Tack för din feedback.

Säkerhetsfunktioner skyddar mot hot, inklusive hot mot telefonens identitet och mot data. Dessa funktioner skapar och underhåller autentiserade kommunikationsströmmar mellan telefonen och Cisco Unified Communications Manager servern och säkerställer att telefonen endast använder digitalt signerade filer.

Cisco Unified Communications ManagerVersion 8.5 (1) och senare innehåller säkerhet som standard, vilket ger följande säkerhetsfunktioner för Cisco IP-telefoner utan att köra CTL- klienten:

• Signering av telefonens konfigurationsfiler

• Telefonkonfigurationsfilkryptering

• HTTPS med Tomcat och andra webbtjänster

Genom att implementera säkerhet i Cisco Unified Communications Manager systemet förhindrar identitet sstöld av telefonen och Cisco Unified Communications Manager servern, förhindrar manipulering av data och förhindrar samtalssignalering och manipulering av mediaströmmar.

För att lindra dessa hot upprättar och underhåller Ciscos IP-telefoninätverk säkra (krypterade) kommunikationsströmmar mellan en telefon och servern, signerar filer digitalt innan de överförs till en telefon och krypterar mediaströmmar och samtalssignalering mellan Cisco IP-telefoner.

Ett lokalt betydande certifikat (LSC) installeras på telefoner när du har utfört nödvändiga uppgifter som är associerade med Certificate Authority proxyfunktionen (CAPF). Du kan använda Cisco Unified Communications Manager Administration för att konfigurera en LSC, enligt beskrivningen i Cisco Unified Communications Manager säkerhetsguiden. Alternativt kan du initiera installationen av en LSC från menyn Säkerhetsinställningar på telefonen. Med den här menyn kan du också uppdatera eller ta bort en LSC.

Telefonerna använder telefonens säkerhetsprofil, som definierar om enheten är osäker eller säker. Information om hur du använder säkerhetsprofilen på telefonen finns i dokumentationen för just din Cisco Unified Communications Manager version.

Om du konfigurerar säkerhetsrelaterade inställningar i Cisco Unified Communications Manager Administration innehåller telefonens konfigurationsfil känslig information. För att säkerställa sekretessen för en konfigurationsfil måste du konfigurera den för kryptering. För detaljerad information, se dokumentationen för just din Cisco Unified Communications Manager version.

Telefonen överensstämmer med Federal Information Processing Standard (FIPS). För att fungera korrekt kräver FIPS-läget en nyckelstorlek på 2048 bitar eller större. Om certifikatet är mindre än 2048 bitar registreras inte telefonen med Cisco Unified Communications Manager och telefonen kunde inte registreras. Cert-nyckelstorleken är inte FIPS-kompatibla skärmar på telefonen.

Om telefonen har en LSC måste du uppdatera LSC-nyckelstorleken till 2048 bitar eller mer innan du aktiverar FIPS.

Följande tabell ger en översikt över de säkerhetsfunktioner som telefonerna stöder. Mer information finns i dokumentationen för just din Cisco Unified Communications Manager version.

Om du vill visa säkerhetsläget trycker du på Inställningar och navigerar till Nätverk och tjänst > Säkerhetsinställningar.

Följande tabell innehåller larmmeddelanden och betydelse för uppdateringen av förtroendelistan. Mer information finns i Cisco Unified Communications Manager dokumentationen.

På menyn Säkerhetsinställningar finns information om olika säkerhetsinställningar. Menyn ger också åtkomst till menyn Trust List och anger om CTL- eller ITL-filen är installerad på telefonen.

I följande tabell beskrivs alternativen på menyn Säkerhetsinställningar.

Cisco IP- telefoner stöder 802.1X-autentisering.

Ciscos IP-telefoner och Cisco Catalyst-switchar använder traditionellt Cisco Discovery Protocol (CDP) för att identifiera varandra och bestämma parametrar som VLAN-allokering och inbyggda strömkrav. CDP identifierar inte lokalt anslutna arbetsstationer. Cisco IP-telefoner tillhandahåller en EAPOL-genomgångsmekanism. Denna mekanism gör det möjligt för en arbetsstation ansluten till Cisco IP Phone att skicka EAPOL-meddelanden till 802.1X-autentiseraren vid LAN-omkopplaren. Genomströmningsmekanismen säkerställer att IP-telefonen inte fungerar som LAN-omkopplaren för att autentisera en datapunkt innan du ansluter till nätverket.

