Du kan aktivera Cisco Unified Communications Manager i en förbättrad säkerhetsmiljö. Med dessa förbättringar fungerar telefonnätverket under en uppsättning strikta säkerhets- och riskhanteringskontroller för att skydda dig och dina användare.

Den förbättrade säkerhetsmiljön innehåller följande funktioner:

  • Autentisering för kontaktsökning.

  • TCP som standardprotokoll för fjärrgranskningsloggning.

  • FIPS-läge.

  • En förbättrad policy för autentiseringsuppgifter.

  • Stöd för SHA-2-familjen av hashes för digitala signaturer.

  • Stöd för en RSA-nyckelstorlek på 512 bitar och 4096 bitar.

Med Cisco Unified Communications Manager version 14.0 och fast programvara för Cisco videotelefon 2.1 och senare har telefonerna stöd för SIP OAuth-autentisering.

OAuth stöds för TFTP (Proxy Trivial File Transfer Protocol) med Cisco Unified Communications Manager version 14.0 (1) SU1 eller senare. Proxy TFTP och OAuth för proxy TFTP stöds inte på Mobile Remote Access (MRA).

Mer information om säkerhet finns i följande:

Din telefon kan endast lagra ett begränsat antal ITL-filer (Identity Trust List). ITL-filer får inte överstiga 64 K på telefonen, så begränsa antalet filer som Cisco Unified Communications Manager skickar till telefonen.

Säkerhetsfunktioner som stöds

Säkerhetsfunktionerna skyddar mot hot, inklusive hot mot telefonens identitet och data. Dessa funktioner upprättar och upprätthåller autentiserade kommunikationsströmmar mellan telefonen och Cisco Unified Communications Manager-servern och säkerställer att telefonen endast använder digitalt signerade filer.

Cisco Unified Communications Manager version 8.5 (1) och senare inkluderar säkerhet som standard, vilket ger följande säkerhetsfunktioner för Cisco IP-telefon utan att CTL-klienten körs:

  • Signera telefonkonfigurationsfilerna

  • Kryptering av telefonkonfigurationsfil

  • HTTPS med Tomcat och andra webbtjänster

Säker signalering och mediefunktioner kräver fortfarande att du kör CTL-klienten och använder maskinvarans eTokens.

Implementering av säkerhet i Cisco Unified Communications Manager-systemet förhindrar identitetsstöld av telefonen och Cisco Unified Communications Manager-servern, manipulering av data samt samtalssignalering och medieströmning.

För att minska dessa hot upprättar och upprätthåller Cisco IP-telefoninätverket säkra (krypterade) kommunikationsströmmar mellan en telefon och servern, signerar filer digitalt innan de överförs till en telefon och krypterar medieströmmar och samtalssignalering mellan Cisco IP-telefoner.

Ett LSC (Locally Significant Certificate) installeras på telefoner när du utför de nödvändiga uppgifterna som är kopplade till CAPF (Certificate Authority Proxy Function). Du kan använda Cisco Unified Communications Manager Administration för att konfigurera en LSC enligt beskrivningen i Cisco Unified Communications Manager Security Guide. Alternativt kan du starta installationen av en LSC från menyn Säkerhetsinställningar på telefonen. På den här menyn kan du även uppdatera eller ta bort en LSC.

En LSC kan inte användas som användarcertifikat för EAP-TLS med WLAN-autentisering.

Telefonerna använder telefonens säkerhetsprofil, som anger om enheten är osäker eller säker. Mer information om hur du tillämpar säkerhetsprofilen på telefonen finns i dokumentationen till din utgåva av Cisco Unified Communications Manager.

Om du konfigurerar säkerhetsrelaterade inställningar i Cisco Unified Communications Manager Administration innehåller telefonens konfigurationsfil känslig information. För att säkerställa sekretessen för en konfigurationsfil måste du konfigurera den för kryptering. Mer information finns i dokumentationen till din utgåva av Cisco Unified Communications Manager.

Telefonen uppfyller FIPS (Federal Information Processing Standard). För att fungera korrekt kräver FIPS-läget en nyckelstorlek på 2048 bitar eller mer. Om certifikatet är mindre än 2048 bitar registreras inte telefonen i Cisco Unified Communications Manager och telefonen kunde inte registreras. Cert-nyckelstorleken är inte FIPS-kompatibel visas på telefonen.

Om telefonen har en LSC måste du uppdatera LSC-nyckelstorleken till 2048 bitar eller mer innan du aktiverar FIPS.

Följande tabell ger en översikt över de säkerhetsfunktioner som telefonerna stöder. Mer information finns i dokumentationen till din utgåva av Cisco Unified Communications Manager.

Om du vill visa säkerhetsläget trycker du på Inställningar den hårda knappen Inställningar och navigerar till Nätverk och tjänst > Säkerhetsinställningar.

Tabell 1. Översikt över säkerhetsfunktioner

Funktion

Beskrivning

Bildautentisering

Signerade binära filer förhindrar manipulering av firmware-avbilden innan bilden laddas på en telefon.

Manipulering av bilden leder till att en telefon misslyckas med autentiseringsprocessen och avvisar den nya bilden.

Installation av kundens webbplatscertifikat

Varje Cisco IP-telefon kräver ett unikt certifikat för enhetsautentisering. Telefoner har ett fabriksinstallerat certifikat (MIC), men för extra säkerhet kan du ange certifikatinstallation i Cisco Unified Communications Manager Administration med hjälp av CAPF (Certificate Authority Proxy Function). Alternativt kan du installera ett LSC (Locally Significant Certificate) från säkerhetskonfigurationsmenyn på telefonen.

Enhetsautentisering

Inträffar mellan Cisco Unified Communications Manager-servern och telefonen när varje enhet godkänner den andra enhetens certifikat. Fastställer om en säker anslutning mellan telefonen och en Cisco Unified Communications Manager ska ske och skapar vid behov en säker signaleringssökväg mellan enheterna med hjälp av TLS-protokollet. Cisco Unified Communications Manager registrerar inte telefoner om den inte kan autentisera dem.

