Дякуємо за відгук.

Функції безпеки захищають від різних загроз, зокрема загрози ідентичності телефона й даних. Ці функції встановлюють і підтримують автентифіковані комунікаційні потоки між телефоном і сервером Cisco Unified Communications Manager, а також гарантують, що телефон використовуватиме лише файли з цифровим підписом.

Cisco Unified Communications Manager 8.5(1) і пізніших версій за замовчуванням містить інструменти безпеки, які надають IP-телефону Cisco такі функції безпеки без запуску клієнта CTL:

• Підписання файлів конфігурації телефона.

• Шифрування файлів конфігурації телефона.

• HTTPS із Tomcat та іншими вебсервісами.

Упровадження інструментів безпеки в системі Cisco Unified Communications Manager запобігає крадіжці ідентичності телефона й сервера Cisco Unified Communications Manager, компрометації даних, а також втручанню в передавання сигналів викликів і медіапотоку.

Щоб знизити ці загрози, мережа IP-телефонії Cisco встановлює та підтримує захищені (зашифровані) комунікаційні потоки між телефоном і сервером, підписує файли цифровим підписом перед їх передаванням на телефон, а також шифрує медіапотоки й передавання сигналів викликів між IP-телефонами Cisco.

Локально значимий сертифікат (LSC) установлюється на телефони після виконання необхідних завдань, пов’язаних із проксі-сервером сертифікаційного центру (CAPF). Ви можете використовувати Cisco Unified Communications Manager Administration для налаштування LSC, як описано в посібнику з безпекиCisco Unified Communications Manager. Альтернативно, ви можете ініціювати встановлення LSC через меню безпеки на телефоні. За допомогою цього меню також можна оновити або видалити LSC.

Телефони використовують профіль захисту телефона, який визначає, чи є пристрій захищеним. Додаткові відомості про застосування до телефона профілю захисту див. в документації до відповідного випуску Cisco Unified Communications Manager.

Якщо в Cisco Unified Communications Manager Administration налаштувати параметри безпеки, файл конфігурації телефона міститиме конфіденційну інформацію. Щоб забезпечити конфіденційність файлу конфігурації, необхідно його зашифрувати. Докладну інформацію див. в документації до відповідного випуску Cisco Unified Communications Manager.

У таблиці нижче наведено огляд функцій безпеки, які підтримуються телефонами. Додаткові відомості див. в документації до відповідного випуску Cisco Unified Communications Manager.

У таблиці нижче наведено оповіщення про оновлення списку довіри та їх значення. Для отримання додаткової інформації дивіться документацію Cisco Unified Communications Manager.

Якщо для телефона впроваджено інструменти безпеки, ви можете розпізнавати безпечні телефонні виклики за значками на екрані телефона. Ви також можете визначити, що підключений телефон є захищеним, якщо на початку виклику пролунає сигнал захисту.

Під час захищеного виклику всі передавання сигналів викликів і медіапотоки шифруються. Захищений виклик пропонує високий рівень безпеки, який гарантує цілісність і конфіденційність виклику. Коли дзвінок зашифрований, ви можете побачити іконку захищеного На лінії.

У Cisco Unified Communications Manager телефони, налаштовані як захищені (зашифровані та довірені), можуть отримати захищений статус. Після захисту ці пристрої можна налаштувати на відтворення сигналу безпеки на початку кожного дзвінка.

• Захищений пристрій:

  Щоб змінити статус захищеного телефону на захищений:

  1. У Cisco Unified Communications Manager Administration виберіть Device > Phone.
  2. Знайдіть телефон, який ви збираєтеся встановити.
  3. У вікні налаштування телефону виберіть галочку «Захищений пристрій ».
  4. Натисніть Зберегти.

• Відтворити Безпечний сигнал індикації:

  Щоб захищений телефон міг відтворювати захищений або незахищений сигнал сигналу:

  1. У Cisco Unified Communications Manager Administration виберіть Параметри системи >сервісу.
  2. Виберіть сервер, а потім сервіс Cisco CallManager .
  3. У кластерній зоні параметрів кластера (Feature - Secure Tone) встановіть тон відтворення так, щоб статус захищеного/незахищеного дзвінка став true.
  4. Натисніть Зберегти.

