Tack för din feedback.

Säkerhetsfunktioner skyddar mot hot, inklusive hot mot telefonens identitet och data. Dessa funktioner upprättar och upprätthåller autentiserade kommunikationsströmmar mellan telefonen och Cisco Unified Communications Manager-servern och säkerställer att telefonen endast använder digitalt signerade filer.

Cisco Unified Communications Manager version 8.5(1) och senare inkluderar Säkerhet som standard, vilket ger följande säkerhetsfunktioner för Cisco IP-telefoner utan att köra CTL-klienten:

• Signera telefonkonfigurationsfilerna

• Kryptering av telefonkonfigurationsfil

• HTTPS med Tomcat och andra webbtjänster

Implementering av säkerhet i Cisco Unified Communications Manager-systemet förhindrar identitetsstöld av telefonen och Cisco Unified Communications Manager-servern, förhindrar datamanipulering och förhindrar manipulering av samtalssignalering och medieströmmar.

För att minska dessa hot upprättar och underhåller Cisco IP-telefoninätverk säkra (krypterade) kommunikationsströmmar mellan en telefon och servern, signerar filer digitalt innan de överförs till en telefon och krypterar medieströmmar och samtalssignalering mellan Cisco IP-telefoner.

Ett lokalt betydelsefullt certifikat (LSC) installeras på telefoner efter att du har utfört de nödvändiga uppgifter som är kopplade till certifikatutfärdarens proxyfunktion (CAPF). Du kan använda Cisco Unified Communications Manager Administration för att konfigurera en LSC, enligt beskrivningen i säkerhetsguiden för Cisco Unified Communications Manager. Alternativt kan du starta installationen av en LSC från menyn Säkerhetsinställningar på telefonen. Den här menyn låter dig också uppdatera eller ta bort en LSC.

Telefonerna använder telefonens säkerhetsprofil, som definierar om enheten är osäker eller säker. Information om hur du tillämpar säkerhetsprofilen på telefonen finns i dokumentationen för din specifika version av Cisco Unified Communications Manager.

Om du konfigurerar säkerhetsrelaterade inställningar i Cisco Unified Communications Manager Administration innehåller telefonens konfigurationsfil känslig information. För att säkerställa sekretessen för en konfigurationsfil måste du konfigurera den för kryptering. För mer information, se dokumentationen för din specifika version av Cisco Unified Communications Manager.

Telefonen uppfyller Federal Information Processing Standard (FIPS). För att fungera korrekt kräver FIPS-läget en nyckelstorlek på 2048 bitar eller mer. Om certifikatet är kortare än 2048 bitar registreras inte telefonen hos Cisco Unified Communications Manager och Phone failed to register. Cert key size is not FIPS compliant visas på telefonen.

Om telefonen har en LSC måste du uppdatera LSC-nyckelstorleken till 2048 bitar eller mer innan du aktiverar FIPS.

Följande tabell ger en översikt över de säkerhetsfunktioner som telefonerna stöder. Mer information finns i dokumentationen för din specifika version av Cisco Unified Communications Manager.

För att visa säkerhetsläget, tryck på Inställningar och navigera till Nätverk och tjänst > Säkerhetsinställningar.

Följande tabell innehåller larmmeddelanden och betydelse för uppdatering av tillitslistan. Mer information finns i dokumentationen för Cisco Unified Communications Manager.

Menyn Säkerhetsinställningar ger information om olika säkerhetsinställningar. Menyn ger även åtkomst till menyn Tillitslista och anger om CTL- eller ITL-filen är installerad på telefonen.

Följande tabell beskriver alternativen i menyn Säkerhetsinställningar.

Cisco IP-telefoner stöder 802.1X-autentisering.

Cisco IP-telefoner och Cisco Catalyst-switchar använder traditionellt Cisco Discovery Protocol (CDP) för att identifiera varandra och bestämma parametrar som VLAN-allokering och inline-strömförsörjningskrav. CDP identifierar inte lokalt anslutna arbetsstationer. Cisco IP-telefoner har en EAPOL-genomströmningsmekanism. Den här mekanismen gör det möjligt för en arbetsstation som är ansluten till Cisco IP-telefonen att skicka EAPOL-meddelanden till 802.1X-autentiseraren på LAN-switchen. Genomströmningsmekanismen säkerställer att IP-telefonen inte fungerar som LAN-switch för att autentisera en dataslutpunkt innan den får åtkomst till nätverket.