Filautentisering

Validerar digitalt signerade filer som telefonen hämtar. Telefonen validerar signaturen för att se till att filmanipulering inte skedde efter att filen skapades. Filer som inte autentiseras skrivs inte till Flash-minnet på telefonen. Telefonen avvisar sådana filer utan vidare bearbetning.

Filkryptering

Kryptering förhindrar att känslig information visas när filen är i transit till telefonen. Dessutom validerar telefonen signaturen för att se till att filmanipulering inte skedde efter att filen skapades. Filer som inte autentiseras skrivs inte till Flash-minnet på telefonen. Telefonen avvisar sådana filer utan vidare bearbetning.

Signalautentisering

Använder TLS-protokollet för att validera att ingen manipulering av signaleringspaket har inträffat under överföringen.

Fabriksinstallerat certifikat

Varje Cisco IP-telefon innehåller ett unikt fabriksinstallerat certifikat (MIC) som används för enhetsautentisering. MIC ger ett permanent unikt identitetsbevis för telefonen och gör det möjligt för Cisco Unified Communications Manager att autentisera telefonen.

Mediekryptering

Använder SRTP för att säkerställa att medieströmmar mellan enheter som stöds är säkra och att endast den avsedda enheten tar emot och läser data. Här skapas ett par med primära mediaknappar för enheterna, leverans av nycklarna till enheterna och säkerställande av leverans av nycklarna under transporten.

CAPF (Certificate Authority Proxy Function)

Implementerar delar av certifikatgenereringsproceduren som är för behandlingsintensiva för telefonen och interagerar med telefonen för nyckelgenerering och certifikatinstallation. CAPF kan konfigureras för att begära certifikat från kundangivna certifikatutfärdare för telefonens räkning, eller så kan den konfigureras för att generera certifikat lokalt.

Både EC (elliptisk kurva) och RSA-nyckeltyper stöds. Om du vill använda EC-nyckeln måste du se till att parametern ”Support för Endpoint Advanced Encryption Algorithms” (från System > Enterprise-parameter) är aktiverad.

Mer information om CAPF och relaterade konfigurationer finns i följande dokument:

Säkerhetsprofil

Anger om telefonen är osäker, autentiserad, krypterad eller skyddad. Andra poster i den här tabellen beskriver säkerhetsfunktioner.

Krypterade konfigurationsfiler

Gör att du kan säkerställa integriteten i telefonens konfigurationsfiler.

Valfri webbserver inaktivering för en telefon

Av säkerhetsskäl kan du förhindra åtkomst till webbsidor för en telefon (som visar olika driftsstatistik för telefonen) och självbetjäningsportalen.

Telefonhärdning

Ytterligare säkerhetsalternativ, som du styr från Cisco Unified Communications Manager Administration:

  • Inaktiverar PC-port
  • Inaktivera kostnadsfri ARP (GARP)
  • Inaktivera åtkomst till PC-röst-VLAN
  • Inaktivera åtkomst till inställningsmenyn eller ge begränsad åtkomst
  • Inaktivera åtkomst till webbsidor för en telefon
  • Inaktivera port för Bluetooth-tillbehör
  • Begränsa TLS-chiffer

802.1X-autentisering

Cisco IP-telefon kan använda 802.1X-autentisering för att begära och få åtkomst till nätverket. Se 802.1X-autentisering för mer information.

Säker SIP-redundans för SRST

När du har konfigurerat en SRST-referens (Survivable Remote Site Telephony) för säkerhet och sedan återställer de beroende enheterna i Cisco Unified Communications Manager Administration lägger TFTP-servern till SRST-certifikatet i telefonens cnf.xml-fil och skickar filen till telefonen. En säker telefon använder sedan en TLS-anslutning för att interagera med den SRST-aktiverade routern.

Signalkryptering

Säkerställer att alla SIP-signaleringsmeddelanden som skickas mellan enheten och Cisco Unified Communications Manager-servern är krypterade.

Uppdateringslarm för lista med pålitliga adresser

När listan över betrodda adresser uppdateras på telefonen får Cisco Unified Communications Manager ett larm som indikerar att uppdateringen har lyckats eller misslyckats. Se följande tabell för mer information.

AES 256-kryptering

När du är ansluten till Cisco Unified Communications Manager version 10.5 (2) och senare har telefonerna stöd för AES 256-kryptering för TLS och SIP för signalering och mediakryptering. Detta gör det möjligt för telefoner att initiera och stödja TLS 1.2-anslutningar med AES-256-baserade chiffer som uppfyller SHA-2-standarder (Secure Hash Algorithm) och är FIPS-kompatibla. Chiffren inkluderar:

  • För TLS-anslutningar:
    • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
    • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
  • För sRTP:
    • AEAD_AES_256_GCM
    • AEAD_AES_128_GCM

Mer information finns i dokumentationen till Cisco Unified Communications Manager.

Certifikat för elliptisk kurva med digital signatur (ECDSA)

Som en del av CC-certifieringen (Common Criteria) lade Cisco Unified Communications Manager till ECDSA-certifikat i version 11.0. Detta påverkar alla Voice Operating System (VOS)-produkter som kör CUCM 11.5 och senare versioner.

Tomcat-certifikat för flera servrar (SAN) med Cisco UCM

Telefonen har stöd för Cisco UCM med Multi-server (SAN) Tomcat-certifikat konfigurerade. Rätt TFTP-serveradress finns i telefonens ITL-fil för telefonens registrering.

Mer information om funktionen finns i följande:

Följande tabell innehåller uppdateringsmeddelanden och betydelse för listan över betrodda adresser. Mer information finns i dokumentationen till Cisco Unified Communications Manager.

