Fysisk säkerhet

Det är viktigt att tillhandahålla fysisk säkerhet till Equinix Meet-Me Room-platser och Cisco Dedicated Instance Data Center-anläggningar. När fysisk säkerhet äventyras kan enkla attacker som serviceavbrott genom att stänga av strömmen till en kunds switchar initieras. Med fysisk åtkomst kan angripare få tillgång till serverenheter, återställa lösenord och få tillgång till switchar. Fysisk åtkomst underlättar också mer sofistikerade attacker som man-in-the-middle attacker, varför det andra säkerhetslagret, nätverkssäkerheten, är kritiskt.

Självkrypterande enheter används i datacenter för dedikerade instanser som är värd för UC-program.

Mer information om allmänna säkerhetsrutiner finns i dokumentationen på följande plats: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Nätverkssäkerhet

Partners måste se till att alla nätverkselement är säkrade i Dedicated Instance-infrastruktur (som ansluter via Equinix). Det är partnerns ansvar att säkerställa bästa säkerhetspraxis som:

• Separat VLAN för röst och data

• Aktivera portsäkerhet som begränsar antalet tillåtna MAC-adresser per port, mot CAM-tabellöversvämning

• IP-källskydd mot falska IP-adresser

• Dynamic ARP Inspection (DAI) undersöker adressupplösningsprotokoll (ARP) och gratis ARP (GARP) för överträdelser (mot ARP-förfalskning)

• 802.1x begränsar nätverksåtkomst för autentisering av enheter på tilldelade VLAN (telefoner stöder 802.1x)

• Konfiguration av servicekvalitet (QoS) för lämplig märkning av röstpaket

• Konfigurationer av brandväggsportar för att blockera all annan trafik

Slutpunktssäkerhet

Cisco-slutpunkter stöder standardsäkerhetsfunktioner som signerad firmware, säker start (utvalda modeller), tillverkarinstallerat certifikat (MIC) och signerade konfigurationsfiler, vilket ger en viss säkerhetsnivå för slutpunkter.

Dessutom kan en partner eller kund aktivera ytterligare säkerhet, till exempel:

• Kryptera IP-telefontjänster (via HTTPS) för tjänster som Extension Mobility

• Utfärda lokalt betydande certifikat (LSCs) från proxyfunktionen för certifikatutfärdare (CAPF) eller en offentlig certifikatmyndighet (CA)

• Kryptera konfigurationsfiler

• Kryptera media och signalering

• Inaktivera dessa inställningar om de inte används: PC-port, PC Voice VLAN-åtkomst, Gratis ARP, Webbåtkomst, Inställningsknapp, SSH, konsol

Genom att implementera säkerhetsmekanismer i den dedikerade instansen förhindras identitetsstöld av telefonerna och Unified CM servern, manipulering av data och manipulering av samtalssignalering/medieström.

Dedikerad instans över nätverket:

• Upprättar och underhåller autentiserade kommunikationsströmmar

• Signerar filer digitalt innan du överför filen till telefonen

• Krypterar medieströmmar och samtalssignalering mellan Cisco Unified IP-telefoner

Säkerhet ger som standard följande automatiska säkerhetsfunktioner för Cisco Unified IP-telefoner:

• Signering av telefonens konfigurationsfiler

• Stöd för telefonkonfigurationsfilkryptering

• HTTPS med Tomcat och andra webbtjänster (MIDlets)

För Unified CM version 8.0 senare tillhandahålls dessa säkerhetsfunktioner som standard utan att köra CTL-klienten (Certificate Trust List).

Eftersom det finns ett stort antal telefoner i ett nätverk och IP-telefoner har begränsat minne Cisco Unified CM fungerar det som ett fjärrförtroendearkiv via TVS (Trust Verification Service) så att ett certifikat inte behöver placeras på varje telefon. Ciscos IP-telefoner kontaktar TVS-servern för verifiering eftersom de inte kan verifiera en signatur eller certifikat via CTL- eller ITL-filer. Att ha en central förtroendebutik är lättare att hantera än att ha förtroendelagret på varje Cisco Unified IP-telefon.

TVS gör det möjligt för Cisco Unified IP-telefoner att autentisera applikationsservrar, till exempel EM-tjänster, katalog och MIDlet, under HTTPS-etablering.

ITL-filen (Initial Trust List) används för den initiala säkerheten, så att slutpunkterna kan lita på. Cisco Unified CM ITL behöver inte några säkerhetsfunktioner aktiveras uttryckligen. ITL-filen skapas automatiskt när klustret installeras. Unified CMTrivial File Transfer Protocol (TFTP) -serverns privata nyckel används för att signera ITL- filen.

När Cisco Unified CM klustret eller servern är i osäkert läge laddas ITL-filen ned på alla Cisco IP-telefoner som stöds. En partner kan visa innehållet i en ITL-fil med kommandot CLI, ad min:show itl.

