktorý nevyžaduje povolenie funkcie proxy certifikátu autority (CAPF) (aj pre MRA). SIP OAuth pracujúci so zmiešaným režimom alebo bez neho bol predstavený v verziách Cisco Unified CM 12.5 (1) a novších, Jabber 12.5 a novších a Expressway X12.5.

V verziách Cisco Unified CM 12.5 a novších máme novú možnosť v Phone Security Profile, ktorá umožňuje šifrovanie bez LSC/CAPF pomocou jediného tokenu Transport Layer Security (TLS) + OAuth v SIP REGISTER. Uzly Expressway-C používajú rozhranie API Administrative XML Web Service (AXL) na informovanie o SN/SAN vo Cisco Unified CM svojom certifikáte. Cisco Unified CMpoužíva tieto informácie na overenie certifikátu Exp-C pri vytváraní vzájomného pripojenia TLS.

SIP OAuth umožňuje šifrovanie médií a signalizácie bez certifikátu koncového bodu (LSC).

Cisco Jabberpoužíva efemerné porty a zabezpečené porty 6971 a 6972 porty prostredníctvom pripojenia HTTPS k serveru TFTP na stiahnutie konfiguračných súborov. Port 6970 je nezabezpečený port na stiahnutie cez HTTP.

Viac informácií o konfigurácii SIP OAuth: SIP O Auth Mode.