Fizičko obezbeđenje

Važno je obezbediti fizičko obezbeđenje lokacijama Equinix Meet-Me room i objektima Cisco Dedicated Instance Data Center. Kada je fizičko obezbeđenje ugroženo, mogu se pokrenuti jednostavni napadi kao što je prekid usluge isključivanjem napajanja na prekidače klijenta. Uz fizički pristup, napadači bi mogli da dobiju pristup serverima, resetuju lozinke i dobiju pristup prekidačima. Fizički pristup takođe olakšava sofisticiranije napade kao što su napadi čoveka u sredini, zbog čega je drugi bezbednosni sloj, bezbednost mreže, kritičan.

Disk jedinice za samostalno šifrovanje koriste se u data centrima namenske instance koji hostuje UC aplikacije.

Za više informacija o opštim bezbednosnim praksama pogledajte dokumentaciju na sledećoj lokaciji: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Bezbednost mreže

Partneri moraju da obezbede da svi mrežni elementi budu obezbeđeni u namenskoj infrastrukturi instance (koja se povezuje preko Equinix-a). Odgovornost partnera je da obezbedi sigurnost najboljih praksi kao što su:

• Zaseban VLAN za glas i podatke

• Omogući bezbednost porta koja ograničava broj MAC adresa koje su dozvoljene po luci, u odnosu na poplave CAM tabele

• IP izvorna garda protiv lažnih IP adresa

• Dinamička ARP inspekcija (DAI) ispituje protokol rešavanja adrese (ARP) i zahvalni ARP (GARP) za prekršaje (protiv ARP obmane)

• 802. ograničava1x mrežni pristup autentifikaciji uređaja na dodeljenim VLAN-om (telefoni podržavaju 802.1x)

• Konfiguracija kvaliteta usluge (QoS) za odgovarajuće obeležavanje glasovnih paketa

• Konfiguracije portova zaštitnog zida za blokiranje bilo kog drugog saobraćaja

Bezbednost krajnjih tačaka

Cisco krajnje tačke podržavaju podrazumevane bezbednosne funkcije kao što su potpisani firmver, bezbedno pokretanje sistema (izabrani modeli), instalirani certifikat proizvođača (MIC) i potpisane datoteke konfiguracije, koje obezbeđuju određeni nivo bezbednosti za krajnje tačke.

Pored toga, partner ili klijent mogu da omoguće dodatnu bezbednost, kao što su:

• Šifriraj usluge IP telefona (putem HTTPS-a) za usluge kao što je Extension Mobility

• Izdavanje lokalno značajnih certifikata (LSC) iz proxy funkcije autoriteta za izdavanje certifikata (CAPF) ili javnog autoriteta za izdavanje certifikata (CA)

• Šifriraj datoteke za konfiguraciju

• Šifrovanje medija i signalizacije

• Onemogući ove postavke ako se ne koriste: PC port, PC Voice VLAN Access, Gratuitous ARP, Web Access, Settings button, SSH, konzola

Primena bezbednosnih mehanizama u namenskoj instanci sprečava krađu identiteta telefona i Objedinjeni CM server, neovlašćeno menjanje podataka i neovlašćeno pozivanje / neovlašćeno menjanje protoka medija.

Posvećena instanca preko mreže:

• Uspostavlja i održava potvrđene tokove komunikacije

• Digitalno potpisuje datoteke pre nego što prenese datoteku na telefon

• Šifruje tokove medija i poziva na signalizaciju između Cisco Objedinjenih IP telefona

Bezbednost podrazumevano obezbeđuje sledeće funkcije automatske bezbednosti za Cisco Objedinjene IP telefone:

• Potpisivanje datoteka za konfiguraciju telefona

• Podrška za šifrovanje datoteke za konfiguraciju telefona

• HTTPS sa Tomcatom i drugim Web uslugama (MIDlets)

Za objedinjeni CM Release 8.0 kasnije, ove bezbednosne funkcije su podrazumevano obezbeđene bez pokretanja klijenta liste pouzdanih certifikata (CTL).

