Fizička bezbednost

Važno je obezbediti fizičku sigurnost lokacijama Ekuinik Meet-Me Room i Cisco Dedicated Instance Data Center objektima. Kada je ugrožena fizička bezbednost, mogu se pokrenuti jednostavni napadi kao što je prekid usluge isključivanjem napajanja prekidača kupca. Sa fizičkim pristupom, napadači mogu dobiti pristup serverskim uređajima, resetovanje lozinki, i dobiti pristup prekidačima. Fizički pristup takođe olakšava sofisticiranije napade kao što su napadi čoveka u sredini, zbog čega je drugi bezbednosni sloj, bezbednost mreže, kritičan.

Samošifrovani diskovi se koriste u namenskim centrima za podatke koji hostuju UC aplikacije.

Za više informacija o opštim bezbednosnim praksama, pogledajte dokumentaciju na sledećoj lokaciji: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Bezbednost mreže

Partneri moraju osigurati da su svi mrežni elementi osigurani u infrastrukturi Dedicated Instance (koja se povezuje preko Ekuinika). Odgovornost partnera je da obezbedi najbolje bezbednosne prakse kao što su:

• Odvojeni VLAN za glas i podatke

• Enable Port Security koji ograničava broj MAC adresa dozvoljenih po portu, protiv poplave CAM tabele

• IP Izvor - Čuvajte se od lažnih IP adresa

• Dinamička ARP inspekcija (DAI) ispituje protokol za rešavanje adresa (ARP) i besplatan ARP (GARP) za kršenja (protiv ARP prevare)

• 802.1x ograničava pristup mreži za autentifikaciju uređaja na dodeljenim VLAN-ovima (telefoni ne podržavaju 802.1x)

• Konfiguracija kvaliteta usluge (KoS) za odgovarajuće obeležavanje glasovnih paketa

• Konfiguracije portova zaštitnog zida za blokiranje bilo kog drugog saobraćaja

Bezbednost krajnjih tačaka

Cisco krajnje tačke podržavaju podrazumevane sigurnosne funkcije kao što su potpisani firmver, sigurno pokretanje (odabrani modeli), sertifikat instaliran proizvođačem (MIC) i potpisane konfiguracione datoteke, koje pružaju određeni nivo sigurnosti za krajnje tačke.

Pored toga, partner ili kupac može omogućiti dodatnu sigurnost, kao što su:

• Šifrovanje IP telefonskih usluga (preko HTTPS-a) za usluge kao što je Ektension Mobiliti

• Izdavanje lokalno značajnih sertifikata (LSC) iz funkcije proki autoriteta za sertifikate (CAPF) ili javnog autoriteta za sertifikate (CA)

• Šifrovanje konfiguracionih datoteka

• Šifrovanje medija i signalizacije

• Isključite ove postavke ako se ne koriste: PC port, PC Voice VLAN Access, besplatan ARP, Veb Access, dugme za podešavanja, SSH, konzola

Implementacija bezbednosnih mehanizama u namenskoj instanci sprečava krađu identiteta telefona i Unified CM servera, neovlašćeno rukovanje podacima i signalizaciju poziva / medijski tok.

Dedicated Instance preko mreže:

• Uspostavlja i održava autentifikovane komunikacijske tokove

• Digitalno potpisuje datoteke pre prenosa datoteke na telefon

• Šifrira medijske tokove i signalizaciju poziva između Cisco Unified IP telefona

Bezbednost po defaultu obezbeđuje sledeće automatske bezbednosne funkcije za Cisco Unified IP telefone:

• Potpisivanje konfiguracionih fajlova telefona

• Podrška za šifrovanje datoteka za konfiguraciju telefona

• HTTPS sa Tomcat i drugim Veb servisima (MIDlets)

Za Unified CM Release KSNUMKS kasnije, ove sigurnosne funkcije su podrazumevano obezbeđene bez pokretanja klijenta Certificate Trust List (CTL).

Zbog toga što postoji veliki broj telefona u mreži i IP telefoni imaju ograničenu memoriju, Cisco Unified CM deluje kao udaljena prodavnica poverenja preko Trust Verification Service (TVS), tako da sertifikat poverenje prodavnica ne mora da bude postavljen na svakom telefonu. Cisco IP telefoni kontaktiraju TVS server radi verifikacije jer ne mogu da verifikuju potpis ili sertifikat putem CTL ili ITL datoteka. Imati centralnu prodavnicu poverenja je lakše upravljati nego imati prodavnicu poverenja na svakom Cisco Unified IP telefonu.