Tabell 2. Uppdateringslarm för lista med pålitliga adresser
Kod och meddelande Beskrivning

1 – TL_FRAMGÅNG

Mottagen ny CTL och/eller ITL

2 – CTL_INITIAL_FRAMGÅNG

Mottagen ny CTL, ingen befintlig TL

3 - ITL_INITIAL_FRAMGÅNG

Mottagen ny ITL, ingen befintlig TL

4 - TL_INITIAL_FRAMGÅNG

Mottagen ny CTL och ITL, ingen befintlig TL

5 – TL_MISSLYCKAD_GAMMAL_CTL

Uppdatering av ny CTL misslyckades, men har tidigare TL

6 – TL_MISSLYCKADES_NEJ_TL

Uppdatering av ny TL misslyckades och har ingen gammal TL

7 – TL_MISSLYCKADES

Allmänt fel

8 – T_MISSLYCKAD_GAMMAL_IT

Uppdatering av ny ITL misslyckades, men har tidigare TL

9 – TL_MISSLYCKAD_GAMMAL_TL

Uppdatering av ny TL misslyckades, men har tidigare TL

Menyn Säkerhetsinställning innehåller information om olika säkerhetsinställningar. Menyn ger även åtkomst till menyn Lista över betrodda adresser och anger om CTL- eller ITL-filen är installerad på telefonen.

Följande tabell beskriver alternativen i menyn Säkerhetsinställning.

Tabell 3. Menyn Säkerhetsinställning

Alternativ

Beskrivning

För att ändra

Säkerhetsläge

Visar det säkerhetsläge som är inställt för telefonen.

Gå till Cisco Unified Communications Manager Administration och välj Enhet > Telefon. Inställningen visas i avsnittet Protokollspecifik information i fönstret Telefonkonfiguration.

LSC

Anger om ett lokalt signifikant certifikat som används för säkerhetsfunktioner är installerat på telefonen (installerat) eller inte är installerat på telefonen (inte installerat).

Mer information om hur du hanterar LSC för din telefon finns i dokumentationen till din utgåva av Cisco Unified Communications Manager.

Konfigurera ett LSC-certifikat (Locally Significant Certificate)

Den här uppgiften gäller för att ställa in en LSC med metoden för autentiseringssträng.

Innan du börjar

Se till att lämpliga säkerhetskonfigurationer för Cisco Unified Communications Manager och CAPF (Certificate Authority Proxy Function) är slutförda:

  • CTL- eller ITL-filen har ett CAPF-certifikat.

  • Kontrollera att CAPF-certifikatet är installerat i Cisco Unified Communications Operating System Administration.

  • CAPF körs och konfigureras.

Mer information om dessa inställningar finns i dokumentationen till din utgåva av Cisco Unified Communications Manager.

1

Hämta CAPF-autentiseringskoden som ställdes in när CAPF konfigurerades.

2

Tryck på Inställningar den hårda knappen Inställningar på telefonen.

3

Ange lösenordet för åtkomst till menyn Inställningar om du ombeds göra det. Du kan få lösenordet från administratören.

4

Navigera till Nätverk och tjänst > Säkerhetsinställningar > LSC.

Du kan kontrollera åtkomsten till inställningsmenyn genom att använda fältet Inställningsåtkomst i Cisco Unified Communications Manager Administration.

5

Ange autentiseringssträngen och välj Skicka.

Telefonen börjar installera, uppdatera eller ta bort LSC, beroende på hur CAPF är konfigurerat. När proceduren är slutförd visas Installerad eller Ej installerad på telefonen.

Det kan ta lång tid att slutföra installations-, uppdaterings- eller borttagningsprocessen för LSC.

När telefoninstallationen är klar visas meddelandet Installerat . Om telefonen visar Inte installerad kan auktoriseringssträngen vara felaktig eller så kan det hända att uppgraderingen av telefonen inte aktiveras. Om CAPF-åtgärden tar bort LSC visar telefonen Inte installerad för att indikera att åtgärden lyckades. CAPF-servern loggar felmeddelanden. Se CAPF-serverdokumentationen för att hitta loggarna och förstå betydelsen av felmeddelandena.

Aktivera FIPS-läge

1

I Cisco Unified Communications Manager Administration väljer du Enhet > Telefon och letar upp telefonen.

2

Navigera till området Produktspecifik konfiguration .

3

Ställ in fältet FIPS-läge till Aktiverat.

4

Välj Spara.

5

Välj Tillämpa konfiguration.

6

Starta om telefonen.

Stäng av högtalartelefon, headset och luren på en telefon

Du har möjlighet att stänga av högtalartelefonen, headsetet och luren permanent på en telefon för din användare.

1

I Cisco Unified Communications Manager Administration väljer du Enhet > Telefon och letar upp telefonen.

2

Navigera till området Produktspecifik konfiguration .

3

Markera en eller flera av följande kryssrutor för att stänga av telefonens funktioner:

  • Inaktivera högtalartelefon
  • Inaktivera högtalartelefon och headset
  • Inaktivera telefonluren

Dessa kryssrutor är avmarkerade som standard.

4

Välj Spara.

5

Välj Tillämpa konfiguration.

802.1X-autentisering

Cisco IP-telefon har stöd för 802.1X-autentisering.

Cisco IP-telefoner och Cisco Catalyst-växlar använder traditionellt Cisco Discovery Protocol (CDP) för att identifiera varandra och fastställa parametrar som VLAN-tilldelning och interna strömkrav. CDP identifierar inte lokalt anslutna arbetsstationer. Cisco IP-telefon tillhandahåller en EAPOL-överföringsmekanism. Med den här mekanismen kan en arbetsstation som är ansluten till en Cisco IP-telefon överföra EAPOL-meddelanden till 802.1X-autentiseraren på LAN-växeln. Överföringsmekanismen säkerställer att IP-telefonen inte fungerar som LAN-växel för att autentisera en dataslutpunkt innan den ansluter till nätverket.

Cisco IP-telefon tillhandahåller även en proxy-EAPOL-logoff-mekanism. Om den lokalt anslutna datorn kopplar från IP-telefonen ser inte LAN-växeln den fysiska länken misslyckas eftersom länken mellan LAN-växeln och IP-telefonen bibehålls. För att undvika att äventyra nätverksintegriteten skickar IP-telefonen ett EAPOL-Logoff-meddelande till växeln på uppdrag av datorn nedströms, vilket utlöser LAN-växeln för att rensa autentiseringsposten för datorn nedströms.

