Hvala za povratne informacije.

S tem boste obveščali o prihajajoči spremembi pravilnika brskalnika Google Chrome, ki vpliva na izdajo javnih potrdil TLS, in opisali ukrepe, ki jih bo Cisco sprejel za zagotovitev stalne podpore za medsebojne povezave TLS (MTL) v okoljih Cisco Webex Calling namenskih primerkov in v oblaku UCM.

^{Od 1. februarja 2027 bodo javni certifikacijski organi (CA), vključeni v program Google Chrome Trust, prenehali podpisovati potrdila, ki vključujejo razširjeno uporabo ključa (EKU) za preverjanje prist nosti odjemalca (ClientAuth).}

^{Od 15. marca 2027 bo Google uveljavil pravilnik, ki zahteva, da javne korenske agencije v korenski trgovini Chrome izdajajo potrdila, ki vsebujejo samo EKU za preverjanje pristnosti strežnika (ServerAuth).} Posledično javnim korenskim agencijam v korenski trgovini Chrome ne bo več dovoljeno izdajati potrdil, ki združujejo EKU za preverjanje pristnosti strežnika in preverjanje prist nosti odjemalca v enem potrdilu.

Aplikacije UC namenskih primerkov trenutno uporabljajo potrdila, ki vključujejo EKU za preverjanje prist nosti strežnika in preverjanje pristnosti odjemalca znotraj enega potrdila za vzpostavitev zaupanja za povezave MTL. Podpora za ločena potrdila strežnikov in odjemalcev je zdaj na voljo z izdajo aplikacije UC v15su5.

Trenutno namenski primer uporablja IDtrust Commercial Root CA 1, ki je del korenske trgovine Google Chrome, za podpis teh potrdil. ^{Vendar pa zaradi prihajajoče spremembe pravilnika Chroma ta certifikat ne bo več dovoljen izdajati potrdil, ki vsebujejo oba EKU v enem certifikatu od 1. februarja 2027.}

Potrdila, ki so prizadeta

Naslednja potrdila aplikacij UC so podpisana z uporabo javnega korenskega CA in se običajno uporabljajo za povezave MTL:

Aplikacija UC	Vrsta potrdila	Skupne povezave MTL
Cisco Unified CM/MSP	Tomcat/Tomcat-ECDSA	LDAP, Filebeat, Logstash, SIP OAuth prek MRA, Remote Syslog
	Upravitelj klicev/Upravitelj klicev - ECDSA	SIP debla, povezave med vozlišči in med grozdami
Cisco Unity Connection	Tomcat/Tomcat-ECDSA	SIP proxy, SIP sklopi
Cisco IM in prisotnost	Tomcat/Tomcat-ECDSA	—
	skodelica/skodelica-ECDSA	Zavarujte SIP s CUCM, odjemalci tretjih oseb, SIP Proxy
	skodelica-xmpp/skodelica-xMPP-ECDSA	Federacija XMPP
Cisco Emergency Responder	Tomcat/Tomcat-ECDSA	—
Cisco Expressway	Potrdilo strežnika	Mobilni in Remote Access (MRA)

Potrdila, ki niso prizadeta

Vsa preostala potrdila v namenski instanci so samopodpisana. Za dodatne informacije glejte Upravljanje certifikatov namenskih primerkov.

Za obravnavo spremembe pravilnika Chrome in vzdrževanje neprekinjenega delovanja MTL bo Cisco izve del naslednje ukrepe:

• Cisco bo od 1. ^juni ja 2026 zamenjal javni korenski CA, ki se uporablja za podpisovanje potrdil aplikacij namenskih primerkov UC, iz IDEntrust Commercial Root CA 1 na IDtrust root CA 1 za vse podaljšanje certifikatov.

  Postopek podaljšanja certifikata ostaja enak, center za opozorila Control Hub pa stranke obvesti prek opozorila« Vz drževanje in izpad », ko je načrtovano podaljšanje. Če želite več informacij, glejte Opozorila o vzdrževanju.