Cisco IP-telefoner tillhandahåller också en proxy EAPOL Logoff-mekanism. Om den lokalt anslutna datorn kopplas bort från IP-telefonen ser LAN-omkopplaren inte den fysiska länken misslyckas, eftersom länken mellan LAN-omkopplaren och IP-telefonen bibehålls. För att undvika att äventyra nätverksintegriteten skickar IP-telefonen ett meddelande om EAPOL-avloggning till switchen på uppdrag av nedströmsdatorn, vilket aktiverar LAN-omkopplaren för att rensa autentiseringsposten för nedströmsdatorn.

Stöd för 802.1X-autentisering kräver flera komponenter:

• Cisco IP-telefon: Telefonen initierar begäran om åtkomst till nätverket. Cisco IP-telefoner innehåller en 802.1X-supplicant. Denna supplicant tillåter nätverksadministratörer att styra anslutningen av IP-telefoner till LAN-switchportarna. Den aktuella versionen av telefonens 802.1X-supplicant använder alternativen EAP-FAST och EAP-TLS för nätverksautentisering.

• Autentiseringsserver: Både autentiseringsservern och växeln måste konfigureras med en delad hemlighet som autentiserar telefonen.

• Switch: Omkopplaren måste stödja 802.1X, så att den kan fungera som autentiserare och skicka meddelanden mellan telefonen och autentiseringsservern. När utbytet är klart beviljar eller nekar omkopplaren telefonens åtkomst till nätverket.

Du måste utföra följande åtgärder för att konfigurera 802.1X.

• Konfigurera de andra komponenterna innan du aktiverar 802.1X-autentisering på telefonen.

• Konfigurera PC-port: 802.1X-standarden tar inte hänsyn till VLAN och rekommenderar därför att endast en enda enhet ska autentiseras till en specifik switchport. Vissa switchar stöder dock autentisering med flera domäner. Switchkonfigurationen avgör om du kan ansluta en dator till telefonens PC-port.

  • Aktiverad: Om du använder en switch som stöder autentisering med flera domäner kan du aktivera PC-porten och ansluta en dator till den. I det här fallet stöder Cisco IP-telefoner proxy EAPOL-Logoff för att övervaka autentiseringsutbytet mellan switchen och den anslutna datorn.

    Mer information om stöd för IEEE 802.1X för Cisco Catalyst-switchar finns i konfigurationsguiderna för Cisco Catalyst-switchar på:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Inaktiverad: Om switchen inte stöder flera 802.1X-kompatibla enheter på samma port bör du inaktivera PC-porten när 802.1X-autentisering är aktiverad. Om du inte inaktiverar den här porten och sedan försöker ansluta en dator till den, nekar switchen nätverksåtkomst till både telefonen och datorn.

• Konfigurera Voice VLAN: Eftersom 802.1X-standarden inte tar hänsyn till VLAN bör du konfigurera den här inställningen baserat på switchstödet.
  • Aktiverad: Om du använder en switch som stöder autentisering med flera domäner kan du fortsätta använda röstVLAN.
  • Inaktiverad: Om växeln inte stöder autentisering med flera domäner inaktiverar du Voice VLAN och överväg att tilldela porten till det ursprungliga VLAN-nätverket.
• (Endast för Cisco Desk Phone 9800-serien)

  Cisco Desk Phone 9800-serien har ett annat prefix i PID än för de andra Cisco-telefonerna. Om du vill att telefonen ska klara 802.1X-autentisering ställer du in parametern Radius·User-Nam n så att den inkluderar din Cisco Desk Phone 9800-serien.

  Till exempel är PID för telefon 9841 DP-9841. Du kan ställa in Radius·Användarnamn till Börja med DP eller Innehåller DP. Du kan ställa in det i båda följande avsnitt:

  • Policy > Villkor > Biblioteksvillkor

  • Princip > Princip uppsättningar > Auktor iseringsprinci p > Auktoriseringsregel 1

När säkerhet implementeras för en telefon kan du identifiera säkra telefonsamtal med ikoner på telefonskärmen. Du kan också avgöra om den anslutna telefonen är säker och skyddad om en säkerhetston spelas upp i början av samtalet.

I ett säkert samtal krypteras all samtalssignalering och mediaströmmar. Ett säkert samtal erbjuder en hög säkerhetsnivå, vilket ger integritet och integritet till samtalet. När ett pågående samtal är krypterat kan du se den säkra ikonen på linjen. För en säker telefon kan du också visa den autentiserade ikonen eller den krypterade ikonen bredvid den anslutna servern i telefonmenyn (Inställningar > Om den här enheten).