S obzirom na to da postoji veliki broj telefona u mreži i IP telefoni imaju ograničenu memoriju, Cisco Unified CM deluje kao udaljeno skladište poverenja preko Usluge provere poverenja (TVS) tako da skladište poverenja certifikata ne mora da se stavi na svaki telefon. Cisco IP telefoni se kontaktiraju sa TVS serverom radi provere jer ne mogu da provere potpis ili certifikat putem CTL ili ITL datoteka. Lakše je upravljati centralnom pouzdanom prodavnicom nego imati pouzdanu prodavnicu na svakom Cisco Objedinjenom IP telefonu.

TVS omogućava Cisco Objedinjenim IP telefonima da tokom HTTPS establišmenta potvrde identitet servera aplikacija, kao što su EM usluge, direktorijum i MIDlet.

Datoteka Initial Trust List (ITL) se koristi za početnu bezbednost, tako da krajnje tačke mogu da veruju Cisco objedinjenom CM-u. ITL-u nisu potrebne nikakve bezbednosne funkcije da bi bio omogućen izričito. ITL datoteka se automatski kreira kada se klaster instalira. Privatni ključ objedinjenog CM Trivial File Transfer Protocol (TFTP) servera se koristi za potpisivanje ITL datoteke.

Kada je Cisco Unified CM klaster ili server u nesigurni režim, ITL datoteka se preuzima na svakom podržanom Cisco IP telefonu. Partner može da prikaže sadržaj ITL datoteke pomoću CLI komande, admin:show itl.

Cisco IP telefonima je potreban ITL fajl za izvršavanje sledećih zadataka:

• Bezbedno komunicirajte sa CAPF-om, što je preduslov za podršku šifrovanju datoteke za konfiguraciju

• Potvrda identiteta potpisa datoteke za konfiguraciju

• Potvrdi verodostojnost servera aplikacija, kao što su EM usluge, direktorijum i MIDlet tokom HTTPS establišmenta pomoću TVS-a

Potvrda identiteta uređaja, datoteke i signalizacije oslanja se na kreiranje datoteke liste pouzdanih certifikata (CTL) koja se kreira kada partner ili klijent instalira i konfiguriše klijenta liste pouzdanih certifikata za Cisco.

CTL datoteka sadrži stavke za sledeće servere ili bezbednosne tokene:

• Bezbednosni simbol administratora sistema (SAST)

• Cisco CallManager i Cisco TFTP usluge koje rade na istom serveru

• Proxy funkcija autoriteta za izdavanje certifikata (CAPF)

• TFTP serveri

• ASA zaštitni zid

CTL datoteka sadrži certifikat servera, javni ključ, serijski broj, potpis, ime izdavača, ime teme, funkciju servera, DNS ime i IP adresu za svaki server.

Bezbednost telefona sa CTL-om obezbeđuje sledeće funkcije:

• Potvrda identiteta preuzetih TFTP datoteka (konfiguracija, lokalni standard, lista prstena i tako dalje) pomoću ključa za potpisivanje

• Šifrovanje TFTP datoteka za konfiguraciju pomoću ključa za potpisivanje

• Šifrovano pozivanje za IP telefone

• Šifrovani audio poziv (mediji) za IP telefone

Namenska instanca obezbeđuje registraciju krajnje tačke i obradu poziva. Signalizaciju između Cisco Unified CM i krajnjih tačaka zasniva se na Secure Skinny Client Control Protocol (SCCP) ili Session Initiation Protocol (SIP) i može se šifrovati pomoću usluge Transport Layer Security (TLS). Medij od/do krajnjih tačaka zasnovan je na Protokolu transporta u realnom vremenu (RTP) i takođe se može šifrovati pomoću Secure RTP (SRTP).

Omogućavanje mešovitog režima na Objedinjenom CM-u omogućava šifrovanje signalizacije i medijskog saobraćaja sa i na krajnje tačke Cisco-a.

Bezbedne UC aplikacije

Mešoviti režim je podrazumevano omogućen u namenskoj instanci.

Omogućavanje mešovitog režima u namenskoj instanci omogućava šifrovanje signalizacije i medijskog saobraćaja sa krajnjih tačaka i na krajnje tačke programa Cisco.