Stöd för 802.1X-autentisering kräver flera komponenter:

  • Cisco IP-telefon: Telefonen initierar begäran om åtkomst till nätverket. Cisco IP-telefon innehåller en 802.1X-supplikant. Denna supplikant gör det möjligt för nätverksadministratörer att styra anslutningen av IP-telefoner till LAN-växelportarna. Den aktuella versionen av telefonens 802.1X-supplikant använder alternativen EAP-FAST och EAP-TLS för nätverksautentisering.

  • Autentiseringsserver: Autentiseringsservern och växeln måste båda konfigureras med en delad hemlighet som autentiserar telefonen.

  • Strömbrytare: Växeln måste ha stöd för 802.1X så att den kan fungera som autentiserare och överföra meddelanden mellan telefonen och autentiseringsservern. När utbytet är klart beviljar eller nekar växeln åtkomst till nätverket för telefonen.

Du måste utföra följande åtgärder för att konfigurera 802.1X.

  • Konfigurera de andra komponenterna innan du aktiverar 802.1X-autentisering på telefonen.

  • Konfigurera PC-port: 802.1X-standarden tar inte hänsyn till VLAN:er och rekommenderar därför att endast en enhet ska autentiseras till en specifik växelport. Vissa växlar har dock stöd för multidomänautentisering. Växlingskonfigurationen avgör om du kan ansluta en dator till PC-porten på telefonen.

    • Aktiverad: Om du använder en växel som stöder multidomänautentisering kan du aktivera PC-porten och ansluta en dator till den. I det här fallet stöder Cisco IP-telefoner proxy EAPOL-Logoff för att övervaka autentiseringsutbytet mellan växeln och den anslutna datorn.

      Mer information om stöd för IEEE 802.1X på Cisco Catalyst-växlar finns i konfigurationsguiderna för Cisco Catalyst-växlar på:

      http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

    • Inaktiverad: Om växeln inte har stöd för flera 802.1X-kompatibla enheter i samma port bör du inaktivera PC-porten när 802.1X-autentisering är aktiverad. Om du inte inaktiverar den här porten och sedan försöker bifoga en dator till den nekar växeln nätverksåtkomst till både telefonen och datorn.

  • Konfigurera röst-VLAN: Eftersom 802.1X-standarden inte tar hänsyn till VLAN:er bör du konfigurera den här inställningen baserat på växelstödet.
    • Aktiverad: Om du använder en växel som stöder multidomänautentisering kan du fortsätta att använda röst-VLAN.
    • Inaktiverad: Om växeln inte har stöd för multidomänautentisering inaktiverar du röst-VLAN och överväg att tilldela porten till det inbyggda VLAN.
  • (Endast för Cisco Desk Phone 9800-serien)

    Cisco Desk Phone 9800-serien har ett annat prefix i PID än för andra Cisco-telefoner. Om du vill att telefonen ska skicka 802.1X-autentisering ställer du in parametern Radius·Användarnamn så att den inkluderar din Cisco Desk Phone 9800-serien.

    PID för telefon 9841 är till exempel DP-9841. Du kan ställa in Radius·Användarnamn till Starta med DP eller Innehåller DP. Du kan ställa in det i båda följande avsnitt:

    • Policy > Villkor > Villkor för bibliotek

    • Policy > Policyuppsättningar > Behörighetspolicy > Auktoriseringsregel 1

Aktivera 802.1X-autentisering

Du kan aktivera 802.1X-autentisering för din telefon genom att göra följande:

1

Tryck på Inställningar den hårda knappen Inställningar.

2

Ange lösenordet för åtkomst till menyn Inställningar om du ombeds göra det. Du kan få lösenordet från administratören.

3

Navigera till Nätverk och tjänster > Säkerhetsinställningar > 802.1X-autentisering.

4

Aktivera IEEE 802.1X-autentisering.

5

Välj Verkställ.

Visa information om säkerhetsinställningar på telefonen

Du kan visa information om säkerhetsinställningarna på telefonmenyn. Informationens tillgänglighet beror på nätverksinställningarna i din organisation.

1

Tryck på Inställningar inställningsnyckeln.

2

Navigera till Nätverk och tjänster > Säkerhetsinställningar.

3

Visa följande information i Säkerhetsinställningar.

Tabell 4. Parametrar för säkerhetsinställningar

Parametrar

Beskrivning

Säkerhetsläge

Visar det säkerhetsläge som är inställt för telefonen.

LSC

Anger om ett lokalt signifikant certifikat som används för säkerhetsfunktioner är installerat på telefonen (Ja) eller inte installerat på telefonen (Nej).

Lista över betrodda adresser

Listan över betrodda finns undermenyer för CTL-, ITL- och signerade konfigurationsfiler.

Undermenyn CTL-fil visar innehållet i CTL-filen. Undermenyn ITL-fil visar innehållet i ITL-filen.

Menyn Lista över betrodda adresser visar även följande information:

  • CTL-signatur: SHA1-hash för CTL-filen
  • Unified CM-/TFTP-server: namnet på den Cisco Unified Communications Manager och TFTP-server som telefonen använder. Visar en certifikatikon om ett certifikat har installerats för den här servern.
  • CAPF-server: namnet på den CAPF-server som telefonen använder. Visar en certifikatikon om ett certifikat har installerats för den här servern.
  • SRST-router: IP-adressen för den betrodda SRST-routern som telefonen kan använda. Visar en certifikatikon om ett certifikat har installerats för den här servern.

Säkerhet för telefonsamtal

När säkerhet har implementerats för en telefon kan du identifiera säkra telefonsamtal med hjälp av ikoner på telefonskärmen. Du kan även avgöra om den anslutna telefonen är säker och skyddad om en säkerhetston spelas upp i början av samtalet.

I ett säkert samtal krypteras alla samtalssignaleringar och medieströmmar. Ett säkert samtal ger en hög säkerhetsnivå som ger integritet och integritet till samtalet. När ett pågående samtal är krypterat kan du se den säkra ikonen låsikonen för ett säkert samtal på linjen. För en säker telefon kan du även visa den autentiserade ikonen eller den krypterade ikonen bredvid den anslutna servern i telefonmenyn (Inställningar > Om den här enheten).

Om samtalet dirigeras via icke-IP-samtalsgrenar, till exempel PSTN, kan samtalet vara osäkert trots att det är krypterat inom IP-nätverket och har en låsikon kopplad till det.