I ett säkert samtal spelas en säkerhetston i början av ett samtal för att indikera att den andra anslutna telefonen också tar emot och sänder säkert ljud. Om ditt samtal ansluts till en osäker telefon spelas inte säkerhetstonen upp.

När en telefon är konfigurerad som säker (krypterad och betrodd) i Cisco Unified Communications Manager kan den ges en skyddad status. Efter det, om så önskas, kan den skyddade telefonen konfigureras för att spela en indikationston i början av ett samtal:

• Skyddad enhet: Om du vill ändra status för en säker telefon till skyddad markerar du kryssrutan Skyddad enhet i fönstret Telefonkonfiguration i Cisco Unified Communications Manager Administration (Enh et > Telefon).

• Spela upp säker indikeringston: Om du vill aktivera den skyddade telefonen att spela upp en säker eller osäker indikationston ställer du in inställningen Spela upp säker indikationston på True. Som standard är Play Secure Indication Tone inställd på Falsk. Du ställer in det här alternativet i Cisco Unified Communications Manager Administration (System > Serviceparametrar). Välj servern och sedan tjänsten Unified Communications Manager. I fönstret Service Parameter Configuration väljer du alternativet i området Feature - Secure Tone. Standardvärdet är False.

Eftersom alla WLAN-enheter som är inom räckhåll kan ta emot all annan WLAN-trafik är det viktigt att säkra röstkommunikation i WLAN. För att säkerställa att inkräktare inte manipulerar eller avlyssnar rösttrafik stöder Cisco SAFE Security-arkitekturen telefonen. Mer information om säkerhet i nätverk finns på http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Cisco Wireless IP-telefonilösning ger trådlös nätverkssäkerhet som förhindrar obehöriga inloggningar och komprometterad kommunikation genom att använda följande autentiseringsmetoder som telefonen stöder:

• Öppen autentisering: Alla trådlösa enheter kan begära autentisering i ett öppet system. Den åtkomstpunkt som tar emot begäran kan bevilja autentisering till alla begärare eller endast till begärare som finns i en lista över användare. Kommunikationen mellan den trådlösa enheten och åtkomstpunkten (AP) kan vara icke-krypterad.

• Extensible Authentication Protocol-Flexibel autentisering via EAP-FAST-autentisering (Secure Tunneling): Denna klient-server säkerhetsarkitektur krypterar EAP-transaktioner inom en TLS-tunnel (Transport Level Security) mellan åtkomstpunkten och RADIUS-servern, till exempel Identity Services Engine (ISE).

  TLS-tunneln använder PAC (Protected Access Credentials) för autentisering mellan klienten (telefonen) och RADIUS-servern. Servern skickar ett Authority ID (AID) till klienten (telefon), som i sin tur väljer lämplig PAC. Klienten (telefonen) returnerar en PAC-opak till RADIUS-servern. Servern dekrypterar PAC med primärnyckeln. Båda slutpunkterna innehåller nu PAC-nyckeln och en TLS-tunnel skapas. EAP-FAST stöder automatisk PAC-etablering, men du måste aktivera den på RADIUS-servern.

  I ISE, som standard, löper PAC ut om en vecka. Om telefonen har en utgått PAC tar autentiseringen med RADIUS-servern längre tid medan telefonen får en ny PAC. För att undvika förseningar i PAC-provisionering ställer du in PAC-förfalloperioden till 90 dagar eller längre på ISE- eller RADIUS-servern.

• EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) Authentication: EAP-TLS kräver ett klientcertifikat för autentisering och nätverksåtkomst. För trådlös EAP-TLS kan klientcertifikatet vara MIC, LSC eller användarinstallerat certifikat.

• PEAP (Protected Extensible Authentication Protocol): Ciscos egenutvecklade lösenordsbaserade system för ömsesidig autentisering mellan klienten (telefonen) och en RADIUS-server. Telefonen kan använda PEAP för autentisering med det trådlösa nätverket. Både PEAP-MSCHAPV2- och PEAP-GTC-autentiseringsmetoderna stöds.

