Zahtevani ukrepi: varnostna posodobitev organa za certifikate eMuDHRA za lokalni prehodi Webex Calling

Po varnostnem incidentu certifikacijskega organa eMudhra (CA) oktobra 2026 je Webex Calling odstranilo zaupanje v štiri korenske CA. Če je vaš osnovni sistem lokalnega prehoda, ki temelji na certifikatih, odvisen od enega od teh organov, zamenjajte zadevno potrdilo ali verigo, da ohranite varno povezljivost TLS. Če je prizadeti sistem brez povezave, lahko dohodni in izhodni klici PSTN ter krajevne integracije, ki so odvisne od njega, morda niso na voljo.

Prizadeta korenska potrdila so:

Koren emSign TLS CA - G3
EMSign ECC Root CA - G3
Koren emSign CS CA - G3
Storitve certifikatov AAA (korenska storitev Comodo AAA)

AAA certifikacijske storitve niso bile ogrožene. Vendar je navzkrižno podpisal prizadete vmesne agencije Emudhra, s čimer je zagotovil nadomestno pot zaupanja ogroženim certifikatom.

To vpliva na stranke, ki uporabljajo sklope lokalnega prehoda (LGW), ki temeljijo na certifikatih, katerih certifikacijske verige so odvisne od teh organov. To vključuje certifikate, ki jih izdaja Sectigo, ki se povezujejo s certifikacijskimi storitvami AAA prek UserTrust.

Webex Callingzdaj zavrača povezave TLS iz prizadetih lokalnih prehodov. Dohodni in izhodni klici PSTN ter integracije krajevnih klicev, ki se zanašajo na te prehode, ne bodo uspeli.

V pooblaščenem računalniku, ki lahko doseže vrata SIP TLS prehoda, zaženite ustrezni ukaz. Zamenjajte lgw.example.com in 5061 z imenom gostitelja prehoda in vrata TLS. Če je zunanji dostop omejen, zaženite ukaz s pooblaščenim gostiteljem notranjega upravljanja.

Linux ali macOS:

openssl s_client -connect lgw.example.com:5061 -showcerts </dev/null

Ukazni poziv sistema Windows:

openssl s_client -connect lgw.example.com:5061 -showcerts <NUL

Preden začnete

Za ogled debla organizacije potrebujete dostop do nadzornega središča z dovoljenjem.
Ime gostitelja prehoda in vrata SIP TLS za vsak primarni, odvečni in varnostni prehod.
Dostop do pooblaščenega računalnika z OpenSSL, ki lahko doseže vsako končno točko prehoda.

Prepoznajte svoje prtljažnike Local Gateway.

V nadzornem središču pojdite na Stor itve > PSTN in usmerjanje > Konfiguracije prehoda > Trunk.
Za stranke, ki uporabljajo Cisco Calling Plan, je seznam prtljažnikov na voljo tudi v storitvah Stor itev > Klicanje > Usmerjanje k licev > T run k.
Prepoznajte trase, ki temeljijo na certifikatih, in zabeležite konfiguriran naslov FQDN ali SRV, ime gostitelja prehoda in vrata SIP TLS. Ponovite za odvečne in varnostne prehode.

Preglejte verigo certifikatov vsakega prehoda.

Zaženite ustrezen ukaz OpenSSL. Izhod prikazuje potrdila, ki jih predloži lokalni prehod; ne preverja samostojno celotne verige glede na trgo Webex Calling vino zaupanja.
Napaka pri stiskanju roke TLS ali neuspešno preverjanje OpenSSL ne dokazuje, da ta posodobitev zaupanja vpliva na prehod.

Preglejte subjekte in izdajatelje certifikatov.

V razdelku Veriga potrdil preglejte predmet (-e:) in izdajatelja (i:) vsakega certifikata. Preverite splošno ime (KN) in vsak vnos v verigo za zgoraj navedene organe, ki jim ne zaupajo.
Na primer, vnos s temo CN=UserTrust RSA Certification Authority in izdajatelj CN=AAA Certificate Services označuje potrdilo, ki ga je izdalo AAA Certificate Services.

Razlagajte rezultate inšpekcijskih pregledov.

Rezultat verige certifikatov	Status
Vsaka vrstica s: ali i: prikazuje storitve certifikatov AAA ali prizadeti organ za eMSign	Prizadeti. Popravi zdaj.
Noben od prizadetih organov se ne pojavi, prtljažnik pa je na spletu v nadzornem središču	Ni prizadeto.
Noben od prizadetih organov se ne pojavi, vendar je prtljažnik brez povezave	Obrnite se na svojega partnerja ali prever Cisco TAC ite glede na Ciscov seznam prizadetih strank.
Čas povezave je iztečen ali se ne vrne nobena veriga certifikatov	Neugotovljeno. Preverite dostop omrežja do vrat TLS prehoda in poskusite znova.

Prehod se potrdi, da ni prizadet le, če se ne prikaže nobena od navedenih korenin in je deblo na spletu v nadzornem središču.

Zamenjajte prizadeto verigo potrdil.

Obrnite se na svojega ponudnika potrdil, da pridobite nadomestno potrdilo ali alternativno verigo, ki se konča v korenu, ki mu zaupaWebex Calling. V mnogih primerih je mogoče obstoječi certifikat prehoda obdržati in zamenjati le vmesno verigo. Pri prizadetih uvajanjih Sectigo lahko to vključuje zamenjavo AAA navzkrižno podpisanega certifikata UserTrust z ustrezno alternativo.
Namestite posodobljeno verigo potrdil na lokalni prehod in ponovite preverjanje potrdil.
Potrdite, da se v nadzornem središču prikaže na spl etu, in preizkusite dohodne in izhodne klice.

Preverite povezljivost lokalnega prehoda.

Ponovite pregled OpenSSL in potrdite, da nadomestna veriga ni več odvisna od nezaupanih organov.
V nadzornem središču preverite, ali je prtljažnik prikazan Online.
Preizkusite vhodne in izhodne klice PSTN ter integracije krajevnih klicev, ki uporabljajo magistralni sistem.
Ponovite preverjanje veljavnosti za varnostne kopije in odvečne prehode.

Kaj storiti naprej

Če se zdi, da je veriga pravilna, vendar prtljažnik ostane brez povezave, oslabljen ali neznan:

Preverite, ali je potrdilo veljavno in pravilno nameščeno.
Preverite celotno vmesno verigo CA in pričakovano identiteto potrdila.
Preglejte napake povezljivosti TLS in preverjanja potrdil na prehodu.
Če se težava še vedno pojavlja, se obrnite na ponudnika certifikatov, Ciscovega partnerja ali Cisco Technical Assistance Center (TAC). Ko se obrnete na stikCisco Technical Assistance Center, navedite ID organizacije, podatke o tem povezanih osnovnih napravah, ime gostitelja prehoda, informacije o verigi potrdil in ustrezna sporočila o napakah TLS.

Sorodne informacije:

Cisco AI Assistant

Hvala za povratne informacije.

Malo podjetje

Podjetje

Naprave

Rešitve za

Viri

Podjetje