I ett säkert samtal spelas en säkerhetston upp i början av ett samtal för att indikera att den andra anslutna telefonen även tar emot och sänder säkert ljud. Om ditt samtal ansluter till en osäker telefon spelas inte säkerhetstonen upp.

Säkra samtal stöds endast för anslutningar mellan två telefoner. Vissa funktioner, till exempel konferenssamtal och delade linjer, är inte tillgängliga när säkra samtal har konfigurerats.

När en telefon är konfigurerad som säker (krypterad och betrodd) i Cisco Unified Communications Manager kan den få en skyddad status. Därefter kan den skyddade telefonen, om så önskas, konfigureras för att spela upp en indikeringston i början av ett samtal:

  • Skyddad enhet: Om du vill ändra status för en säker telefon till skyddad markerar du kryssrutan Skyddad enhet i fönstret Telefonkonfiguration i Cisco Unified Communications Manager Administration (Enhet > Telefon).

  • Spela upp säkerhetsindikeringston: Om du vill att den skyddade telefonen ska spela upp en indikeringston för säker eller osäker anger du inställningen Spela upp säkerhetsindikeringston som Sant. Som standard är Spela upp säker indikeringston inställd på Falskt. Du ställer in det här alternativet i Cisco Unified Communications Manager Administration (System > Tjänstparametrar). Välj servern och sedan tjänsten Unified Communications Manager. I fönstret Konfiguration av tjänsteparametrar väljer du alternativet i området Funktion – Säker ton. Standardvärdet är Falskt.

Säker identifiering av konferenssamtal

Du kan starta ett säkert konferenssamtal och övervaka mötesdeltagarnas säkerhetsnivå. Ett säkert konferenssamtal upprättas med hjälp av denna process:

  1. En användare initierar konferensen från en säker telefon.

  2. Cisco Unified Communications Manager tilldelar samtalet en säker konferensbrygga.

  3. När deltagare läggs till verifierar Cisco Unified Communications Manager säkerhetsläget för varje telefon och upprätthåller den säkra nivån för konferensen.

  4. Telefonen visar säkerhetsnivån för konferenssamtalet. En säker konferens visar den säkra ikonen låsikonen för ett säkert samtal.

Säkra samtal stöds mellan två telefoner. För skyddade telefoner är vissa funktioner som konferenssamtal, delade linjer och Extension Mobility inte tillgängliga när säkra samtal har konfigurerats.

Följande tabell innehåller information om ändringar av konferensens säkerhetsnivåer beroende på säkerhetsnivån för initiatortelefonen, säkerhetsnivåerna för mötesdeltagarna och tillgången till säkra konferensbryggor.

Tabell 5. Säkerhetsbegränsningar för konferenssamtal

Säkerhetsnivå för initiatortelefon

Använd funktion

Säkerhetsnivå för mötesdeltagare

Åtgärdsresultat

Osäker

Konferens

Säker

Osäker konferensbrygga

Osäker konferens

Säker

Konferens

Minst en medlem är osäker.

Säker konferensbrygga

Osäker konferens

Säker

Konferens

Säker

Säker konferensbrygga

Säker krypterad konferens nivå

Osäker

Träffa mig

Lägsta säkerhetsnivå är krypterad.

Initiatorn får meddelandet Uppfyller inte säkerhetsnivån, samtalet avvisades.

Säker

Träffa mig

Lägsta säkerhetsnivå är osäker.

Säker konferensbrygga

Konferensen accepterar alla samtal.

Identifiering av säkert telefonsamtal

Ett säkert samtal upprättas när din telefon och telefonen i den andra änden är konfigurerad för säkert samtal. Den andra telefonen kan finnas i samma Cisco IP-nätverk eller i ett nätverk utanför IP-nätverket. Säkra samtal kan endast göras mellan två telefoner. Konferenssamtal bör ha stöd för säkra samtal när säker konferensbrygga har konfigurerats.

Ett säkert samtal upprättas med hjälp av denna process:

  1. En användare initierar samtalet från en säker telefon (säkert säkerhetsläge).

  2. Telefonen visar säkerhetsikonen låsikonen för ett säkert samtal på telefonskärmen. Den här ikonen anger att telefonen är konfigurerad för säkra samtal, men det betyder inte att den andra anslutna telefonen också är säkrad.

  3. Användaren hör en säkerhetston om samtalet kopplas till en annan säker telefon, vilket indikerar att båda ändarna av konversationen är krypterade och säkra. Om samtalet kopplas till en osäker telefon hör användaren inte säkerhetstonen.

Säkra samtal stöds mellan två telefoner. För skyddade telefoner är vissa funktioner som konferenssamtal, delade linjer och Extension Mobility inte tillgängliga när säkra samtal har konfigurerats.

Endast skyddade telefoner spelar upp dessa indikeringstoner som är säkra eller osäkra. Oskyddade telefoner spelar aldrig upp toner. Om den övergripande samtalsstatusen ändras under samtalet ändras indikeringstonen och den skyddade telefonen spelar upp lämplig ton.

En skyddad telefon spelar upp en ton eller inte under dessa omständigheter:

  • När alternativet Spela upp säker indikeringston är aktiverat:

    • När säker slutpunkt-till-slutpunkt-media har etablerats och samtalsstatusen är säker spelar telefonen upp en säker indikeringston (tre långa pip med pauser).

    • När osäker slutpunkt-till-slutpunkt-media har etablerats och samtalsstatusen är osäker spelar telefonen upp den osäkra indikeringstonen (sex korta pip med korta pauser).

Om alternativet Spela upp säker indikeringston är inaktiverat spelas ingen ton upp.

Tillhandahåll kryptering för inbrytning

Cisco Unified Communications Manager kontrollerar telefonens säkerhetsstatus när konferenser upprättas och ändrar säkerhetsindikatorn för konferensen eller blockerar slutförandet av samtalet för att upprätthålla integritet och säkerhet i systemet.

En användare kan inte bryta in i ett krypterat samtal om telefonen som används för att bryta in inte är konfigurerad för kryptering. När inbrytning misslyckas i det här fallet spelas en upptagetton upp på telefonen som inbrytning initierades.