• Fördelad nyckel (PSK): Telef onen stöder ASCII-format. Du måste använda det här formatet när du ställer in en fördelad WPA/WPA2/SAE nyckel:

  ASCII: en ASCII-teckensträng med 8 till 63 tecken i längd (0-9, gemener och versaler A-Z och specialtecken)

  Exempel: GREG123567 @9ZX &W

Följande autentiseringsscheman använder RADIUS-servern för att hantera autentiseringsnycklar:

• WPA/WPA2/WPA3: Använder RADIUS-serverinformation för att generera unika nycklar för autentisering. Eftersom dessa nycklar genereras på den centraliserade RADIUS-servern ger WPA2/WPA3 större säkerhet än WPA-fördelade nycklar som lagras på åtkomstpunkten och telefonen.

• Snabb säker roaming: Använder RADIUS-server och en WDS-information (Wireless Domain Server) för att hantera och autentisera nycklar. WDS skapar en cache med säkerhetsuppgifter för FT-aktiverade klientenheter för snabb och säker återautentisering. Cisco Desk Phone 9861 och 9871 och Cisco Video Phone 8875 stöder 802.11r (FT). Både över luften och över DS stöds för att möjliggöra snabb säker roaming. Men vi rekommenderar starkt att du använder 802.11r (FT) over air-metoden.

Med WPA/WPA2/WPA3 matas inte krypteringsnycklar in på telefonen utan härleds automatiskt mellan åtkomstpunkten och telefonen. Men EAP-användarnamnet och lösenordet som används för autentisering måste anges på varje telefon.

För att säkerställa att rösttrafiken är säker stöder telefonen TKIP och AES för kryptering. När dessa mekanismer används för kryptering krypteras både signalerande SIP-paket och RTP-paket (Voice Real-Time Transport Protocol) mellan AP och telefonen.

TKIP

WPA använder TKIP-kryptering som har flera förbättringar jämfört med WEP. TKIP tillhandahåller nyckelkryptering per paket och längre initialiseringsvektorer (IV) som stärker krypteringen. Dessutom säkerställer en MIC (Message Integrity Check) att krypterade paket inte ändras. TKIP tar bort förutsägbarheten hos WEP som hjälper inkräktare att dechiffrera WEP-nyckeln.

AES

En krypteringsmetod som används för WPA2/WPA3-autentisering. Denna nationella standard för kryptering använder en symmetrisk algoritm som har samma nyckel för kryptering och dekryptering. AES använder Cipher Blocking Chain (CBC) kryptering av 128 bitar i storlek, som stöder nyckelstorlekar på 128 bitar, 192 bitar och 256 bitar, som ett minimum. Telefonen stöder en nyckelstorlek på 256 bitar.

Autentiserings- och krypteringsscheman ställs in i det trådlösa nätverket. VLAN är konfigurerade i nätverket och på AP: erna och anger olika kombinationer av autentisering och kryptering. En SSID associeras med ett VLAN och det specifika autentiserings- och krypteringsschemat. För att trådlösa klientenheter ska autentisera framgångsrikt måste du konfigurera samma SSID: er med deras autentiserings- och krypteringsscheman på åt:erna och på telefonen.

Vissa autentiseringsscheman kräver specifika typer av kryptering.

Autentiserings- och krypteringsscheman i följande tabell visar nätverkskonfigurationsalternativen för telefonen som motsvarar AP-konfigurationen.

Assured Services SIP (AS-SIP) är en samling funktioner och protokoll som erbjuder ett mycket säkert samtalsflöde för Cisco IP-telefoner och tredjepartstelefoner. Följande funktioner kallas gemensamt AS-SIP:

• Prioritet och preemption på flera nivåer (MLPP)
• Kodpunkt för differentierade tjänster (DSCP)
• Transport Layer Security (TLS) och Secure Real-Time Transport Protocol (SRTP)
• Internetprotokoll version 6 (IPv6)

AS-SIP används ofta med Multilevel Priority and Preemption (MLPP) för att prioritera samtal under en nödsituation. Med MLPP tilldelar du en prioritetsnivå till dina utgående samtal, från nivå 1 (låg) till nivå 5 (hög). När du tar emot ett samtal visas en prioritetsnivåikon på telefonen som visar samtalsprioriteten.

