Fizička bezbednost

Važno je da obezbedite fizičku bezbednost za Equinix Meet-Me lokacije i objekte Cisco Dedicated Instance Data Center. Kada je fizička bezbednost ugrožena, mogu se pokrenuti jednostavni napadi kao što je prekid usluge isključivanjem napajanja na prekidače kupca. Zahvaljujući fizičkom pristupu, napadači mogu da dobiju pristup uređajima servera, resetuju lozinke i dobiju pristup prekidačima. Fizički pristup takođe olakšauje sofisticiranije napade kao što su napadi muškaraca u sredini, zbog čega je drugi nivo bezbednosti, bezbednost mreže, kritičan.

Disk jedinice za samostalno šifrovanje koriste se u centrima podataka namenske instance koji hostuju UC aplikacije.

Više informacija o opštim bezbednosnim praksama potražite u dokumentaciji na sledećoj lokaciji: Https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html je.

Bezbednost mreže

Partneri moraju da osiguraju da su svi mrežni elementi zaštićeni u infrastrukturi namenske instance (koja se povezuje putem usluge Equinix). Odgovornost partnera je da osigura bezbednost najbolje prakse kao što su:

• Odvojite VLAN za glas i podatke

• Omogućite bezbednost porta koja ograničava broj MAC dozvoljenih adresa po portu, u zavisnosti od poplava u CAM tabeli

• IP izvornu stražu protiv presnimenih IP adresa

• Dinamička ARP inspekcija (DAI) ispita protokol rešavanja adrese (ARP) i gratitivni ARP (GARP) za kršenja (u zavisnosti od ARP spofrovanja)

• 802.1x ograničava pristup mreži za potvrdu identiteta uređaja na dodeljenim VLAN mrežama (telefoni podržavaju 802.1x)

• Konfiguracija kvaliteta usluge (QoS) za odgovarajuće označavanje glasovnih paketa

• Konfiguracije portova zaštitnog zida za blokiranje bilo kog drugog saobraćaja

Bezbednost krajnjih tastanci

Krajnje tačke kompanije Cisco podržavaju podrazumevane bezbednosne funkcije kao što su potpisani firmver, bezbedno pokretanje (izabrani modeli), sertifikat proizvođača instaliran (MIC) i potpisane konfiguracione datoteke, koje pružaju određeni nivo bezbednosti za krajnje tačke.

Osim toga, partner ili klijent mogu da omoguće dodatnu bezbednost, kao što su:

• Šifruj IP telefon usluge (putem HTTPS-a) za usluge kao što su Extension Mobility

• Izdajte lokalno značajne sertifikate (LSC)iz funkcija proksija sertifikacionog tela (CAPF) ili javnog autoriteta za izdavanje sertifikata (CA)

• Šifruj datoteke konfiguracije

• Šifrovanje medija i signaliziranje

• Onemogućite ova podešavanja ako se ne koriste: PC priključak, PC Voice VLAN Access, Gratuitous ARP, Web Access, Settings, SSH, konzola

Implementacija bezbednosnih mehanizama u rešenju Dedicated Instance sprečava krađu identiteta telefona i Unified CM server, netačnost podataka i označavanje poziva/ medija.

Namenska instanca preko mreže:

• Uspostavlja i održava tok potvrde identiteta komunikacije

• Digitalno potpisujte datoteke pre nego što je prenesete na telefon

• Šifruje strimovanja medija i signaliziranje poziva između Cisco Unified IP telefona

Podrazumevana bezbednost obezbeđuje sledeće automatske bezbednosne funkcije za Cisco Unified IP telefona:

• Potpisivanje datoteka konfiguracija telefona podataka

• Podrška za konfiguracija telefona za šifrovanje datoteka

• HTTPS sa Tomcat-om i drugim veb-uslugama (MIDlets)

Za Unified CM izdanje 8.0 kasnije, ove bezbednosne funkcije su podrazumevano obezbeđene bez pokretanje klijenta liste pouzdanih sertifikata (CTL).