Оскільки всі пристрої WLAN у межах досяжності можуть приймати будь-який інший трафік WLAN, захист голосового зв’язку у WLAN має вирішальне значення. Щоб гарантувати, що зловмисники не маніпулюють і не перехоплюють голосовий трафік, архітектура Cisco SAFE Security підтримує цей телефон. Для отримання додаткової інформації про безпеку в мережах див. http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Рішення для телефонії Cisco Wireless IP забезпечує бездротову мережеву безпеку, яка запобігає несанкціонованим входам і компрометам комунікації, використовуючи такі методи автентифікації, які підтримує телефон.

• Відкрита автентифікація. Будь-який бездротовий пристрій може подати запит на автентифікацію у відкритій системі. Точка доступу, яка отримує запит, може надавати автентифікацію будь-якому запитувачу або тільки запитувачам зі списку користувачів. Зв'язок між бездротовим пристроєм і точкою доступу (AP) міг бути незашифрованим.

• Розширений протокол автентифікації — гнучка автентифікація через безпечне тунелювання (EAP-FAST): Ця клієнт-серверна архітектура безпеки шифрує EAP транзакції в тунелі безпеки транспортного рівня (TLS) між точкою доступу та сервером RADIUS, наприклад, Identity Services Engine (ISE).

  Тунель TLS використовує захищені облікові дані доступу (PAC) для автентифікації між клієнтом (телефоном) і сервером RADIUS. Сервер надсилає клієнту (телефону) ідентифікатор центру сертифікації (AID), який у свою чергу вибирає відповідні облікові дані PAC. Клієнт (телефон) повертає на сервер RADIUS повідомлення PAC-Opaque. Сервер розшифровує PAC за допомогою головного ключа. Обидва кінцеві пристрої тепер містять ключ PAC. Також створюється тунель TLS. EAP-FAST підтримує автоматичне надсилання PAC, але цю функцію потрібно ввімкнути на сервері RADIUS.

  У ISE за замовчуванням PAC закінчується через тиждень. Якщо на телефоні закінчився термін дії PAC, автентифікація на сервері RADIUS займатиме більше часу, доки телефон не отримає нові облікові дані PAC. Щоб уникнути затримок у надсиланні даних PAC, установіть на сервері ISE або RADIUS термін дії PAC принаймні 90 днів.

• Розширюваний протокол автентифікації з протоколом безпеки транспортного рівня (EAP-TLS). Для автентифікації та доступу до мережі за допомогою EAP-TLS потрібен сертифікат клієнта. Для бездротового EAP-TLS клієнтський сертифікат може бути MIC, LSC, або сертифікат, встановлений користувачем.

• Захищений розширюваний протокол автентифікації (PEAP). Розроблена Cisco схема взаємної автентифікації на основі пароля між клієнтом (телефоном) і сервером RADIUS. Телефон може використовувати PEAP для автентифікації через бездротову мережу. Підтримуються обидва методи автентифікації – PEAP-MSCHAPV2 й PEAP-GTC.

• Попередній спільний ключ (PSK): Телефон підтримує формати ASCII та шістнадцятковий (HEX). Ви повинні використовувати ці формати при налаштуванні WPA2/SAE Pre-shared ключа.

  ASCII: рядок ASCII-символів довжиною від 8 до 63 символів (0-9, малі a-z, великі A-Z та спеціальні символи). Наприклад, GREG123567@9ZX&W.

  HEX: Шестигранний рядок символів довжиною 64 шістнадцятка (0-9, a-f або A-F).

Нижче наведено схеми автентифікації, які використовують керування ключами автентифікації сервер RADIUS.

• WPA2/WPA3 – використовує інформацію про сервер RADIUS для створення унікальних ключів автентифікації. Ці ключі створюються на централізованому сервері RADIUS, тому WPA2/WPA3 забезпечує кращий захист, ніж заздалегідь установлені ключі WPA, які зберігаються в AP й на телефоні.

• Швидкий безпечний роумінг – використовує інформацію про сервер RADIUS і сервер бездротового домену (WDS) для контролю та автентифікації ключів. WDS створює кеш облікових даних безпеки для клієнтських пристроїв з підтримкою FT для швидкої та безпечної повторної автентифікації.

У WPA2/WPA3 ключі шифрування не вводяться на телефоні, а автоматично отримуються між точкою доступу та телефоном. Однак ім’я користувача й пароль EAP, які використовуються для автентифікації, потрібно ввести на кожному з телефонів.