Cisco IP-telefoner har även en EAPOL-utloggningsmekanism för proxy. Om den lokalt anslutna datorn kopplas bort från IP-telefonen, ser inte LAN-switchen att den fysiska länken misslyckas, eftersom länken mellan LAN-switchen och IP-telefonen bibehålls. För att undvika att äventyra nätverksintegriteten skickar IP-telefonen ett EAPOL-Logoff-meddelande till switchen för den nedströms datorns räkning, vilket utlöser att LAN-switchen rensar autentiseringsposten för den nedströms datorn.

Stöd för 802.1X-autentisering kräver flera komponenter:

• Cisco IP-telefon: Telefonen initierar begäran om åtkomst till nätverket. Cisco IP-telefoner innehåller en 802.1X-supplikant. Denna supplikant låter nätverksadministratörer kontrollera anslutningen av IP-telefoner till LAN-switchportarna. Den nuvarande versionen av telefonens 802.1X-ansökan använder alternativen EAP-FAST och EAP-TLS för nätverksautentisering.

• Autentiseringsserver: Både autentiseringsservern och switchen måste konfigureras med en delad hemlighet som autentiserar telefonen.

• Växla: Switchen måste stödja 802.1X så att den kan fungera som autentiserare och skicka meddelanden mellan telefonen och autentiseringsservern. När utbytet är klart beviljar eller nekar växeln telefonen åtkomst till nätverket.

Du måste utföra följande åtgärder för att konfigurera 802.1X.

• Konfigurera de andra komponenterna innan du aktiverar 802.1X-autentisering på telefonen.

• Konfigurera PC-port: 802.1X-standarden tar inte hänsyn till VLAN och rekommenderar därför att endast en enda enhet ska autentiseras till en specifik switchport. Vissa switchar stöder dock autentisering med flera domäner. Växelkonfigurationen avgör om du kan ansluta en dator till telefonens datorport.

  • Aktiverad: Om du använder en switch som stöder multidomänautentisering kan du aktivera PC-porten och ansluta en dator till den. I det här fallet stöder Cisco IP-telefoner proxy EAPOL-Logoff för att övervaka autentiseringsutbytena mellan switchen och den anslutna datorn.

    För mer information om IEEE 802.1X-stöd på Cisco Catalyst-switcharna, se konfigurationsguiderna för Cisco Catalyst-switcharna på:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Inaktiverad: Om switchen inte stöder flera 802.1X-kompatibla enheter på samma port bör du inaktivera PC-porten när 802.1X-autentisering är aktiverad. Om du inte inaktiverar den här porten och sedan försöker ansluta en dator till den, nekar switchen nätverksåtkomst till både telefonen och datorn.

• Konfigurera röst-VLAN: Eftersom 802.1X-standarden inte tar hänsyn till VLAN bör du konfigurera den här inställningen baserat på switchstödet.
  • Aktiverad: Om du använder en switch som stöder multidomänautentisering kan du fortsätta använda röst-VLAN:et.
  • Inaktiverad: Om switchen inte stöder multidomänautentisering, inaktivera Voice VLAN och överväg att tilldela porten till det inbyggda VLAN:et.
• (Endast för Cisco bordstelefon 9800-serien)

  Cisco Desk Phone 9800-serien har ett annat prefix i PID än det för andra Cisco-telefoner. För att din telefon ska kunna godkänna 802.1X-autentisering, ställ in parametern Radius·Användarnamn så att den inkluderar din Cisco Desk Phone 9800-serie.

  Till exempel, PID för telefon 9841 är DP-9841; du kan ställa in Radius·Användarnamn till Start with DP eller Contains DP. Du kan ställa in det i båda följande avsnitt:

  • Policy > Villkor > Biblioteksvillkor

  • Policy > Policyuppsättningar > Auktoriseringspolicy > Auktoriseringsregel 1

När säkerhet är implementerad för en telefon kan du identifiera säkra telefonsamtal med hjälp av ikoner på telefonskärmen. Du kan också avgöra om den anslutna telefonen är säker och skyddad om en säkerhetston spelas upp i början av samtalet.

I ett säkert samtal krypteras all samtalssignalering och medieströmmar. Ett säkert samtal erbjuder en hög säkerhetsnivå och ger integritet och sekretess till samtalet. När ett pågående samtal är krypterat kan du se säkerhetsikonen på linjen. För en säker telefon kan du även se autentiseringsikonen eller krypteringsikonen bredvid den anslutna servern i telefonmenyn (Inställningar > Om den här enheten).

