Fizična varnost

Pomembno je zagotoviti fizično varnost lokacij Equinix Meet-Me Room in objektov Cisco namenskega podatkovnega centra. Kadar je fizična varnost ogrožena, se lahko sprožijo preprosti napadi, kot so motnje v storitvah z izklopom napajanja strankovih stikal. S fizičnim dostopom lahko napadalci dostopajo do strežniških naprav, ponastavijo gesla in pridobijo dostop do stikal. Fizični dostop olajša tudi bolj izpopolnjene napade, kot so napadi človek-in-the-middle, zato je drugi varnostni sloj, varnost omrežja, ključnega pomena.

Samošifrirajoči pogoni se uporabljajo v podatkovnih centrih namenskih primerkov, ki gostijo aplikacije UC.

Za več informacij o splošnih varnostnih praksah glejte dokumentacijo na naslednji lokaciji: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Omrežna varnost

Partnerji morajo zagotoviti, da so vsi omrežni elementi zaščiteni v infrastrukturi namenskih primerkov (ki se povezuje prek Equinixa). Partner je odgovoren za zagotavljanje najboljših varnostnih praks, kot so:

• Ločen VLAN za glas in podatke

• Omogoči varnost vrat, ki omejuje število dovoljenih naslovov MAC na vrata, proti poplavljanju tabele CAM

• Zaščita vira IP pred lažnimi naslovi IP

• Dynamic ARP Inspection (DAI) preučuje protokol za reševanje naslovov (ARP) in brezplačni ARP (GARP) zaradi kršitev (proti lažnemu ARP)

• 802.1x omejuje dostop do omrežja za preverjanje pristnosti naprav na dodeljenih VLAN omrežjih (telefoni podpirajo 802.1x)

• Konfiguracija kakovosti storitve (QoS) za ustrezno označevanje glasovnih paketov

• Konfiguracije vrat požarnega zidu za blokiranje kakršnega koli drugega prometa

Varnost končnih točk

Ciscove končne točke podpirajo privzete varnostne funkcije, kot so podpisana vdelana programska oprema, varen zagon (izbrani modeli), certifikat, nameščen proizvajalec (MIC) in podpisane konfiguracijske datoteke, ki zagotavljajo določeno raven varnosti za končne točke.

Poleg tega lahko partner ali stranka omogoči dodatno varnost, kot so:

• Šifrirajte storitve IP telefona (prek HTTPS) za storitve, kot so Extension Mobility

• Izdaja lokalno pomembnih certifikatov (LSC) iz funkcije pooblaščenega organa za certificiranje (CAPF) ali javnega organa za potrjevanje (CA)

• Šifriranje konfiguracijskih datotek

• Šifriranje medijev in signalizacije

• Onemogočite te nastavitve, če se ne uporabljajo: vrata računalnika, PC Voice VLAN Access, Brezplačen ARP, spletni dostop, gumb za nastavitve, SSH, konzola

Uvedba varnostnih mehanizmov v namenski instanci preprečuje krajo identitete telefonov in Unified CM strežnika, poseganje podatkov in signalizacijo klica/poseganje medijskih tokov.

Namenski primerek prek omrežja:

• Vzpostavlja in vzdržuje pristne komunikacijske tokove

• Digitalno podpiše datoteke, preden datoteko prenesete v telefon

• Šifrira medijske tokove in signalizacijo klicev med Cisco Unified IP telefoni

Varnost privzeto zagotavlja naslednje samodejne varnostne funkcije za telefone Cisco Unified IP:

• Podpis konfiguracijskih datotek telefona

• Podpora za šifriranje konfiguracijskih datotek telefona

• HTTPS s Tomcatom in drugimi spletnimi storitvami (MIDLets)

Za no Unified CM vejšo izdajo 8.0 so te varnostne funkcije privzeto na voljo brez zagona odjemalca Certificate Trust List (CTL).

Ker je v omrežju veliko telefonov in imajo telefoni IP omejen pomnilnik, Cisco Unified CM deluje kot oddaljena trgovina zaupanja prek storitve preverjanja zaupanja (TVS), tako da na vsak telefon ni treba namestiti skladišča zaupanja s certifikati. Ciscovi IP telefoni se obrnejo na strežnik TVS za preverjanje, ker ne morejo preveriti podpisa ali potrdila prek datotek CTL ali ITL. Imeti osrednjo trgovino zaupanja je lažje upravljati kot imeti trgovino zaupanja v vsakem telefonu Cisco Unified IP.

TVS omogoča Cisco Unified IP telefonom, da med vzpostavitvijo HTTPS preverjajo pristnost aplikacijskih strežnikov, kot so storitve EM, imenik in MIDlet.

Datoteka začetnega lista zaupanja (ITL) se uporablja za začetno varnost, tako da lahko končne točke zaupajo. Cisco Unified CM ITL ne potrebuje nobenih varnostnih funkcij, da bi bile izrecno omogočene. Datoteka ITL se samodejno ustvari, ko je grozd nameščen. Zasebni ključ strežnika Unified CM Trivial File Transfer Protocol (TFTP) se uporablja za podpis datoteke ITL.

Ko je Cisco Unified CM grozd ali strežnik v nevarnem načinu, se datoteka ITL prenese na vsak podprt telefon Cisco IP. Partner si lahko ogle da vsebino datoteke ITL z ukazom CLI admin: show itl.