TVS omogućava Cisco Unified IP telefonima da autentifikuju aplikativne servere, kao što su EM usluge, direktorijum i MIDlet, tokom uspostavljanja HTTPS-a.

Datoteka inicijalne liste poverenja (ITL) se koristi za početnu sigurnost, tako da krajnje tačke mogu da veruju Cisco Unified CM-u. ITL ne treba nikakve bezbednosne funkcije da budu eksplicitno omogućene. ITL datoteka se automatski kreira kada je klaster instaliran. Privatni ključ servera Unified CM Trivial File Transfer Protocol (TFTP) se koristi za potpisivanje ITL datoteke.

Kada je Cisco Unified CM klaster ili server u ne-sigurnom režimu, ITL datoteka se preuzima na svakom podržanom Cisco IP telefonu. Partner može da vidi sadržaj ITL datoteke koristeći CLI komandu, admin:shov itl.

Cisco IP telefonima je potrebna ITL datoteka za obavljanje sledećih zadataka:

• Bezbedno komunicirajte sa CAPF-om, što je preduslov za podršku šifrovanju konfiguracionih datoteka

• Potvrdite autentičnost potpisa konfiguracione datoteke

• Potvrdite autentičnost aplikativnih servera, kao što su EM usluge, direktorijum i MIDlet tokom uspostavljanja HTTPS-a koristeći TVS

Autentifikacija uređaja, datoteka i signalizacije oslanjaju se na kreiranje datoteke Certificate Trust List (CTL), koja se kreira kada partner ili klijent instalira i konfiguriše Cisco Certificate Trust List Client.

CTL datoteka sadrži unose za sledeće servere ili sigurnosne tokene:

• Sigurnosni token administratora sistema (SAST)

• Cisco CallManager i Cisco TFTP usluge koje se pokreću na istom serveru

• Proxy funkcija autoriteta za izdavanje certifikata (CAPF)

• TFTP server(i)

• ASA zaštitni zid

CTL datoteka sadrži sertifikat servera, javni ključ, serijski broj, potpis, ime izdavača, ime subjekta, funkciju servera, DNS ime i IP adresu za svaki server.

Bezbednost telefona sa CTL-om pruža sledeće funkcije:

• Autentifikacija TFTP preuzetih datoteka (konfiguracija, lokal, lista zvona i tako dalje) pomoću ključa za potpisivanje

• Šifrovanje TFTP konfiguracionih datoteka pomoću ključa za potpisivanje

• Šifrovana signalizacija poziva za IP telefone

• Šifrovani audio poziv (mediji) za IP telefone

Dedicated Instance obezbeđuje registraciju krajnjih tačaka i obradu poziva. Signalizacija između Cisco Unified CM-a i krajnjih tačaka zasniva se na protokolu Secure Skinni Client Control Protocol (SCCP) ili Session Initiation Protocol (SIP) i može se šifrirati pomoću Transport Laier Securiti (TLS). Mediji od / do krajnjih tačaka zasnovani su na protokolu transporta u realnom vremenu (RTP) i mogu se šifrirati pomoću Secure RTP (SRTP).

Omogućavanje mešovitog režima na Unified CM-u omogućava enkripciju signalizacije i medijskog saobraćaja od i do Cisco krajnjih tačaka.

Sigurne UC aplikacije

Mešoviti režim je podrazumevano omogućen u namenskoj instanci.

Omogućavanje mešovitog režima u Dedicated Instance omogućava mogućnost enkripcije signalizacije i medijskog saobraćaja od i do Cisco krajnjih tačaka.

Od Cisco Unified CM izdanja KSNUMKS (KSNUMKS), dodana je nova opcija za omogućavanje enkripcije signalizacije i medija zasnovanih na SIP OAuth-u umesto mešovitog režima / CTL za Jabber i Vebek klijente. Stoga, u Unified CM izdanju KSNUMKS (KSNUMKS), SIP OAuth i SRTP se mogu koristiti za omogućavanje enkripcije za signalizaciju i medije za Jabber ili Vek klijente. Omogućavanje mešovitog režima i dalje je potrebno za Cisco IP telefone i druge Cisco krajnje tačke u ovom trenutku. Postoji plan da se doda podrška za SIP OAuth u 7800/8800 krajnjim tačkama u budućem izdanju.