Pošto postoji veliki broj telefona na mreži i IP telefoni imaju ograničenu memoriju, Cisco Unified CM deluje kao udaljeno skladište pouzdanosti putem usluge pouzdanosti (TVS) tako da skladište pouzdanih sertifikata ne mora da se postavi na svaki telefon. Cisco IP telefoni kontaktiraju TVS serveru za potvrdu jer ne mogu da potvrde potpis ili sertifikat putem CTL ili ITL datoteka. Imati centralno skladište pouzdanosti je lakše upravljati nego imati skladište pouzdanosti na svakoj Cisco Unified IP telefon.

TVS omogućava Cisco Unified IP telefonima da potvrde identitet servera aplikacije, kao što su EM usluge, direktorijum i MIDlet, tokom HTTPS uspostavljanja.

Datoteka početne pouzdane liste (ITL) se koristi za početnu bezbednost, tako da krajnje tačke mogu da oslanjaju Cisco Unified CM. ITL ne zahteva nikakve bezbednosne funkcije da bi se izričito omogućio. ITL datoteka se automatski kreira kada se klaster instalira. Privatni ključ Unified CM Trivial File Transfer Protocol (TFTP) servera koristi se za potpisivanje ITL datoteke.

Kada se Cisco Unified CM na serveru koji nisu bezbedni režim, ITL datoteka se preuzima na svim podržanim Cisco IP telefon. Partner može da prikaže sadržaj ITL datoteke CLI komanda administratoru:show itl.

Cisco IP telefonima je potrebna ITL datoteka da bi obavili sledeće zadatke:

• Bezbedno komunicirajte CAPF, što je preduslov za podršku datoteka sa konfiguracijom šifrovanju

• Potvrda identiteta datoteka sa konfiguracijom potpisa

• Potvrdite identitet servera aplikacija, kao što su EM usluge, direktorijum i MIDlet tokom httpS uspostavljanja pomoću TVS

Potvrda identiteta za uređaj, datoteku i signaliziranje oslanja se na kreiranje datoteke liste pouzdanih sertifikata (CTL) koja se kreira kada partner ili kupac instalira i konfiguriše Klijent za pouzdane Cisco sertifikate.

Ova CTL datoteka sadrži stavke za sledeće servere ili bezbednosne tokene:

• Bezbednosni token administratora sistema (SAST)

• Cisco CallManager i Cisco TFTP usluge koje rade na istom serveru

• Certificate Authority proxy funkcije (CAPF)

• TFTP server(i)

• ASA zaštitni zid

Tabela CTL datoteka sadrži sertifikat servera, javni ključ, serijski broj, potpis, ime izdaoca, ime predmeta, funkcije servera, ime DNS i IP adresa za svaki server.

Bezbednost telefona CTL pruža sledeće funkcije:

• Potvrda identiteta TFTP preuzetih datoteka (konfiguracija, lokalni standard, lista zvona itd.) pomoću ključa za prijavljivanje

• Šifrovanje datoteka TFTP konfiguracije pomoću ključa za potpisivanje

• Šifrovano signaliziranje poziva za IP telefone

• Šifrovani audio pozivi (mediji) za IP telefone

Namenska instanca obezbeđuje registraciju krajnje tačke i obrada poziva. Signaliziranje između Cisco Unified CM i krajnjih tačina zasniva se na bezbednom kontrolni protokol tankog klijenta (SCCP) Session Initiation Protocol (SIP) i može se šifrovati pomoću bezbednost transportnog sloja (TLS). Mediji sa/do krajnjih tastana zasnivaju se na Protokolu prenosa u realnom vremenu (RTP) i takođe se mogu šifrovani pomoću funkcije Secure RTP (SRTP).

Omogućavanje mešovitog režima na Unified CM omogućava šifrovanje signaliziranja i medijski saobraćaj sa Krajnjih tačci kompanije Cisco i do njih.

Bezbedne UC aplikacije

Mešoviti režim je podrazumevano omogućeno namenske instance.

Omogućavanje mešovitog režima u namenskim instancama omogućava mogućnost izvršavanja šifrovanja signaliziranja i medijski saobraćaj od Cisco krajnjih tačci i do njih.