• Potrdila bodo še naprej vključevala EKU za preverjanje pristnosti strežnika in odjemalca.

Vse aplikacije ali storitve tretjih oseb v okolju strank, ki povezujejo aplikacije UC v namenski primerki s povezavami TLS ali MTLS, morajo uporabljati isto verigo certifikatov kot aplikacije UC v namenski primerki. Če skrbniška shramba sistemov strank ali aplikacij še ne vključuje zahtevanega certifik ata iDtrust, je treba novo korensko potrdilo uvoziti, da se prepreči okvare povezave TLS/MTLS.

1. Revizija trenutnih povezav MTL
   1. Prepoznajte aplikacije, storitve tretjih oseb ali integracije, ki se povežejo z aplikacijami UC v namenskem primerku z uporabo TLS ali MTL.
   2. Preverite, ali te aplikacije zaupajo novi javni korenski CA: IDtrust Public Sector Root CA 1.
2. Dodajte nov javni korenski CA (če je potrebno)
   1. Če IDtrust javnega sektorja ROOT CA 1 še ni zaupanja v aplikaciji za stranke ali sistemski trgovini zaupanja, ga je treba dodati.
   2. Enako lahko prenesete s naslednjih povezav:

      Root CA: IDtrust Koren javnega sektorja CA 1

      Nadomestna stran za prenos: IDtrust Support Downloads

      Izdaja/podCA: IDtrust strežnik javnega sektorja CA 1.

   Za večino aplikacij zaupanje v Root CA zadostuje, če strežnik predstavi celotno verigo. Izdajanje/podcertifikat je koristno vključiti za vloge, za katere je treba vmesno potrdilo uvoziti ločeno.

IDtrust Public Sector Root CA 1 je privzeto zaupanja vreden v standardnih trgovinah zaupanja za naslednje operacijske sisteme in platforme:

• Microsoft Windows
• macOS
• iOS /iPadOS
• Android

Posledično mora stranka le potrditi zaupne trgovine za te platforme , da potrdi, da je korensko potrdilo novega javnega certifikata že navedeno. To velja za končne točke /odjemalce ali sisteme tretjih oseb, ki uporabljajo privzete trgovine zaupanja na teh platformah. Navodila za posodobitev trgovine zaupanja na vsaki platformi so na voljo v spodnjih razdelkih. Za izvajanje teh posodobitev je odgovoren stranka ali partner; spodnje povezave in koraki se nanašajo na spletne članke ustreznih prodajalcev platform, Cisco pa nudi pomoč po najboljših močeh. Za nadaljnja pojasnila morate neposredno sodelovati z ustreznimi prodajalci platform.

Opomba o trgovini zaupanja za Android

IDtrust Public Sector Root CA 1 je vključen v trgovino CA sistema Android in je privzeto zaupanja vreden v trenutno podprtih različicah Androida. Android ne ponuja javne preslikave, specifične za različico, za posamezne datume uvedbe korenskih potrdil. Zaupanje se upravlja prek trgovine CA sistema Android in distribuira prek posodobitev operacijskega sistema in posodobitev sistema Google Play.

Ukrepi strank niso potrebni, razen če je bila trgovina zaupanja sistema Android izrecno spremenjena s pravilnikom naprave, kontrolami upravljanja podjetja ali omejitvami zau panja, specifičnih za aplikacije.

Korenski certifikat IDtrust javnega sektorja 1 ni vključen v korensko trgovino Google Chrome.

Če želite zagotoviti, da Google Chrome zaupa certifikatom, izdanim v skladu s tem korenskim certifikatom, morajo stranke zagoto viti, da je korensko potrdilo izrecno zaupanje na ravni operacijskega sistema na lokacijah, ki jih Chrome porabi za lokalne odločitve o zaupanju.