Cisco IP-telefoner behöver ITL-filen för att utföra följande uppgifter:

• Kommunicera säkert till CAPF, en förutsättning för att stödja konfigurationsfilkryptering

• Autentisera konfigurationsfilens signatur

• Autentisera programservrar, till exempel EM-tjänster, katalog och MIDlet under HTTPS-etablering med TVS

Autentisering för enhet, fil och signalering är beroende av skapandet av CTL-filen (Certificate Trust List), som skapas när partnern eller kunden installerar och konfigurerar Cisco Certificate Trust List Client.

CTL-filen innehåller poster för följande servrar eller säkerhetstoken:

• Säkerhetstoken för systemadministratör (SAST)

• Cisco CallManageroch Cisco TFTP-tjänster som körs på samma server

• Certificate AuthorityProxyfunktion (CAPF)

• TFTP-server (er)

• ASA brandvägg

CTL-filen innehåller ett servercertifikat, offentlig nyckel, serienummer, signatur, utfärdarnamn, ämnesnamn, serverfunktion, DNS-namn och IP-adress för varje server.

Telefonsäkerhet med CTL ger följande funktioner:

• Autentisering av nedladdade TFTP-filer (konfiguration, språk, ringlista osv.) med hjälp av en signeringsnyckel

• Kryptering av TFTP-konfigurationsfiler med en signeringsnyckel

• Krypterad samtalssignalering för IP-telefoner

• Krypterat samtalsljud (media) för IP-telefoner

Dedikerad instans tillhandahåller slutpunktsregistrering och samtalshantering. Signaleringen mellan Cisco Unified CM och slutpunkter baseras på Secure Skinny Client Control Protocol (SCCP) eller Session Initiation Protocol (SIP) och kan krypteras med Transport Layer Security (TLS). Media från/till slutpunkterna baseras på RTP (Real-time Transport Protocol) och kan även krypteras med Secure RTP (SRTP).

Aktivering av blandat läge Unified CM möjliggör kryptering av signalering och medietrafik från och till Cisco-slutpunkterna.

Säkra UC-applikationer

Blandat läge är aktiverat som standard i Dedikerad instans.

Genom att aktivera blandat läge i dedikerad instans kan du utföra kryptering av signalering och medietrafik från och till Cisco-slutpunkterna.

Från Cisco Unified CM version 12.5 (1) lades ett nytt alternativ till för att aktivera kryptering av signalering och media baserat på SIP OAuth istället för blandat läge/CTL för Jabber- och Webex-klienter. Därför kan SIP OAuth och SRTP i Unified CM version 12.5 (1) användas för att aktivera kryptering för signalering och media för Jabber- eller Webex-klienter. Aktivering av blandat läge fortsätter att krävas för Cisco IP-telefoner och andra Cisco-slutpunkter just nu. Det finns en plan att lägga till stöd för SIP OAuth i 7800/8800 slut punkter i en framtida version.

Säkra kommunikationen mellan Cisco Unified CM och CUBE

För säker kommunikation mellan Cisco Unified CM och CUBE måste partner/kunder använda antingen självsignerade certifikat eller CA-signerade certifikat.

För självsignerade certifikat:

1. CUBE och Cisco Unified CM generera självsignerade certifikat

2. CUBE exporterar certifikat till Cisco Unified CM

3. Cisco Unified CMexportcertifikat till CUBE

För CA-signerade certifikat:

1. Klienten genererar ett nyckelpar och skickar en begäran om certifikatsignering (CSR) till (CA) Certificate Authority

2. Certifikatutfärdaren signerar den med sin privata nyckel och skapar ett identitetscertifikat

3. Klienten installerar listan över betrodda certifikatutfärdarcertifikat och mellanhandscertifikat och identitetscertifikatet

Protokollsammanfattning

Följande tabell visar de protokoll och tillhörande tjänster som används i Unified CM lösningen.

Mer information om MRA-konfiguration finns i avsnittet MRA-distributionsscenarier i Mobile and Th Remote Access rough Cisco Expressway Deployment Guide.

Säkra Jabber och Webex med SIP OAuth

Jabber- och Webex-klienter autentiseras via en OAuth-token istället för ett lokalt betydande certifikat (LSC), vilket inte kräver aktivering av certifikatutfärdarens proxyfunktion (CAPF) (även för MRA). SIP OAuth som arbetar med eller utan blandat läge introducerades i Cisco Unified CM 12.5 (1) och senare, Jabber 12.5 och senare och Expressway X12.5.

I Cisco Unified CM 12.5 och senare har vi ett nytt alternativ i Phone Security Profile som möjliggör kryptering utan LSC/CAPF, med hjälp av single Transport Layer Security (TLS) +OAuth-token i SIP REGISTER. Expressway-C-noder använder AXL (Administrative XML Web Service) API för att informera om Cisco Unified CM SN/SAN i certifikatet. Cisco Unified CManvänder denna information för att validera Exp-C-certifikatet när en ömsesidig TLS-anslutning upprättas.

SIP OAuth möjliggör media- och signalkryptering utan slutpunktscertifikat (LSC).

Cisco Jabberanvänder Ephemeral-portar och säkra portar 6971 och 6972 portar via HTTPS-anslutning till TFTP-servern för att ladda ner konfigurationsfilerna. Port 6970 är en icke-säker port för nedladdning via HTTP.

Mer information om SIP OAuth-konfiguration: SIP O Auth-läge.