Om du vill konfigurera AS-SIP utför du följande uppgifter på: Cisco Unified Communications Manager

• Konfigurera en sammanfattande användare — Konfigurera slutanvändaren så att den använder sammanfattningsautentisering för SIP-begäranden.
• Konfigurera SIP Phone Secure Port— Cisco Unified Communications Manager använder den här porten för att lyssna på SIP-telefoner för SIP-linjeregistreringar över TLS.
• Starta om tjänster — När du har konfigurerat den säkra porten startar du om tjänsterna Cisco Unified Communications Manager och Cisco CTL Provider. Konfigurera SIP-profil för AS-SIP-Konfigurera en SIP-profil med SIP-inställningar för dina AS-SIP-slutpunkter och för dina SIP-trunkar. De telefonspecifika parametrarna hämtas inte till en AS-SIP-telefon från tredje part. De används endast av Cisco Unified Manager. Tredjepartstelefoner måste konfigurera samma inställningar lokalt.
• Konfigurera telefonsäkerhetsprofil för AS-SIP — Du kan använda telefonens säkerhetsprofil för att tilldela säkerhetsinställningar som TLS, SRTP och sammanfattningsautentisering.
• Konfigurera AS-SIP-slutpunkt — Konfigurera en Cisco IP-telefon eller en tredjeparts slutpunkt med AS-SIP-stöd.
• Associera enhet med slutanvändare — Associera slutpunkten med en användare.
• Konfigurera SIP Trunk Security Profile för AS-SIP — Du kan använda sip-trunkens säkerhetsprofil för att tilldela säkerhetsfunktioner som TLS eller sammanfattningsautentisering till en SIP-trunk.
• Konfigurera SIP Trunk för AS-SIP — Konfigurera en SIP-trunk med AS-SIP-stöd.
• Konfigurera AS-SIP-funktioner — Konfigurera ytterligare AS-SIP-funktioner som MLPP, TLS, V.150 och IPv6.

För detaljerad information om hur du konfigurerar AS-SIP, se kapitlet ”Konfigurera AS-SIP-slutpunkter” i Funktionskonfigurations guide för. Cisco Unified Communications Manager

När forcerade auktoriseringskoder (FAC) eller Client Matter CMC (Client Matter Codes), eller båda är konfigurerade på telefonen, måste användarna ange de lösenord som krävs för att ringa ut ett nummer.

Mer information om hur du ställer in FAC och CMC i finns i Cisco Unified Communications Manager kapitlet "Klientärkoder och obligatoriska auktoriseringskoder" i Fe ature Configuration Guide för Cisco Unified Communications Manager version 12.5 (1) eller senare.

Cisco VPN-funktionen hjälper dig att bevara nätverkssäkerheten samtidigt som du ger användarna en säker och pålitlig metod för att ansluta till ditt företagsnätverk. Använd den här funktionen när:

• En telefon finns utanför ett betrodd nätverk
• Nätverkstrafik mellan telefonen och Cisco Unified Communications Manager korsar ett opålitligt nätverk

Med en VPN finns det tre vanliga metoder för klientautentisering:

• Digitala certifikat
• Lösenord
• Användarnamn och lösenord

Varje metod har sina fördelar. Men om företagets säkerhetspolicy tillåter det rekommenderar vi ett certifikatbaserat tillvägagångssätt eftersom certifikat möjliggör en sömlös inloggning utan användarens ingripande. Både LSC- och MIC-certifikat stöds.

Om du vill konfigurera någon av VPN-funktionerna installerar du enheten lokalt först och sedan kan du distribuera enheten off-premise.

Mer information om certifieringsautentisering och arbete med VPN-nätverk finns i Konfigurera AnyConnect VPN telefon med certifikatautentisering på en ASA.

Med ett lösenord, eller användarnamn och lösenord, uppmanas användaren att ange inloggningsuppgifter. Ange inloggningsuppgifter för användare i enlighet med företagets säkerhetspolicy. Du kan också konfigurera inställningen Aktivera lösenordsbeständighet så att användarlösenordet sparas på telefonen. Användarlösenordet sparas tills antingen ett misslyckat inloggningsförsök inträffar, en användare rensar lösenordet manuellt eller telefonen återställer eller förlorar ström.

Ett annat användbart verktyg är inställningen Aktivera automatisk nätverksdetektering. När du aktiverar den här kryssrutan kan VPN-klienten bara köras när den upptäcker att den befinner sig utanför företagets nätverk. Den här inställningen är inaktiverad som standard.

Din Cisco-telefon stöder Cisco SVC IPPhone Client v1.0 som klienttyp.

Mer information om hur du konfigurerar VPN på finns i Unified CM Funktionskonfigurationsguide för Cisco Unified Communications Manager.

Cisco VPN-funktionen använder Secure Sockets Layer (SSL) för att bevara nätverkssäkerheten.