Hvala na povratnim informacijama.

Ovo će vas obavestiti o predstojećoj pro meni politike pregledača Google Chrome koja utiče na izdavanje javnih TLS sertifikata i da bi se opisali radnje koje će Cisco preduzeti kako bi osigurao stalnu podršku za međusobne TLS (MTL) veze u okruženjima Cisco Webex Calling namenske instance i UCM Cloud.

Počevši od 1. febru ^ara 2027. godine, javni organi za sertifikate uključeni u Google Chrome Trust program zaustaviće potpisivanje sertifikata koji uključuju proširenu upotrebu ključeva za autentifikaciju klijenta (ClientAuth).

^{Na snagu 15. marta 2027. godine, Google će primeniti politiku koja zahteva da javni korenski CA u Chrome root prodavnici izdaju sertifikate koji sadrže samo EKU za autentifikaciju servera (ServerAuth).} Kao rezultat toga, javnim korijenskim CA-ovima u Chrome root prodavnici više neće biti dozvoljeno da izdaju sertifikate koji kombinuju i EKU za autentifikaciju servera i autentifikaciju klijenta u jednom sertifikatu.

UC aplikacije namenske instance trenutno koriste sertifikate koji uključuju i EKU za autentifikaciju servera i autentifikaciju klijenta u okviru jednog sertifikata da bi uspostavili poverenje za MTL veze. Podrška za odvojene sertifikate servera i klijenta sada je dostupna sa izdanjem UC aplikacije V15su5.

Trenutno namenska instanca koristi IDEntrust Commercial Root CA 1, deo Google Chrome root prodavnice, za potpisivanje ovih sertifikata. ^{Međutim, zbog predstojeće promene Chrome politike, ovoj CA više neće biti dozvoljeno da izdaje sertifikate koji sadrže oba EKU u jednom sertifikatu počev od 1. februara 2027.}

Potvrde su pogođene

Sledeći sertifikati UC aplikacija potpisani su korišćenjem javnog korenovog CA i obično se koriste za MTL veze:

UC aplikacija	Tip sertifikata	Uobičajene MTL veze
Cisco Unified CM/MSP	Tomcat/Tomcat-ECDSA	LDAP, Filebeat, Logstash, SIP OAuth preko MRA, Remote Sislog
	CallManager/CallManager-ECDSA	SIP trupci, među-čvorove i međuklasterske veze
Cisco Unity Connection	Tomcat/Tomcat-ECDSA	SIP proki, SIP Trunks
Cisco IM i prisustvo	Tomcat/Tomcat-ECDSA	—
	šolja/čaša-ECDSA	Osigurajte SIP pomoću CUCM-a, klijenata trećih strana, SIP Proki
	cup-kmpp/Cup-kMPP-ECDSA	KSMPP Federacija
Cisco Emergency Responder	Tomcat/Tomcat-ECDSA	—
Cisco Expressway	Serverski sertifikat	Mobilni i Remote Access (MRA)

Sertifikati nisu pogođeni

Svi preostali sertifikati u namenskoj instanci su samopotpisani. Dodatne informacije potražite u odeljku Upravljanje sertifikatima namenske instance.

Da bi se pozabavio promenom Chrome smernica i održao neprekidnu funkcionalnost MTL-a, Cisco će preduzeti sledeće radnje:

• Od 1. juna 2026. ^godine, Cisco će prebaciti javni korijenski CA koji se koristi za potpisivanje sertifikata UC aplikacija namenske instance sa IDEntrust Commercial Root CA 1 na IDtrust Root CA 1 za sve obnove sertifikata.

  Proces obnove sertifikata ostaje isti, a Centar za upozorenja Control Hub obaveštava kupce putem upozorenja „O državanje i prekid rada“ kada je zakazano obnavljanje. Za više informacija pogledajte Upoz orenja o održavanju.

• Sertifikati će nastaviti da uključuju EKU za autentifikaciju servera i klijenta.