U Cisco Unified CM izdanje 12.5(1), nova opcija za omogućavanje šifrovanja signalizacije i medija zasnovanih na SIP OAuth umesto mešovitog režima / CTL je dodata za Jabber i Webex klijente. Zbog toga se u Objedinjenom CM izdanju 12.5(1), SIP OAuth i SRTP mogu koristiti za omogućavanje šifrovanja za signalizaciju i medije za Jabber ili Webex klijente. Omogućavanje mešovitog režima i dalje je potrebno za Cisco IP telefone i druge Cisco krajnje tačke u ovom trenutku. Postoji plan da se u budućem izdanju doda podrška SIP OAuthu na 7800/8800 krajnjim tačkama.

Cisco Unity veza se povezuje sa Objedinjenim CM-om preko TLS porta. Kada režim bezbednosti uređaja nije bezbedan, Cisco Unity Connection se povezuje sa objedinjenim CM-om preko SCCP porta.

Da bi konfigurisali bezbednost za Objedinjene CM portove za razmenu glasovnih poruka i Cisco Unity uređaje koji rade pod SCCP ili Cisco Unity Connection uređajima koji rade pod SCCP- om, partner može da odabere bezbedni režim bezbednosti uređaja za port. Ako odaberete potvrđeni port govorne pošte, otvoriće se TLS veza koja potvrdi identitet uređaja pomoću međusobne razmene certifikata (svaki uređaj prihvata certifikat drugog uređaja). Ako odaberete šifrovani port govorne pošte, sistem prvo potvrdi identitet uređaja, a zatim šalje šifrovane tokove glasa između uređaja.

Za više informacija o portovima za razmenu poruka bezbednosnog glasa pogledajte: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/cucm/security/12_5_1_SU1/cucm_b_security-guide-125SU1/cucm_b_security-guide-for-cisco-unified125SU1_chapter_010001.html

Obezbeđivanje komunikacija između usluge Cisco Unified CM i CUBE

Za bezbednu komunikaciju između Cisco Unified CM i CUBE, partneri/klijenti moraju da koriste samopotpisani certifikat ili CA potpisane certifikate.

Za samopotpisane certifikate:

1. CUBE i Cisco Unified CM generišu samopotpisane sertifikate

2. KOCKA izvozi sertifikat u Cisco Unified CM

3. Cisco Unified CM izvozi sertifikat u CUBE

Za certifikate potpisane sa CA:

1. Klijent generiše ključni par i šalje zahtev za potpisivanje certifikata (CSR) autoritetu za izdavanje certifikata (CA)

2. CA ga potpisuje svojim privatnim ključem, stvarajući certifikat identiteta

3. Klijent instalira listu pouzdanih CA vrhovnih i posredničkih certifikata i certifikat identiteta

Sažetak protokola

Sledeća tabela prikazuje protokole i pridružene usluge koje se koriste u objedinjenom CM rešenju.

Više informacija o MRA konfiguraciji potražite u članku: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

Obezbeđivanje Jabber-a i Webex-a sa SIP OAuth-om

Klijenti za jabber i Webex su potvrđeni putem OAuth tokena umesto lokalno značajnog certifikata (LSC), koji ne zahteva omogućavanje proxy funkcije autoriteta za izdavanje certifikata (CAPF). SIP OAuth koji radi sa ili bez mešovitog režima uveden je u Cisco Unified CM 12.5(1), Jabber 12.5 i Expressway X12.5.

U Cisco Unified CM 12.5 imamo novu opciju u Profilu bezbednosti telefona koja omogućava šifrovanje bez LSC/CAPF, koristeći single Transport Layer Security (TLS) + OAuth token u SIP REGISTER-u. Expressway-C čvorovi koriste API administrativne XML Web usluge (AXL) da bi obavestili Cisco Unified CM o SN/SAN u svom certifikatu. Cisco Unified CM koristi ove informacije za proveru valjanosti Exp-C certifikata prilikom uspostavljanja međusobne TLS veze.

SIP OAuth omogućava šifrovanje medija i signalizacije bez certifikata krajnje tačke (LSC).

Cisco Jabber koristi Efemeralne portove i bezbedne portove 6971 i 6972 portove putem HTTPS veze sa TFTP serverom za preuzimanje konekcionih datoteka. Port 6970 je nesiguran port za preuzimanje preko HTTP-a.

Više detalja o SIP OAuth konfiguraciji: SIP OAuth režim.