Om initiatortelefonen är konfigurerad för kryptering kan inbrytningsinitiatorn bryta in i ett osäkert samtal från den krypterade telefonen. När inbrytning har inträffat klassificerar Cisco Unified Communications Manager samtalet som osäkert.

Om initiatortelefonen är konfigurerad för kryptering kan inbrytningsinitiatorn bryta in i ett krypterat samtal och telefonen anger att samtalet är krypterat.

WLAN-säkerhet

Eftersom alla WLAN-enheter som är inom räckhåll kan ta emot all annan WLAN-trafik är det viktigt att säkra röstkommunikation i WLAN. För att säkerställa att inkräktare inte manipulerar eller stoppar rösttrafik har Cisco SAFE Security-arkitekturen stöd för telefonen. Mer information om säkerhet i nätverk finns i http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Ciscos lösning för trådlös IP-telefoni ger säkerhet för trådlösa nätverk som förhindrar obehöriga inloggningar och komprometterad kommunikation genom att använda följande autentiseringsmetoder som telefonen stöder:

  • Öppna autentisering: Alla trådlösa enheter kan begära autentisering i ett öppet system. Åtkomstpunkten som tar emot begäran kan bevilja autentisering till alla begäranden eller endast till begäranden som finns på en lista över användare. Kommunikationen mellan den trådlösa enheten och åtkomstpunkten (AP) kan vara okrypterad.

  • Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling (EAP-FAST): Den här klientserversäkerhetsarkitekturen krypterar EAP-transaktioner inom en TLS-tunnel (Transport Level Security) mellan åtkomstpunkten och RADIUS-servern, till exempel Identity Services Engine (ISE).

    TLS-tunneln använder PAC (Protected Access Credentials) för autentisering mellan klienten (telefonen) och RADIUS-servern. Servern skickar ett Authority-ID (AID) till klienten (telefon), som i sin tur väljer lämplig PAC. Klienten (telefonen) returnerar en PAC-ogenomskinlig till RADIUS-servern. Servern dekrypterar PAC med den primära nyckeln. Båda slutpunkterna innehåller nu PAC-nyckeln och en TLS-tunnel skapas. EAP-FAST har stöd för automatisk PAC-etablering, men du måste aktivera det på RADIUS-servern.

    I ISE upphör PAC som standard om en vecka. Om telefonen har en utgången PAC tar det längre tid att autentisera med RADIUS-servern medan telefonen får en ny PAC. För att undvika fördröjningar av PAC-etablering kan du ställa in PAC-utgångsperioden till 90 dagar eller längre på ISE- eller RADIUS-servern.

  • EAP-TLS-autentisering (Extensible Authentication Protocol-Transport Layer Security): EAP-TLS kräver ett klientcertifikat för autentisering och nätverksåtkomst. För trådlös EAP-TLS kan klientcertifikatet vara MIC, LSC eller användarinstallerat certifikat.

  • Protected Extensible Authentication Protocol (PEAP): Ciscos egenutvecklad lösenordsbaserad ömsesidig autentisering mellan klienten (telefonen) och en RADIUS-server. Telefonen kan använda PEAP för autentisering med det trådlösa nätverket. Både PEAP-MSCHAPV2- och PEAP-GTC-autentiseringsmetoder stöds.

  • I förväg delad nyckel (PSK): Telefonen har stöd för ASCII-format. Du måste använda det här formatet när du konfigurerar en i förväg delad nyckel för WPA/WPA2/SAE:

    ASCII: en ASCII-sträng med 8 till 63 tecken (0-9, gemener och versaler A-Z samt specialtecken)

    Exempel: GREG123567@9ZX&W

Följande autentiseringsscheman använder RADIUS-servern för att hantera autentiseringsnycklar:

  • WPA/WPA2/WPA3: Använder RADIUS-serverinformation för att generera unika nycklar för autentisering. Eftersom dessa nycklar genereras på den centraliserade RADIUS-servern ger WPA2/WPA3 mer säkerhet än i förväg delade WPA-nycklar som lagras på åtkomstpunkten och telefonen.

  • Snabb och säker roaming: Använder RADIUS-server och information om en trådlös domänserver (WDS) för att hantera och autentisera nycklar. WDS skapar en cache med säkerhetsuppgifter för FT-aktiverade klientenheter för snabb och säker omautentisering. Cisco Desk Phone 9861 och 9871 och Cisco Video Phone 8875 har stöd för 802.11r (FT). Både över luften och över DS stöds för att möjliggöra snabb och säker roaming. Men vi rekommenderar starkt att du använder 802.11r (FT) över luftmetoden.

Med WPA/WPA2/WPA3 anges inte krypteringsnycklarna på telefonen, utan härleds automatiskt mellan åtkomstpunkten och telefonen. Men EAP-användarnamn och lösenord som används för autentisering måste anges på varje telefon.

För att säkerställa att rösttrafiken är säker har telefonen stöd för TKIP och AES för kryptering. När dessa mekanismer används för kryptering krypteras både signalerings-SIP-paket och RTP-paket (Real-Time Transport Protocol) mellan åtkomstpunkten och telefonen.

tkip

WPA använder TKIP-kryptering som har flera förbättringar jämfört med WEP. TKIP tillhandahåller nyckelchiffrering per paket och längre initieringsvektorer (IV:er) som stärker kryptering. Dessutom säkerställer en kontroll av meddelandeintegriteten (MIC) att krypterade paket inte ändras. TKIP tar bort förutsägbarheten för WEP som hjälper inkräktare att dechiffrera WEP-nyckeln.

aes

En krypteringsmetod som används för WPA2-/WPA3-autentisering. Denna nationella standard för kryptering använder en symmetrisk algoritm som har samma nyckel för kryptering och dekryptering. AES använder CBC (Cipher Blocking Chain) kryptering på 128 bitar, som stöder nyckelstorlekar på minst 128 bitar, 192 bitar och 256 bitar. Telefonen stöder en nyckelstorlek på 256 bitar.

