- Головна
- /
- Стаття
Дякуємо за відгук.
У цій статті
Надіслати відгук?Cisco усуває довіру до певних кореневих сертифікатів, які використовуються для перевірки захищених SIP-з'єднань, після інциденту безпеки сертифікаційного органу eMUdhra (CA) у жовтні 2026 року. Запровадження для постраждалих інтеграцій Webex Meetings SIP планується розпочати 2 листопада 2026 року. Розгортання може відбуватися поетапно. Плануйте завершити свої зміни до 2 листопада. Клієнти, ланцюги сертифікатів яких залежать від недовірених органів, повинні замінити відповідний сертифікат або ланцюжок. В іншому випадку захищене SIP-з'єднання не вдасться автентифікації TLS, коли для цього з'єднання буде застосовано оновлену політику довіри.
На що може вплинути
Інтеграція
-
Webex MeetingsEdge Audio: комутоване та виведення нарад через корпоративні SIP-з'єднання припинять працювати, коли при мусове забезпечення досягне цих з'єднань.
-
Кімнати для нарад для співпраці (CMR): приєднання відеопристрою на основі SIP через захищені SIP-з'єднання не вдасться, коли примусове виконання охоплює ці з'єднання.
-
Інфраструктура, керована клієнтом, може включати Cisco CUBE, Expressway-E та інші контролери кордонів сеансів (SBC). Перегляньте як первинну, так і резервну систему.
Ці зміни націлені на інтеграцію SIP за допомогою ланцюгів сертифікатів, що стосуються впливу; інші методи доступу до нарад не залежать від одного і того ж шляху до сертифіката SIP, керованого клієнтом.
Органи сертифікатів
Перевірте наявність ланцюжків сертифікатів, які залежать від будь-якого з наступних органів:
-
Коренева служба сертифікації TLS EmSign - G3
-
Коренева сертифікація EMSign ECC - G3
-
emSign Коренева сертифікація CS - G3
-
Послуги сертифікатів AAA (корінь служб Comodo AAA)
Служби сертифікатів AAA не були скомпрометовані, але вони перехресно підписали уражені посередники eMUDHRA і включені до цієї відповіді безпеки. Деякі сертифікати, видані Sectigo, можуть використовувати шлях сертифікації з перехресним підписанням AAA, навіть якщо самі сертифікати клієнтів Sectigo не були порушені.
EmSign Root CA - G1 не включено до цієї зміни недовіри. Не замінюйте та не видаляйте сертифікати виключно тому, що вони використовують G1.
Перевірка та заміна відповідних сертифікатів або ланцюгів
| 1 |
Визначте CUBE, Expressway-E або SBC, які використовуються для інтеграції нарад на основі Edge Audio або SIP. Запишіть фактичне ім'я хоста та налаштований порт SIP TLS. Потім перевірте сертифікат ідентифікації TLS, встановлений у цій системі, та будь-які супутні проміжні сертифікати CA. На Expressway-E встановлений сертифікат сервера можна переглянути в розділі Технічне фікат сервера. Для CUBE та інших SBC використовуйте відповідну процедуру перевірки сертифікатів постачальника. Повторіть для резервних копій та резервних систем. |
| 2 |
З комп'ютера з встановленим OpenSSL і мережевим доступом до слухача SIP TLS запустіть відповід ний приклад:
Замініть приклад імені хоста та порту на вашу фактичну кінцеву точку SIP TLS; порт може відрізнятися залежно від розгортання. Якщо вхідний доступ до TLS обмежений, запустіть перевірку з авторизованої системи управління. На Expressway-E порт SIP TLS, який використовується з Webex, може вимагати клієнтського сертифіката. Потім команда може закінчитися помилкою, але ланцюжок сертифікатів все одно відображається. Перегляньте записи ланцюжка сертифікатів, включаючи предмет (и:) та емітента (i:). Шукайте будь-яке з чотирьох назв сертифікатів, що стосуються, включаючи сертифікат сертифікаційного органу UserTrust RSA, ви даний службами сертифікатів AAA. Приклад враженого входу ланцюга з перехресними знаками:
|
| 3 |
Інтерпретуйте висновки:
|
| 4 |
Зверніться до постачальника сертифікатів або торгового посередника, щоб отримати запасний сертифікат або альтернативний ланцюжок сертифікатів, що закінчується кореневим джерелом, не вказаним вище. Попросіть провайдер а підтвердити, що ланцюг заміни підходить для інтеграції Webex SIP.
Ще раз огляньте встановлений ланцюг, щоб переконатися, що він більше не залежить від недовірених органів влади.
|
| 5 |
Перевірте підключення до наради:
Якщо проблеми з підключенням до сертифікатів або SIP зберігаються, зверніться до свого партнера Cisco або Cisco Technical Assistance Center (TAC). Вкажіть ідентифікатор організації Webex, служ бу, що впливає, назву системи та SIP хосту, деталі ланцюжка сертифікатів та будь-які повідомлення про помилки TLS або SIP. Не діліться приватними ключами. |
Пов'язана інформація
Для отримання додаткової інформації див. Наступне:
