Tack för din feedback.

Säkerhetsfunktionerna skyddar mot hot, bland annat hot mot identiteten på telefonen och data. Dessa funktioner etablerar och upprätthåller autentiserade kommunikationsströmmar mellan telefonen och Cisco Unified Communications Manager-servern och ser till att telefonen använder endast digitalt signerade filer.

Cisco Unified Communications Manager 8.5 (1) och senare inkluderar säkerhet som standard, vilket ger följande säkerhetsfunktioner i Cisco IP-telefon utan att CTL-klienten körs:

• Signering av telefonens konfigurationsfiler

• Kryptering av telefonens konfigurationsfiler

• HTTPS med Tomcat och andra webbtjänster

Implementerad säkerhet i Cisco Unified Communications Manager-systemet förhindrar identitetsstöld i telefoner och Cisco Unified Communications Manager-servern, datamanipulering, samtalssignalering och mediströmmanipulering.

Cisco IP-telefoninätverk motverkar hoten genom att etablera och upprätthålla säkra (krypterade) kommunikationsströmmar mellan telefon och server, signera filer digitalt innan de överförs till en telefon och kryptera medieströmmar och samtalssignalering mellan Cisco IP-telefoner.

Ett LSC-certifikat installeras på telefonerna när du utför de nödvändiga åtgärder som är kopplade till CAPF. Du kan använda Cisco Unified Communications Manager Administration för att konfigurera en LSC enligt beskrivningen i säkerhetshandboken #Cisco Unified Communications Manager. Alternativt kan du starta installationen av en LSC från menyn Säkerhet på telefonen. På denna meny kan du även uppdatera eller ta bort ett LSC-certifikat.

Telefonerna används med telefonsäkerhetsprofilen, som anger om enheten är osäker eller säker. Mer information om användning av säkerhetsprofilen i telefonen finns i dokumentationen till din utgåva av Cisco Unified Communications Manager.

Om du konfigurerar säkerhetsrelaterade inställningar i Cisco Unified Communications Manager Administration, innehåller telefonkonfigurationsfilen känslig information. För att säkerställa sekretessen i en konfigurationsfil måste du konfigurera den för kryptering. Mer detaljerad information finns i dokumentationen till din utgåva av Cisco Unified Communications Manager.

Följande tabell ger en översikt över de säkerhetsfunktioner som telefonerna stöder. Mer information finns i dokumentationen till din utgåva av Cisco Unified Communications Manager.

Följande tabell innehåller meddelanden och innebörd av uppdateringslarm för listan över betrodda adresser. Mer information finns i dokumentationen till Cisco Unified Communications Manager.

När säkerhet har implementerats för en telefon kan du identifiera säkra telefonsamtal med hjälp av ikoner på telefonens skärm. Du kan också fastställa om den anslutna telefonen är säker och skyddad beroende på om en säkerhetston spelas upp i början av samtalet.

I ett säkert samtal är all samtalssignalering och alla mediaströmmar krypterade. Ett säkert samtal ger en hög nivå av säkerhet för att ge integritet och sekretess i samtalet. När ett pågående samtal är krypterat kan du se säkerhetsikonen På linjen.

I Cisco Unified Communications Manager kan telefoner som konfigurerats som säkra (krypterade och betrodda) tilldelas en skyddad status. När de har skyddats kan dessa enheter konfigureras för att spela upp en säkerhetston i början av varje samtal.

• Skyddad enhet:

  Så här ändrar du statusen för en säker telefon till skyddad:

  1. I Cisco Unified Communications Manager Administration väljer du Enhet > Telefon.
  2. Leta reda på telefonen som du ska konfigurera.
  3. I fönstret Telefonkonfiguration markerar du kryssrutan Skyddad enhet .
  4. Klicka på Spara.

• Spela upp säker indikeringston:

  Så här aktiverar du den skyddade telefonen för att spela upp en säker eller osäker indikationston:

  1. I Cisco Unified Communications Manager Administration väljer du System > tjänstparametrar.
  2. Välj servern och sedan Cisco CallManager tjänsten.
  3. I området Clusterwide Parameters (Feature – Secure Tone) ställer du in inställningen Play Tone to Indicate Secure/Non-secure Call Status (Säker/ej säker samtalsstatus ) på Sant.
  4. Klicka på Spara.

Eftersom alla WLAN-enheter som finns inom räckvidd kan ta emot all övrig WLAN-trafik är det nödvändigt att säkra röstkommunikation i WLAN. För att säkerställa att inkräktare inte manipulerar eller avlyssnar rösttrafik stöder Cisco SAFE Security-arkitekturen telefonen. Mer information om säkerhet i nätverk finns i http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Telefonilösningen Cisco Wireless IP tillhandahåller säkerhet för trådlösa nätverk som förhindrar obehöriga inloggningar och komprometterad kommunikation genom att använda följande autentiseringsmetoder som telefonen stöder.

• Öppen autentisering: Alla trådlösa enheter kan begära autentisering i ett öppet system. Åtkomstpunkten som tar emot begäran kan medge autentisering för alla begäranden eller bara för de begäranden som finns med i en lista över användare. Kommunikationen mellan den trådlösa enheten och åtkomstpunkten (åtkomstpunkten) kan vara icke-krypterad.

• Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling (EAP-FAST) Autentisering: Den här säkerhetsarkitekturen på klient-servern krypterar EAP-transaktioner i en TLS-tunnel (Transport Level Security) mellan åtkomstpunkten och RADIUS-servern, till exempel ISE (Identity Services Engine).

  TLS-tunneln använder skyddad PAC (Protected Access Credentials) för autentisering mellan klienten (telefonen) och RADIUS-servern. Servern skickar ett utfärdar-ID till klienten (telefon), som i sin tur väljer lämpligt PAC. Klienten (telefonen) returnerar ett PAC-täckande till RADIUS-servern. Servern dekrypterar PAC med den primära nyckeln. Båda slutpunkterna har nu PAC-nyckeln och en TLS-tunnel skapas. EAP-FAST stöder automatisk PAC-etablering, men du måste aktivera den på RADIUS-servern.

  I ISE upphör PAC som standard att gälla om en vecka. Om telefonen har en utgången PAC, tar autentisering med RADIUS-servern längre tid när telefonen får ett nytt PAC. För att undvika fördröjningar i PAC-etableringen kan du sätta PAC-utgångstiden till 90 dagar eller längre på ISE- eller RADIUS-servern.

• Autentisering via EAP-TLS (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS kräver ett klientcertifikat för autentisering och nätverksåtkomst. För trådlösa EAP-TLS kan klientcertifikatet vara MIC, LSC, eller användarinstallerat certifikat.

• Skyddat PEAP (Extensible Authentication Protocol): Ciscos tillverkarspecifika lösenordsbaserade och växelvisa autentiseringsschema mellan klient (telefon) och RADIUS-server. Telefonen kan använda PEAP för autentisering med det trådlösa nätverket. Både PEAP-MSCHAPV2 och PEAP-GTC autentiseringsmetoder stöds.

• PSK (Pre-Shared Key): Telefonen stöder formaten ASCII och hexadecimalt (HEX). Du måste använda dessa format när du konfigurerar en i förväg delad WPA2/SAE-nyckel.

  ASCII: En ASCII-teckensträng med 8 till 63 tecken i längd (0-9, gemener a-z, versaler A-Z och specialtecken). Till exempel GREG123567@9ZX&W.

  HEX: En HEX-teckensträng med 64 hexsiffror i längd (0-9, a-f eller A-F).

Följande autentiseringsscheman använder RADIUS-servern för att hantera autentiseringsnycklar:

• WPA2/WPA3: Använder RADIUS serverinformation för att skapa unika nycklar för autentisering. Eftersom de här nycklarna har genererats på den centrala RADIUS-servern ger WPA2/WPA3 högre säkerhet än i förväg delade WPA-nycklar som lagras på åtkomstpunkten och telefonen.

• Säker och snabb roaming: Används med RADIUS-server och information om trådlös domänserver vid hantering och autentisering av nycklar. WDS skapar en cache med säkerhetsuppgifter för FT-aktiverade klientenheter för snabb och säker omautentisering.

Med WPA2/WPA3 matas inga krypteringsnycklar in på telefonen, utan härleds automatiskt mellan åtkomstpunkten och telefonen. Men EAP-användarnamn och lösenord som används för autentisering måste anges på respektive telefon.

För att skydda rösttrafiken via den trådlösa länken stöder telefonen AES-baserad kryptering för WPA2/WPA3-autentisering. AES är ett symmetriskt blockchiffer standardiserat av NIST. AES använder en fast 128-bitars blockstorlek och stöder nyckelstorlekar på 128 bitar, 192 bitar och 256 bitar. I Wi-Fi-nätverk används AES av chiffersviter som CCMP eller GCMP, medan autentisering tillhandahålls separat av PSK, SAE eller 802.1X/EAP, beroende på det konfigurerade WLAN-säkerhetsläget. Vilken chiffersviten och nyckelstorleken som stöds beror på telefonmodellen och WLAN konfigurationen.

När telefonen använder AES-kryptering krypteras både SIP-signalpaketen och RTP-röstpaketen (Real-Time Transport Protocol) mellan åtkomstpunkten och telefonen.

Autentiserings- och krypteringsscheman ställs in i det trådlösa nätverket. VLAN konfigureras i nätverket och på åtkomstpunkterna, och anger olika kombinationer av autentisering och kryptering. Ett SSID kan kopplas till ett VLAN och valt autentiserings- och krypteringsschema. För att trådlösa klientenheter ska kunna autentiseras måste du konfigurera samma SSID med deras autentiserings- och krypteringsscheman på åtkomstpunkterna och på telefonen.

Vissa autentiseringsscheman kräver en viss typ av kryptering.

Autentiserings- och krypteringsschemana i följande tabell visar nätverkskonfigurationsalternativen för Cisco Trådlös telefon 9821 som motsvarar AP-konfigurationen.

Cisco Trådlös telefon 9821 stöder 802.1X-autentisering för trådbundna nätverk. Detta används vanligtvis under automatisk etablering när telefonen är ansluten till skrivbordsladdaren via en USB-till-Ethernet-adapter som stöds.

Stöd för 802.1X-autentisering i kabelanslutna nätverk kräver flera komponenter enligt följande:

• Cisco IP-telefon: Telefonen initierar begäran om att få tillgång till nätverket. Cisco IP-telefon innehåller en 802.1X-supplikant. Supplikanten tillåter att nätverksadministratörer kan styra uppkoppling av IP-telefoner till LAN-växelportar. I den aktuella versionen av telefonens 802.1X-supplikant används EAP-FAST och EAP-TLS för nätverksautentisering.

• Autentiseringsserver: Både autentiseringsservern och växeln måste konfigureras med en delad RADIUS-hemlighet.

• Växel: Växeln måste ha stöd för 802.1X så att den kan fungera som autentiserare och vidarebefordra EAP-meddelanden mellan telefonen och autentiseringsservern. När utväxlingen är klar beviljar eller nekar växeln åtkomst till nätverket för telefonen.

Cisco IP-telefoner och Cisco Catalyst-växlar använder traditionellt Ciscos CDP-protokoll för att identifiera varandra och fastställa parametrar som VLAN-tilldelning och interna strömbehov.

Du måste utföra följande åtgärder för att konfigurera 802.1X.

• Konfigurera förbikoppling av CDP/LLDP röst VLAN.

• Konfigurera autentiseringsservern och växeln innan du aktiverar 802.1X-autentisering för kabelanslutna nätverk på telefonen.

• Konfigurera röst-VLAN: Eftersom 802.1X-standarden inte tar hänsyn till VLAN, bör du konfigurera den här inställningen baserat på växelstöd.

  • Aktiverad: Om du använder en växel som stöder multidomänautentisering kan du konfigurera den för att använda rösten VLAN.
  • Inaktiverat: Om växeln inte stöder multidomänautentisering inaktiverar du röst-VLAN och överväg sedan att tilldela porten till det inbyggda VLAN-nätet.

• Cisco Trådlös telefon 9821 har ett annat prefix i PID än det för de andra Cisco telefonerna. Om du vill att telefonen ska klara 802.1X-autentisering ställer du in radien · Parametern Användarnamn för att inkludera din Cisco trådlösa telefon 9821.

  Till exempel är PID för Cisco Wireless Phone 9821 WP-9821. Du kan ställa in radie· Användarnamn för att börja med WP eller Innehåller WP i båda följande avsnitt:

  • Policy > Villkor > Biblioteksvillkor

  • Policy > Principuppsättningar > Auktoriseringsprincip > Auktoriseringsregel 1