Cisco Uniti Connection povezuje se sa Unified CM-om preko TLS porta. Kada režim bezbednosti uređaja nije siguran, Cisco Uniti Connection se povezuje sa Unified CM-om preko SCCP porta.

Da biste konfigurisali bezbednost za Unified CM portove za glasovne poruke i Cisco Uniti uređaje koji pokreću SCCP ili Cisco Uniti Connection uređaje koji pokreću SCCP, partner može da izabere bezbedni režim bezbednosti uređaja za port. Ako izaberete autentifikovani port govorne pošte, otvara se TLS konekcija koja potvrđuje autentičnost uređaja pomoću međusobne razmene sertifikata (svaki uređaj prihvata sertifikat drugog uređaja). Ako izaberete šifrovani port govorne pošte, sistem prvo potvrđuje autentičnost uređaja, a zatim šalje šifrovane glasovne tokove između uređaja.

Za više informacija o portovima za bezbednosne glasovne poruke, pogledajte odeljak Bezbednost glasovnih poruka u Bezbednosnom vodiču za Cisco Unified Communications Manager.

Obezbeđivanje komunikacije između Cisco Unified CM i CUBE

Za sigurnu komunikaciju između Cisco Unified CM i CUBE, partneri / kupci moraju koristiti ili samopotpisani sertifikat ili CA-potpisane sertifikate.

Za samopotpisane sertifikate:

1. CUBE i Cisco Unified CM generišu samopotpisane sertifikate

2. CUBE izvozi sertifikat u Cisco Unified CM

3. Cisco Unified CM izvozi sertifikat u CUBE

Za sertifikate potpisane od CA:

1. Klijent generiše par ključeva i šalje zahtev za potpisivanje sertifikata (CSR) autoritetu za sertifikate (CA)

2. CA ga potpisuje svojim privatnim ključem, stvarajući sertifikat o identitetu

3. Klijent instalira listu pouzdanih CA Root i posredničkih sertifikata i sertifikata identiteta

Rezime protokola

Sledeća tabela prikazuje protokole i povezane usluge koje se koriste u Unified CM rešenju.

Za više informacija o MRA konfiguraciji, pogledajte: Odeljak MRA Scenarios za mobilne uređaje i daljinski pristup kroz Cisco Autoput Deployment Guide.

Obezbeđivanje Jabber-a i Vebek-a sa SIP OAuth-om

Jabber i Vebek klijenti se autentifikuju putem OAuth tokena umesto lokalno značajnog sertifikata (LSC), koji ne zahteva omogućavanje proki funkcije autoriteta za sertifikate (CAPF) (i za MRA). SIP OAuth koji radi sa ili bez mešovitog režima uveden je u Cisco Unified CM 12.5 (1) i kasnije, Jabber 12.5 i kasnije, i Autoput Ks12.5.

U Cisco Unified CM KSNUMKS i novijim verzijama, imamo novu opciju u Phone Securiti Profile koja omogućava enkripciju bez LSC / CAPF, koristeći jedan Transport Laier Securiti (TLS) + OAuth token u SIP REGISTER-u. Autoput-C čvorovi koriste API administrativnog KSML Veb servisa (AKSL) kako bi informisali Cisco Unified CM o SN / SAN-u u svom sertifikatu. Cisco Unified CM koristi ove informacije za potvrđivanje Ekp-C sertifikata prilikom uspostavljanja zajedničke TLS veze.

SIP OAuth omogućava šifrovanje medija i signalizacije bez sertifikata krajnje tačke (LSC).

Cisco Jabber koristi Ephemeral portove i sigurne portove KSNUMKS i KSNUMKS portova preko HTTPS veze sa TFTP serverom za preuzimanje konfiguracionih datoteka. Port 6970 je ne-sigurna luka za preuzimanje preko HTTP-a.

Više detalja o SIP OAuth konfiguraciji: SIP OAuth režim.