U Cisco Unified CM izdanju 12.5(1), nova opcija za omogućavanje šifrovanja signaliziranja i medija zasnovanih na SIP OAuth umesto mešovitog režima /CTL dodata je za Jabber i Webex klijente. Stoga u Unified CM izdanju 12.5(1), SIP OAuth i SRTP mogu da se koriste za omogućavanje šifrovanja za signaliziranje i medije za Jabber ili Webex klijente. Omogućavanje mešovitog režima i dalje je potrebno za Cisco IP telefone i druge Cisco krajnje tačke u ovom trenutku. Postoji plan da se u budućem izdanju doda podrška za SIP OAuth u 7800/8800 krajnjim tačkama.

Cisco Unity Connection se povezuje sa Unified CM kroz TLS priključak. Kada bezbednosni režim uređaja nije bezbedan, Cisco Unity Connection se povezuje Unified CM kroz SCCP priključak.

Da bi konfigurisati bezbednost za Unified CM portove za razmenu glasovnih poruka i Cisco Unity uređaje koji rade SCCP ili Cisco Unity Connection uređaje koji SCCP, partner može da izabere bezbedan režim bezbednosti uređaja za port. Ako odaberete potvrdu identiteta priključak za govornu poštu, otvara se TLS koja potvrđuje identitet uređaja korišćenjem međusobne razmene sertifikata (svaki uređaj prihvata sertifikat drugog uređaja). Ako odaberete šifrovanu priključak za govornu poštu, sistem prvo potvrđuje identitet uređaja, a zatim šalje šifrovana strimovanja glasa između uređaja.

Za više informacija o bezbednosnim portovima za glasovne poruke pogledajte: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/cucm/security/12_5_1_SU1/cucm_b_security-guide-125SU1/cucm_b_security-guide-for-cisco-unified125SU1_chapter_010001.html

Obezbeđivanje komunikacija između Cisco Unified CM i KOCKE

Za bezbednu komunikaciju između Cisco Unified CM i KOCKE, partneri/klijenti moraju da koriste sertifikate samostalno potpisan sertifikat ili sertifikate potpisane sa CA.

Za samopotpisane sertifikate:

1. CUBE i Cisco Unified CM generišu samopotpisane sertifikate

2. CUBE izvozi sertifikat u Cisco Unified CM

3. Cisco Unified CM izvoz sertifikata na KOCKU

Za sertifikate sa potpisom CA:

1. Klijent generiše par ključeva i šalje zahtev za potpisivanje sertifikata (CSR) na adresu Certificate Authority (CA)

2. CA ga potpisuje svojim privatnim ključem, kreirajući sertifikat identiteta

3. Klijent instalira listu pouzdanih CA vrhovnih i privremenih sertifikata i sertifikata identiteta

Rezime protokola

Sledeća tabela prikazuje protokole i povezane usluge koje se koriste u Unified CM rešenju.

Više informacija o MRA konfiguraciji potražite u članku: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

Obezbeđivanje usluge Jabber i Webex SIP OAuth

Jabber i Webex klijenti se potvrđuju putem OAuth tokena umesto lokalno značajan sertifikat (LSC), što ne zahteva omogućavanje funkcija proksija sertifikacionog tela (CAPF) (i za MRA). SIP OAuth koji radi sa ili bez mešovitog režima uveden je u verziji Cisco Unified CM 12.5(1), Jabber 12.5 i Expressway X12.5.

U Cisco Unified CM 12.5 imamo novu opciju u profilu bezbednosti telefona koja omogućava šifrovanje bez LSC/CAPF, koristeći jedan bezbednost transportnog sloja (TLS) + OAuth token u SIP REGISTER. Expressway-C čvorovi koriste administrativnu XML veb-uslugu (AXL) API kako bi obavestili Cisco Unified CM O SN-u/SAN u svom sertifikatu. Cisco Unified CM ove informacije koriste za proveru valjanosti Exp-C sertifikata prilikom uspostavljanja međusobne TLS veze.

SIP OAuth omogućava medijsko i signalizaciono šifrovanje bez sertifikata krajnje tačke (LSC).

Cisco Jabber koristi e-merne portove i bezbedne portove 6971 i 6972 portove putem HTTPS veze sa TFTP serverom za preuzimanje datoteka za konfiguraciju. Port 6970 je nesigurni port za preuzimanje putem HTTP-a.

Više detalja SIP OAuth konfiguraciji: SIP OAuth režim.