I ett säkert samtal spelas en säkerhetston i början av samtalet för att indikera att den andra anslutna telefonen också tar emot och sänder säkert ljud. Om ditt samtal ansluts till en osäker telefon spelas inte säkerhetstonen upp.

När en telefon är konfigurerad som säker (krypterad och betrodd) i Cisco Unified Communications Manager kan den ges statusen skyddad. Därefter kan den skyddade telefonen, om så önskas, konfigureras att spela upp en indikationston i början av ett samtal:

• Skyddad enhet: Om du vill ändra statusen för en säker telefon till skyddad markerar du kryssrutan Skyddad enhet i fönstret Telefonkonfiguration i Cisco Unified Communications Manager Administration (Enhet > Telefon).

• Spela upp säker indikationston: För att aktivera att den skyddade telefonen spelar upp en säker eller osäker indikationston, ställ inställningen Spela upp säker indikationston till Sant. Som standard är Spela upp säker indikationston inställd på Falskt. Du ställer in det här alternativet i Cisco Unified Communications Manager Administration (System > Tjänstparametrar). Välj servern och sedan Unified Communications Manager-tjänsten. I fönstret Tjänstparameterkonfiguration väljer du alternativet i området Funktion - Säker ton. Standardvärdet är Falskt.

Eftersom alla WLAN-enheter som är inom räckhåll kan ta emot all annan WLAN-trafik är det avgörande att säkra röstkommunikationen i WLAN. För att säkerställa att inkräktare inte manipulerar eller avlyssnar rösttrafik stöder Cisco SAFE Security-arkitekturen telefonen. För mer information om säkerhet i nätverk, se http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Ciscos trådlösa IP-telefonilösning tillhandahåller trådlös nätverkssäkerhet som förhindrar obehöriga inloggningar och komprometterad kommunikation genom att använda följande autentiseringsmetoder som telefonen stöder:

• Öppen autentisering: Vilken trådlös enhet som helst kan begära autentisering i ett öppet system. AP:n som tar emot begäran kan bevilja autentisering till vilken begärande part som helst eller endast till begärande parter som finns på en lista över användare. Kommunikationen mellan den trådlösa enheten och åtkomstpunkten (AP) kan vara okrypterad.

• Extensible Authentication Protocol - Flexibel autentisering via säker tunneling (EAP-FAST) autentisering: Denna klient-server-säkerhetsarkitektur krypterar EAP-transaktioner inom en TLS-tunnel (Transport Level Security) mellan AP:n och RADIUS-servern, till exempel Identity Services Engine (ISE).

  TLS-tunneln använder PAC:er (Protected Access Credentials) för autentisering mellan klienten (telefonen) och RADIUS-servern. Servern skickar ett auktoritets-ID (AID) till klienten (telefonen), som i sin tur väljer lämplig PAC. Klienten (telefonen) returnerar en PAC-Opaque till RADIUS-servern. Servern dekrypterar PAC-filen med primärnyckeln. Båda slutpunkterna innehåller nu PAC-nyckeln och en TLS-tunnel skapas. EAP-FAST stöder automatisk PAC-provisionering, men du måste aktivera det på RADIUS-servern.

  I ISE löper PAC som standard ut om en vecka. Om telefonen har en utgången PAC tar autentisering med RADIUS-servern längre tid medan telefonen får en ny PAC. För att undvika förseningar i PAC-provisioneringen, ställ in PAC:s utgångsperiod till 90 dagar eller längre på ISE- eller RADIUS-servern.

• Extensible Authentication Protocol-Transport Layer Security (EAP-TLS)-autentisering: EAP-TLS kräver ett klientcertifikat för autentisering och nätverksåtkomst. För trådlös EAP-TLS kan klientcertifikatet vara ett MIC-, LSC- eller användarinstallerat certifikat.

• Skyddat utökningsbart autentiseringsprotokoll (PEAP): Ciscos egenutvecklade lösenordsbaserade ömsesidiga autentiseringsschema mellan klienten (telefonen) och en RADIUS-server. Telefonen kan använda PEAP för autentisering med det trådlösa nätverket. Både PEAP-MSCHAPV2- och PEAP-GTC-autentiseringsmetoderna stöds.