Sve aplikacije ili usluge trećih strana u korisničkom okruženju koje povezuju UC aplikacije u namenskoj instanci koristeći TLS ili MTLS veze moraju koristiti isti lanac sertifikata kao i UC aplikacije u namenskoj instanci. Ako prodavnica poverenja za korisničke sisteme ili aplikacije već ne uključuje potrebne organe za sertifikat IDEntrust, novi korenski sertifikat mora biti uvezen da bi se sprečili kvarovi TLS/MTLS veze.

1. Revizija trenutnih MTL veza
   1. Identifikujte aplikacije, usluge trećih strana ili integracije koje se povezuju sa UC aplikacijama u namenskoj instanci koristeći TLS ili MTL-ove.
   2. Proverite da li te aplikacije veruju novom javnom korenskom CA: IDenTrust javnog sektora Root CA 1.
2. Dodajte novi javni korijenski CA (ako je potrebno)
   1. Ako IDEntrust Root CA 1 već nije verovan u korisničkoj aplikaciji ili sistemskoj prodavnici poverenja, mora se dodati.
   2. Isto se može preuzeti sa sledećih linkova:

      Root CA: IDtrust javnog sektora Root CA 1

      Alternativna stranica za preuzimanje: Preuzimanja podrške IDentrust

      Izdavanje/podCA: IDtrust Server javnog sektora CA 1.

   Za većinu aplikacija, poverenje Root CA-u je dovoljno ako server predstavlja ceo lanac. Izdavanje/sub CA je korisno uključiti za aplikacije koje zahtevaju da se posred ni sertifikat uvozi odvojeno.

IDEntrust Public Sector Root CA 1 podrazumevano se veruje u standardnim prodavnicama poverenja za sledeće operativne sisteme i platforme:

• Microsoft Windows
• macOS
• iOS /iPadOS
• Android

Kao rezultat toga, od kupca se traži samo da potvrdi prodavnice poverenja za ove platforme kako bi potvrdio da je osnovni sertifikat novog javnog CA već naveden. Ovo se odnosi na krajnje tačke/klijente ili sisteme trećih strana koji koriste podrazumevane prodavnice poverenja na ovim platformama. Uputstva za ažuriranje prodavnice poverenja na svakoj platformi data su u odeljcima ispod. Odgovornost za obavljanje ovih ažuriranja leži na kupcu ili partneru; linkovi i koraci ispod odnose se na mrežne članke odgovarajućih dobavljača platforme, a Cisco pruža pomoć u najvećoj meri. Za dodatna pojašnjenja, morate raditi direktno sa odgovarajućim dobavljačima platforme.

Napomena o prodavnici poverenja za Android

IDtrust Public Sector Root CA 1 uključen je u prodavnicu CA sistema Android i podrazumevano mu se veruje u trenutno podržanim Android verzijama. Android ne pruža javno mapiranje specifično za verziju za pojedinačne datume uvođenja osnovnih sertifikata. Pove renjem se upravlja putem prodavnice CA sistema Android i distribuira se putem ažuriranja operativnog sistema i ažuriranja sistema Google Plai.

Nije potrebna nikakva akcija korisnika osim ako prodavnica poverenja sistema Android nije izričito modifikovana politikom uređaja, kontrolama upravljanja preduzećem ili ograničenjima poverenja specifičnim za aplikaciju.

IDentrust Root CA 1 javnog sektora nije uključen u Google Chrome root prodavnicu.

Da bi se osiguralo da Google Chrome veruje sertifikatima izdatima u okviru ovog osnovnog sertifikata, korisnici moraju da osigur aju da se osnovnom sertifikatu izričito veruje na nivou operativnog sistema na lokacijama koje Chrome troši za lokalne odluke o poverenju.