Cisco IP telefoni potrebujejo datoteko ITL za izvajanje naslednjih nalog:

• Varno komunicirajte s CAPF, kar je predpogoj za podporo šifriranja konfiguracijske datoteke

• Preverite podpis konfiguracijske datoteke

• Med vzpostavitvijo HTTPS z uporabo TVS preverite pristnost aplikacijskih strežnikov, kot so storitve EM, imenik in MIDlet

Preverjanje pristnosti naprav, datotek in signalov temelji na ustvarjanju datoteke CTL (Certificate Trust List List), ki se ustvari, ko partner ali stranka namesti in konfigurira odjemalca Cisco Certificate Trust List.

Datoteka CTL vsebuje vnose za naslednje strežnike ali varnostne žetone:

• Varnostni žeton sistemskega skrbnika (SAST)

• Cisco CallManagerin Cisco TFTP storitve, ki delujejo na istem strežniku

• Certificate AuthorityFunkcija proxy (CAPF)

• TFTP strežnik (i)

• Požarni zid ASA

Datoteka CTL vsebuje potrdilo strežnika, javni ključ, serijsko številko, podpis, ime izdajatelja, ime predmeta, funkcijo strežnika, ime DNS in naslov IP za vsak strežnik.

Varnost telefona s CTL zagotavlja naslednje funkcije:

• Preverjanje pristnosti prenesenih datotek TFTP (konfiguracija, lokalna nastavitev, seznam zvonjenja itd.) s tipko za podpisovanje

• Šifriranje konfiguracijskih datotek TFTP z uporabo podpisnega ključa

• Šifrirana signalizacija klicev za IP telefone

• Šifrirani zvok klicev (medij) za telefone IP

Namenski primerek omogoča registracijo končnih točk in obdelavo klicev. Signalizacija med Cisco Unified CM in končnimi točkami temelji na protokolu Secure Skinny Client Control Protocol (SCCP) ali protokolu za iniciacijo seje (SIP) in se lahko šifrira s pomočjo Transport Layer Security (TLS). Mediji od/do končnih točk temeljijo na Real-Time Transport Protocol (RTP) in jih je mogoče šifrirati tudi s pomočjo Secure RTP (SRTP).

Omogočanje mešanega načina Unified CM omogoča šifriranje signalnega in medijskega prometa od in do končnih točk Cisco.

Varne aplikacije UC

Mešani način je privzeto omogočen v namenskem primeru.

Omogočanje mešanega načina v namenski instanci omogoča šifriranje signalnega in medijskega prometa od in do končnih točk Cisco.

Od Cisco Unified CM izdaje 12.5 (1) je bila za odjemalce Jabber in Webex dodana nova možnost za omogočanje šifriranja signalizacije in medijev, ki temeljijo na SIP OAuth namesto mešanega načina/CTL. Zato se lahko v Unified CM izdaji 12.5 (1) SIP OAuth in SRTP uporabita za omogočanje šifriranja za signalizacijo in medije za odjemalce Jabber ali Webex. Omogočanje mešanega načina je trenutno še vedno potrebno za telefone Cisco IP in druge Ciscove kon čne točke. Obstaja načrt za dodajanje podpore za SIP OAuth v končnih točkah 7800/8800 v prihodnji izdaji.

Zaščita komunikacije med Cisco Unified CM in CUBE

Za varno komunikacijo med podjet Cisco Unified CM jem CUBE morajo partnerji/stranke uporabljati samopodpisano potrdilo ali potrdila, podpisana CA.

Za samopodpisana potrdila:

1. CUBE in Cisco Unified CM ustvarite samopodpisana potrdila

2. CUBE izvozi certifikat v Cisco Unified CM

3. Cisco Unified CMizvozno potrdilo v CUBE

Za potrdila s podpisom CA:

1. Odjemalec ustvari par ključev in pošlje zahtevo za podpisovanje potrdil (CSR) podjetju (CACertificate Authority)

2. CA ga podpiše s svojim zasebnim ključem in ustvari potrdilo o identiteti

3. Naročnik namesti seznam zaupanja vrednih certifikatov o korenskih in posredniških certifikatih ter potrdilo o identiteti

Povzetek protokola

Naslednja tabela prikazuje protokole in povezane storitve, uporabljene v Unified CM rešitvi.

Če želite več informacij o konfiguraciji MRA, glejte: Razdelek Scenariji uvajanja MRA v Vodniku za mobilno uporabo in Remote Access prek uporabe Cisco Expressway .

Zaščita Jabber in Webex s SIP OAuth

Odjemalci Jabber in Webex se overjajo prek žetona OAuth namesto lokalno pomembnega certifikata (LSC), ki ne zahteva omogočanja funkcije proxy certifikata (CAPF) (tudi za MRA). SIP OAuth, ki deluje z mešanim načinom ali brez njega, je bil uveden v Cisco Unified CM 12.5 (1) in kasnejših, Jabber 12.5 in novejših ter Expressway X12.5.

V Cisco Unified CM 12.5 in novejših različicah imamo v telefonu varnostni profil novo možnost, ki omogoča šifriranje brez LSC/CAPF z uporabo enega žetona Transport Layer Security (TLS) + OAuth v registru SIP. Vozlišča Expressway-C uporabljajo API Administrative XML Web Service (AXL) za obveščanje o SN/SAN v Cisco Unified CM svojem potrdilu. Cisco Unified CMuporablja te podatke za potrditev certifikata Exp-C pri vzpostavljanju medsebojne povezave TLS.

SIP OAuth omogoča šifriranje medijev in signalov brez certifikata končne točke (LSC).

Cisco Jabberuporablja efemerna vrata in varna vrata 6971 in 6972 prek povezave HTTPS s strežnikom TFTP za prenos konfiguracijskih datotek. Vrata 6970 so nevarna vrata za prenos prek HTTP.

Več podrobnosti o konfiguraciji SIP OAuth: SIP O Auth način.