Для захисту голосового трафіку через бездротове з'єднання телефон підтримує шифрування на основі AES для автентифікації WPA2/WPA3. AES — це симетричний блочний шифр, стандартизований NIST. AES використовує фіксований 128-бітний розмір блоку і підтримує розміри ключів 128, 192 біти та 256 біт. У мережах Wi-Fi AES використовується наборами шифрів, такими як CCMP або GCMP, а автентифікація надається окремо через PSK, SAE або 802.1X/EAP, залежно від налаштованого режиму безпеки WLAN. Підтримуваний набор шифрів і розмір ключа залежать від моделі телефону та конфігурації WLAN.

Коли телефон використовує шифрування AES, як пакети сигналізації SIP, так і голосові пакети Real-Time Transport Protocol (RTP) шифруються між точкою доступу та телефоном.

Схеми автентифікації та шифрування налаштовуються в межах бездротової локальної мережі. Мережі VLAN налаштовуються в мережі й точках доступу, задаючи різні комбінації автентифікації та шифрування. SSID прив’язується до VLAN й особливої схеми автентифікації та шифрування. Для успішної автентифікації бездротових клієнтських пристроїв необхідно налаштувати ті ж SSID з їхніми схемами автентифікації та шифрування на точках доступу та телефоні.

Деякі схеми автентифікації вимагають конкретних типів шифрування.

Схеми автентифікації та шифрування у наступній таблиці показують опції конфігурації мережі для Cisco Wireless Phone 9821, що відповідає конфігурації точки доступу.

Cisco Бездротовий телефон 9821 підтримує автентифікацію 802.1X для дротових мереж. Зазвичай це використовується під час автоматичного налаштування , коли телефон підключений до зарядного пристрою через підтримуваний USB-to-Ethernet адаптер.

Підтримка автентифікації 802.1X у дротових мережах вимагає кількох компонентів, а саме:

• IP-телефон Cisco. Телефон ініціює запит на доступ до мережі. IP-телефони Cisco обладнано запитувачем 802.1X. За його допомогою адміністратори мережі можуть контролювати підключення IP-телефонів до портів комутатора LAN. Поточний випуск запитувача 802.1X телефона використовує для автентифікації в мережі параметри EAP-FAST та EAP-TLS.

• Сервер автентифікації: Сервер автентифікації та комутатор мають бути налаштовані з спільним секретом RADIUS.

• Комутатор: Комутатор повинен підтримувати 802.1X, щоб виконувати роль автентифікатора та передавати повідомлення EAP між телефоном і сервером автентифікації. Після завершення обміну комутатор надає або блокує телефону доступ до мережі.

Як правило, IP-телефони Cisco й комутатори Cisco Catalyst використовують протокол Cisco Discovery Protocol (CDP) для взаємної ідентифікації та визначення таких параметрів, як розподіл VLAN і вимоги до живлення через лінію.

Щоб налаштувати 802.1X:

• Налаштуйте CDP/LLDP голос VLAN обхід.

• Налаштуйте сервер автентифікації та комутатор перед тим, як увімкнути автентифікацію 802.1X для дротових мереж на телефоні.

• Налаштуйте голосову VLAN. Стандарт 802.1X не враховує VLAN, а тому вам потрібно налаштовувати цей параметр залежно від підтримки комутатора.

  • Увімкнено: Якщо ви використовуєте комутатор, який підтримує багатодоменну автентифікацію, ви можете налаштувати його на використання голосу VLAN.
  • Не підтримується. Якщо ваш комутатор не підтримує багатодоменну автентифікацію, вимкніть голосову VLAN і призначте порт нативній мережі VLAN.

• Cisco Бездротовий телефон 9821 має інший префікс у PID, ніж у інших Cisco телефонів. Щоб дозволити телефону пройти автентифікацію 802.1X, встановіть радіус· Параметр імені користувача , щоб включити ваш Cisco Wireless Phone 9821.

  Наприклад, PID бездротового телефону Cisco 9821 — WP-9821. Ви можете встановити радіус· Ім'я користувача починається з WP або містить WP у обох наступних розділах:

  • Політика > Умови > Умови бібліотеки

  • Політики > Набори політик> Політика авторизації> Правило авторизації 1