Vindovs - potrebna konfiguracija poverenja

Da bi se osiguralo da Google Chrome veruje korenskoj CA u operativnom sistemu Vindovs, IDEntrust Root CA 1 za javni sektor mora biti uvezen na jednu od sledećih lokacija:

• Lokalni računar → Pouzdana autoriteta za sertifikaciju korena

  (Preporučuje se za sisteme kojima upravlja preduzeća)

ili

• Trenutni korisnik → Pouzdana autoriteta za sertifikaciju korena

  (Za poverenje na nivou korisnika)

Google Chrome veruje sertifikatima uvezenim pomoću čarobnjaka za uvoz sertifikata za Vindovs na ove lokacije (uključujući i preko smernica grupe).

Korijenskim sertifikatima koji postoje samo u operativnom sistemu Vindovs treće strane Chrome ne veruje automatski osim ako se izričito ne uvoze kako je gore opisano.

Mac OS - potrebna konfiguracija poverenja

Da bi se osiguralo da Google Chrome veruje root CA-u na macOS-u, IDentrust Root CA 1 javnog sektora mora biti dodan u privezak za ključeve macOS i izričito mu se veruje:

1. Uvezite sertifikat u Sistemski privezak za ključeve (preporučeno) ili Privezak za ključeve za prijavu

2. Otvorite sertifikat i postavite:

   • Kada koristite ovaj sertifikat: Uvek verujte

     (ili najmanje SSL: Uvek verujte)

Jednom kada se poveruje na nivou sistema ili korisnika, Google Chrome će poštovati sertifikat kao pouzdan.

Administratori mogu da potvrde kojim sertifikatima platforme Chrome veruje tako što ćete otići na: chrome: //certificate-manager/localcerts/platformcerts

Za više informacija pogledajte Google često postavljana pitanja.

Integracije trećih strana zahtevaju primarnu validaciju kupaca.

Za sve aplikacije ili usluge trećih strana koje uspostavljaju TLS/MTLS veze sa UC aplikacijama namenske instance, korisnici moraju da prate radnje navedene u promenama javnog CA sertifikata koje utiču na namensku instancu.

Moraćete da sarađujete direktno sa trećim dobavljačem ili IT administratorom ako su potrebna ažuriranja prodavnice poverenja. Izmene prodavnica poverenja trećih strana ili ponašanja validacije sertifikata su izvan Ciscovih odgovornosti i Cisco ne može pomoći u konfiguracijama poverenja sertifikata treće strane ili rešavanju problema.

Kupci mogu da potvrde novi javni root CA koristeći test sertifikat IDentrust.

Ako se stranica uspešno otvori, IDEntrust Root CA 1 javnog sektora ima poverenje u vašem okruženju.

Ako imate pitanja u vezi sa ovom promenom, smernicom pregledača Google Chrome ili ažuriranjima sertifikata u namenskoj instanci, otvorite zahtev za uslugu u kontrolnom čvorištu u okviru životnog veka aplikacije UC.

Korisnici UCM Cloud (UCMC) koji poseduju svoj domen i upravljaju sopstvenim obnavljanjem sertifikata UC aplikacije i koji nisu delegirali ovlašćenja domena Ciscu za potpisivanje sertifikata UC aplikacija biće odgovorni za direktan rad sa izabranim organima za javne sertifikate radi rešavanja ove promene. 

Ovi kupci bi takođe trebalo da se usklade sa primenljivim UC aplikacijskim proizvodima (Cisco-ovi proizvodi za pozivanje na vreme i Cisco Expressway) preporuke u vezi sa upotrebom sertifikata i sanacijom u vezi sa predstojećim promenama javne CA i politike pregledača. Za više informacija pogledajte Ulo ge i odgovornosti. 

Cisco će nastaviti da pruža ažuriranja kako postane dostupna podrška UC aplikacija za odvojene sertifikate servera i klijenta. Pogledajte ovaj dokument za najnovija ažuriranja.

Promene EKU sertifikata: Radnje Cisco-ove lokalne saradnje kupci MORAJU DA PREDUZMU ODSAD