Cisco Desk Phone 9861 och 9871 och Cisco Video Phone 8875 har inte stöd för Cisco Key Integrity Protocol (CKIP) med CMIC.

Autentiserings- och krypteringsscheman konfigureras i det trådlösa nätverket. VLAN konfigureras i nätverket och på åtkomstpunkterna och anger olika kombinationer av autentisering och kryptering. Ett SSID associeras med ett VLAN och det specifika autentiserings- och krypteringsschemat. För att trådlösa klientenheter ska kunna autentiseras måste du konfigurera samma SSID:er med deras autentiserings- och krypteringsscheman på åtkomstpunkterna och på telefonen.

Vissa autentiseringsscheman kräver specifika typer av kryptering.

  • När du använder en i förväg delad WPA-nyckel, en i förväg delad WPA2-nyckel eller SAE måste den i förväg delade nyckeln ställas in statiskt på telefonen. Dessa nycklar måste matcha nycklarna som finns på åtkomstpunkten.

  • Telefonen har stöd för automatisk EAP-balansering för FAST eller PEAP, men inte för TLS. För EAP-TLS-läge måste du ange det.

Autentiserings- och krypteringsscheman i följande tabell visar alternativen för nätverkskonfiguration för telefonen som motsvarar åtkomstpunktskonfigurationen.

Tabell 6. Autentiserings- och krypteringssystem
FSR-typAutentiseringNyckelhanteringKrypteringSkyddad hanteringsram (PMF)
802.11r (fot)PSK

WPA-PSK

wpa-psk-sha256

ft-psk

aesNej
802.11r (fot)WPA3

sae

fot-sae

aesJa
802.11r (fot)EAP-TLS

WPA-EAP

ft-eap

aesNej
802.11r (fot)eap-tls (wpa3)

wpa-eap-sha256

ft-eap

aesJa
802.11r (fot)EAP-FAST

WPA-EAP

ft-eap

aesNej
802.11r (fot)eap-fast (wpa3)

wpa-eap-sha256

ft-eap

aesJa
802.11r (fot)EAP-PEAP

WPA-EAP

ft-eap

aesNej
802.11r (fot)eap-peap (wpa3)

wpa-eap-sha256

ft-eap

aesJa

Konfigurera profil för trådlöst LAN

Du kan hantera din profil för trådlösa nätverk genom att konfigurera autentiseringsuppgifter, frekvensband, autentiseringsmetod o.s.v.

Tänk på följande anteckningar innan du konfigurerar WLAN-profilen:

  • Användarnamn och lösenord

    • När nätverket använder EAP-FAST och PEAP för användarautentisering måste du konfigurera både användarnamnet och lösenordet om det behövs i RADIUS (Remote Authentication Dial-In User Service) och telefonen.

    • Inloggningsuppgifterna som du anger i den trådlösa nätverksprofilen måste vara identiska med de inloggningsuppgifter som du har konfigurerat på RADIUS-servern.

    • Om du använder domäner i nätverket måste du ange användarnamnet med domännamnet, i följande format: domän\användarnamn.

  • Följande åtgärder kan leda till att det befintliga Wi-Fi-lösenordet rensas:

    • Ange ett ogiltigt användar-ID eller lösenord
    • Installera en ogiltig eller utgången rotcertifikatutfärdare när EAP-typen är inställd på PEAP-MSCHAPV2 eller PEAP-GTC
    • Inaktivera den EAP-typ som används på RADIUS-servern innan du byter telefon till den nya EAP-typen
  • Om du vill ändra EAP-typen måste du först aktivera den nya EAP-typen på RADIUS-servern och sedan växla telefonen till EAP-typen. När alla telefoner har ändrats till den nya EAP-typen kan du inaktivera den tidigare EAP-typen om du vill.
1

I Cisco Unified Communications Manager Administration väljer du Enhet > Enhetsinställningar > Trådlös LAN-profil.

2

Välj den nätverksprofil som du vill konfigurera.

3

Ställ in parametrarna.

4

Klicka på Spara.

Konfigurera SCEP-parametrarna

SCEP (Simple Certificate Enrollment Protocol) är standarden för automatisk etablering och förnyelse av certifikat. SCEP-servern kan automatiskt underhålla dina användar- och servercertifikat.

Du måste konfigurera följande SCEP-parametrar på telefonens webbsida

  • RA IP-adress

  • SHA-1- eller SHA-256-fingeravtryck för rot-CA-certifikatet för SCEP-servern

Cisco IOS Registration Authority (RA) fungerar som en proxy till SCEP-servern. SCEP-klienten på telefonen använder parametrarna som hämtas från Cisco Unified Communication Manager. När du har konfigurerat parametrarna skickar telefonen en SCEP getcs -begäran till RA och rot-CA-certifikatet valideras med det definierade fingeravtrycket.

Innan du börjar

Konfigurera SCEP-registreringsagenten (RA) på SCEP-servern för att:

  • Agera som PKI-förtroendepunkt
  • Agera som PKI RA
  • Utför enhetsautentisering med en RADIUS-server

Mer information finns i dokumentationen till din SCEP-server.

1

Gå till Cisco Unified Communications Manager Administration och välj Enhet > Telefon.

2

Leta upp telefonen.

3

Bläddra till området Produktspecifik konfigurationslayout .

4

Markera kryssrutan WLAN SCEP-server för att aktivera SCEP-parametern.

5

Markera kryssrutan WLAN Root CA Fingerprint (SHA256 eller SHA1) för att aktivera parametern SCEP QED.

Konfigurera de versioner av TLS som stöds

Du kan ställa in den lägsta versionen av TLS som krävs för klient respektive server.

Som standard är den lägsta TLS-versionen av servern och klienten både 1.2. Inställningen påverkar följande funktioner:

  • HTTPS-webbåtkomstanslutning
  • Registrering för lokal telefon
  • Registrering för mobil åtkomst och fjärråtkomst (MRA)
  • HTTPS-tjänster, till exempel katalogtjänster
  • DTLS (Datagram Transport Layer Security)
  • Port Access Entity (PAE)
  • EAP-TLS (Extensible Authentication Protocol-Transport Layer Security)

Mer information om TLS 1.3-kompatibilitet för Cisco IP-telefoner finns i TLS 1.3-kompatibilitetsmatris för Cisco-samarbetsprodukter.