• Fördelad nyckel (PSK): Telefonen stöder ASCII-format. Du måste använda det här formatet när du skapar en WPA/WPA2/SAE Fördelad nyckel:

  ASCII: en ASCII-teckensträng med en längd på 8 till 63 tecken (0–9, gemener och versaler från A-Z och specialtecken)

  Exempel: GREG123567@9ZX & V

Följande autentiseringsscheman använder RADIUS-servern för att hantera autentiseringsnycklar:

• WPA/WPA2/WPA3: Använder RADIUS-serverinformation för att generera unika nycklar för autentisering. Eftersom dessa nycklar genereras på den centraliserade RADIUS-servern, WPA2/WPA3 ger mer säkerhet än fördelade WPA-nycklar som lagras på åtkomstpunkten och telefonen.

• Snabb säker roaming: Använder RADIUS-servern och information från en trådlös domänserver (WDS) för att hantera och autentisera nycklar. WDS skapar en cache med säkerhetsuppgifter för FT-aktiverade klientenheter för snabb och säker omautentisering. Cisco bordstelefon 9861 och 9871 och Cisco videotelefon 8875 stöder 802.11r (FT). Både trådlösa nätverk och DS stöds för att möjliggöra snabb och säker roaming. Men vi rekommenderar starkt att man använder 802.11r (FT) Over Air-metoden.

Med WPA/WPA2/WPA3, Krypteringsnycklar anges inte på telefonen, utan härleds automatiskt mellan åtkomstpunkten och telefonen. Men EAP-användarnamnet och lösenordet som används för autentisering måste anges på varje telefon.

För att säkerställa att rösttrafiken är säker stöder telefonen TKIP och AES för kryptering. När dessa mekanismer används för kryptering krypteras både SIP-signalpaketen och röstpaketen för Real-Time Transport Protocol (RTP) mellan åtkomstpunkten och telefonen.

TKIP

WPA använder TKIP-kryptering som har flera förbättringar jämfört med WEP. TKIP tillhandahåller kryptering av nyckel per paket och längre initialiseringsvektorer (IV) som stärker krypteringen. Dessutom säkerställer en meddelandeintegritetskontroll (MIC) att krypterade paket inte ändras. TKIP tar bort förutsägbarheten hos WEP som hjälper inkräktare att dechiffrera WEP-nyckeln.

AES

En krypteringsmetod som används för WPA2/WPA3 autentisering. Denna nationella standard för kryptering använder en symmetrisk algoritm som har samma nyckel för kryptering och dekryptering. AES använder CBC-kryptering (Cipher Blocking Chain) med en storlek på 128 bitar, vilket stöder nyckelstorlekar på minst 128 bitar, 192 bitar och 256 bitar. Telefonen stöder en nyckelstorlek på 256 bitar.

Autentiserings- och krypteringsscheman är konfigurerade inom det trådlösa nätverket. VLAN konfigureras i nätverket och på AP:erna och anger olika kombinationer av autentisering och kryptering. Ett SSID associeras med ett VLAN och det specifika autentiserings- och krypteringsschemat. För att trådlösa klientenheter ska autentiseras korrekt måste du konfigurera samma SSID:er med deras autentiserings- och krypteringsscheman på åtkomstpunkterna och på telefonen.

Vissa autentiseringsscheman kräver specifika typer av kryptering.

Autentiserings- och krypteringsscheman i följande tabell visar nätverkskonfigurationsalternativen för telefonen som motsvarar AP-konfigurationen.

Assured Services SIP (AS-SIP) är en samling funktioner och protokoll som erbjuder ett mycket säkert samtalsflöde för Cisco IP-telefoner och tredjepartstelefoner. Följande funktioner kallas gemensamt för AS-SIP:

• Flernivåprioritet och preemption (MLPP)
• Differentierade tjänstekodpunkt (DSCP)
• Transport Layer Security (TLS) och Secure Real-Time Transport Protocol (SRTP)
• Internetprotokoll version 6 (IPv6)

AS-SIP används ofta med Multilevel Precedence and Preemption (MLPP) för att prioritera samtal under en nödsituation. Med MLPP tilldelar du en prioritetsnivå till dina utgående samtal, från nivå 1 (låg) till nivå 5 (hög). När du tar emot ett samtal visas en ikon för prioritetsnivå på telefonen som visar samtalets prioritet.