Windows — potrebna konfiguracija zaupanja

Če želite zagotoviti, da Google Chrome zaupa korenskemu certifikatu v sistemu Windows, je treba korenski CA javnega sektorja IDtrust 1 uvoziti na eno od naslednjih lokacij:

• Lokalni računalnik → Zaupanja vredni organi za korensko certificiranje

  (Priporočljivo za sisteme, ki jih upravlja podjetja)

ali

• Trenutni uporabnik → Zaupanja vredni organi za korensko certificiranje

  (Za zaupanje na ravni uporabnika)

Google Chrome zaupa potrdila, uvoženih s čarovnikom za uvoz certifikatov Windows na te lokacije (tudi prek pravilnika skupine).

Chrome samodejno ne zaupa korenskih potrdil, ki obstajajo samo v sistemu Windows tretjih oseb, razen če so izrecno uvoženi, kot je opisano zgoraj.

Mac OS — potrebna konfiguracija zaupanja

Da bi zagotovili, da Google Chrome zaupa korenskemu CA-u v sistemu macOS, je treba v ključavnico macOS dodati IDtrust javnega sektorja Root CA 1 in mu izrecno zaupati:

1. Uvozite potrdilo v sistemski obesek za ključe (priporočeno) ali prijavni obesek za ključe

2. Odprite potrdilo in nastavite:

   • Ko uporabljate to potrdilo: Vedno zaupajte

     (ali vsaj SSL: vedno zaupajte)

Ko bo Google Chrome zaupanja vreden na ravni sistema ali uporabnika, bo potrdilo spoštoval kot zaupanja vredno.

Skrbniki lahko preverjajo, katerim certifikatom platforme Chrome zaupa, tako da se pomaknejo na: chrome: //certificate-manager/localcerts/platformcerts

Če želite več informacij, glejte Googlova pogosta vprašanja.

Integracije tretjih oseb zahtevajo primarno potrjevanje strank.

Za vse aplikacije ali storitve tretjih oseb, ki vzpostavljajo povezave TLS/MTLS z aplikacijami UC namenskih primerkov, morajo stranke upoštevati dejanja, navedena v spremembah potrdil javnega CA, ki vplivajo na namenski primerek.

Če boste potrebne posodobitve zaupanja vredne trgovine, boste morali neposredno sodelovati s tretjim prodajalcem ali skrbnikom IT. Spremembe trgovin zaupanja tretjih oseb ali ved enja preverjanja potrdil niso v pristojnosti podjetja Cisco in Cisco ne more pomagati pri konfiguracijah zaupanja potrdil tretjih oseb ali odpravljanju težav.

Stranke lahko potrdijo novo javno korensko potrdilo s testnim certifikatom iDtrust.

Če se stran uspešno odpre, je v vašem okolju zaupanja vrednostni račun IDtrust javnega sektorja 1.

Če imate vprašanja v zvezi s to spremembo, pravilnikom brskalnika Google Chrome ali posodobitvami potrdil v namenskem primerku, odprite zahtevo za storitev v nadzornem središču pod življenjsko dobo aplikacije UC.

Stranke UCM Cloud (UCMC), ki so lastniki svoje domene in upravljajo lastno podaljšanje potrdil o aplikacijah UC in ki Ciscu niso prenesle pooblastila domene za podpisovanje potrdil o aplikacijah UC, bodo odgovorne za neposredno sodelovanje z izbranimi organi za jav ne certifikate, da bi odpravili to spremembo. 

Te stranke bi se morale uskladiti tudi z veljavnimi aplikacijskimi izdelki UC (Ciscovi izdelki za klicanje in priporočila Cisco Expressway) glede uporabe in popravljanja potrdil v zvezi s prihajajočimi spremembami javnega certifikata in pravilnika brskalnika. Če želite več informacij, glejte V loge in odgovornosti. 

Cisco bo še naprej zagotavljal posodobitve, ko bo na voljo podpora aplikacij UC za ločena potrd ila strežnikov in odjemalcev. Za najnovejše posodobitve glejte ta dokument.

Spremembe EKU certifikata: Ukrepi, ki jih morajo stranke Cisco v kra jevnem sodelovanju izvajati ZDAJ