1

Logga in på Cisco Unified Communications Manager Administration som administratör.

2

Navigera till något av följande fönster:

  • System > Konfiguration av företagstelefon
  • Enhet > Enhetsinställningar > Gemensam telefonprofil
  • Enhet > Telefon > Telefonkonfiguration
3

Konfigurera fältet TLS-klient min version :

Alternativet ”TLS 1.3” är tillgängligt på Cisco Unified CM 15SU2 eller senare.
  • TLS 1.1: TLS-klienten har stöd för TLS-versionerna 1.1 till 1.3.

    Om TLS-versionen på servern är mindre än 1.1, till exempel 1.0, kan anslutningen inte upprättas.

  • TLS 1.2 (standard): TLS-klienten har stöd för TLS 1.2 och 1.3.

    Om TLS-versionen på servern är mindre än 1.2, till exempel 1.1 eller 1.0, kan anslutningen inte upprättas.

  • TLS 1.3: TLS-klienten stöder endast TLS 1.3.

    Om TLS-versionen på servern är mindre än 1.3, till exempel 1.2, 1.1 eller 1.0, kan anslutningen inte upprättas.

4

Konfigurera fältet TLS Server Min Version :

  • TLS 1.1: TLS-servern har stöd för TLS-versioner från 1.1 till 1.3.

    Om TLS-versionen i klienten är lägre än 1.1, till exempel 1.0, kan anslutningen inte upprättas.

  • TLS 1.2 (standard): TLS-servern har stöd för TLS 1.2 och 1.3.

    Om TLS-versionen i klienten är lägre än 1.2, till exempel 1.1 eller 1.0, kan anslutningen inte upprättas.

  • TLS 1.3: TLS-servern har endast stöd för TLS 1.3.

    Om TLS-versionen i klienten är lägre än 1.3, till exempel 1.2, 1.1 eller 1.0, kan anslutningen inte upprättas.

Från och med version 3.2 av PhoneOS 3.2 gäller inte inställningen av fältet ”Inaktivera TLS 1.0 och TLS 1.1 för webbåtkomst” för telefonerna.
5

Klicka på Spara.

6

Klicka på Tillämpa konfiguration.

7

Starta om telefonerna.

SIP för säkerställda tjänster

AS-SIP (Assured Services SIP) är en samling funktioner och protokoll som erbjuder ett mycket säkert samtalsflöde för Cisco IP-telefoner och tredjepartstelefoner. Följande funktioner kallas gemensamt för AS-SIP:

  • Prioritet och förtur på flera nivåer (MLPP)
  • Differentierad tjänstkodpunkt (DSCP)
  • TLS (Transport Layer Security) och SRTP (Secure Real-time Transport Protocol)
  • Internetprotokollversion 6 (IPv6)

AS-SIP används ofta med MLPP (Multilevel Precedence and Preemption) för att prioritera samtal under en nödsituation. Med MLPP tilldelar du en prioritetsnivå till utgående samtal, från nivå 1 (låg) till nivå 5 (hög). När du får ett samtal visas en ikon för prioritetsnivå på telefonen som visar samtalsprioriteten.

Om du vill konfigurera AS-SIP utför du följande uppgifter i Cisco Unified Communications Manager:

  • Konfigurera en sammanfattningsanvändare – konfigurera slutanvändaren att använda sammanfattningsautentisering för SIP-förfrågningar.
  • Konfigurera säker port för SIP-telefon – Cisco Unified Communications Manager använder den här porten för att lyssna på SIP-telefoner för SIP-linjeregistreringar över TLS.
  • Starta om tjänster – när den säkra porten har konfigurerats startar du om tjänsterna Cisco Unified Communications Manager och Cisco CTL-leverantör. Konfigurera SIP-profil för AS-SIP-konfigurera en SIP-profil med SIP-inställningar för dina AS-SIP-slutpunkter och för dina SIP-trunkar. De telefonspecifika parametrarna hämtas inte till en AS-SIP-telefon från tredje part. De används endast av Cisco Unified Manager. Telefoner från tredje part måste lokalt konfigurera samma inställningar.
  • Konfigurera telefonens säkerhetsprofil för AS-SIP – du kan använda telefonens säkerhetsprofil för att tilldela säkerhetsinställningar som TLS, SRTP och digest-autentisering.
  • Konfigurera AS-SIP-slutpunkt – konfigurera en Cisco IP-telefon eller en slutpunkt från tredje part med AS-SIP-stöd.
  • Associera enheten med slutanvändare – koppla slutpunkten till en användare.
  • Konfigurera säkerhetsprofilen för SIP-trunk för AS-SIP – du kan använda säkerhetsprofilen för SIP-trunk för att tilldela säkerhetsfunktioner som TLS eller digest-autentisering till en SIP-trunk.
  • Konfigurera SIP-trunk för AS-SIP – konfigurera en SIP-trunk med AS-SIP-stöd.
  • Konfigurera AS-SIP-funktioner – konfigurera ytterligare AS-SIP-funktioner som MLPP, TLS, V.150 och IPv6.

Mer information om hur du konfigurerar AS-SIP finns i kapitlet ”Konfigurera AS-SIP-slutpunkter” i Funktionskonfigurationsguide för Cisco Unified Communications Manager.

Prioritet och förtur på flera nivåer

Med MLPP (Multilevel Precedence and Preemption) kan du prioritera samtal i nödsituationer eller andra krissituationer. Du tilldelar en prioritet till utgående samtal som sträcker sig från 1 till 5. Inkommande samtal visar en ikon och samtalsprioritet. Autentiserade användare kan föredra samtal antingen till riktade stationer eller via helt prenumererade TDM-trunkar.

Den här funktionen säkerställer att viktig personal kommunicerar med kritiska organisationer och personal.

MLPP används ofta med AS-SIP (Assured Services SIP). Mer information om hur du konfigurerar MLPP finns i kapitlet Konfigurera prioritet och förtur på flera nivåer i Funktionskonfigurationsguide för Cisco Unified Communications Manager.