För att konfigurera AS-SIP, slutför följande uppgifter i Cisco Unified Communications Manager:

• Konfigurera en Digest-användare – konfigurera slutanvändaren att använda digeste-autentisering för SIP-förfrågningar.
• Konfigurera säker SIP-telefonport – Cisco Unified Communications Manager använder den här porten för att lyssna på SIP-telefoner för SIP-linjeregistreringar via TLS.
• Starta om tjänster – Starta om tjänsterna Cisco Unified Communications Manager och Cisco CTL Provider efter att du har konfigurerat den säkra porten. Konfigurera SIP-profil för AS-SIP – Konfigurera en SIP-profil med SIP-inställningar för dina AS-SIP-slutpunkter och för dina SIP-trunkar. De telefonspecifika parametrarna laddas inte ner till en AS-SIP-telefon från tredje part. De används endast av Cisco Unified Manager. Tredjepartstelefoner måste konfigurera samma inställningar lokalt.
• Konfigurera telefonsäkerhetsprofil för AS-SIP – Du kan använda telefonsäkerhetsprofilen för att tilldela säkerhetsinställningar som TLS, SRTP och digest-autentisering.
• Konfigurera AS-SIP-slutpunkt – Konfigurera en Cisco IP-telefon eller en tredjepartsslutpunkt med stöd för AS-SIP.
• Associera enhet med slutanvändare – Associera slutpunkten med en användare.
• Konfigurera SIP Trunk-säkerhetsprofil för AS-SIP – Du kan använda SIP Trunk-säkerhetsprofilen för att tilldela säkerhetsfunktioner som TLS eller digest-autentisering till en SIP-trunk.
• Konfigurera SIP-trunk för AS-SIP – Konfigurera en SIP-trunk med stöd för AS-SIP.
• Konfigurera AS-SIP-funktioner – Konfigurera ytterligare AS-SIP-funktioner som MLPP, TLS, V.150 och IPv6.

Detaljerad information om hur du konfigurerar AS-SIP finns i kapitlet "Konfigurera AS-SIP-slutpunkter" i Funktionskonfigurationsguide för Cisco Unified Communications Manager.

När tvångsauktoriseringskoder (FAC) eller klientärendekoder (CMC), eller båda, är konfigurerade på telefonen måste användarna ange de lösenord som krävs för att ringa upp ett nummer.

Mer information om hur du konfigurerar FAC och CMC i Cisco Unified Communications Manager finns i kapitlet "Klientärendekoder och tvångsauktoriseringskoder" i Funktionskonfigurationsguide för Cisco Unified Communications Manager, version 12.5(1) eller senare.

Cisco VPN-funktionen hjälper dig att bevara nätverkssäkerheten samtidigt som den ger användarna en säker och pålitlig metod för att ansluta till ditt företagsnätverk. Använd den här funktionen när:

• En telefon finns utanför ett betrott nätverk
• Nätverkstrafik mellan telefonen och Cisco Unified Communications Manager korsar ett opålitligt nätverk

Med ett VPN finns det tre vanliga metoder för klientautentisering:

• Digitala certifikat
• Lösenord
• Användarnamn och lösenord

Varje metod har sina fördelar. Men om er företags säkerhetspolicy tillåter det rekommenderar vi en certifikatbaserad metod eftersom certifikat möjliggör en sömlös inloggning utan någon användarintervention. Både LSC- och MIC-certifikat stöds.

För att konfigurera någon av VPN-funktionerna, etablera först enheten lokalt och sedan kan du distribuera enheten utanför lokalt.

För mer information om certifieringsautentisering och arbete med VPN-nätverk, se Konfigurera AnyConnect VPN-telefon med certifikatautentisering på en ASA.

Med ett lösenord, eller användarnamn och lösenord, ombeds en användare att ange inloggningsuppgifter. Ställ in användarnas inloggningsuppgifter i enlighet med företagets säkerhetspolicy. Du kan också konfigurera inställningen Aktivera lösenordsbevarande så att användarlösenordet sparas på telefonen. Användarlösenordet sparas tills antingen ett misslyckat inloggningsförsök sker, en användare rensar lösenordet manuellt eller telefonen återställs eller förlorar strömmen.

Ett annat användbart verktyg är inställningen Aktivera automatisk nätverksidentifiering. När du markerar den här kryssrutan kan VPN-klienten bara köras när den upptäcker att den befinner sig utanför företagsnätverket. Den här inställningen är inaktiverad som standard.

Din Cisco-telefon stöder Cisco SVC IPPhone Client v1.0 som klienttyp.

För mer information om hur du konfigurerar VPN på Unified CM, se Funktionskonfigurationsguide för Cisco Unified Communications Manager.

Cisco VPN-funktionen använder Secure Sockets Layer (SSL) för att upprätthålla nätverkssäkerheten.