Дякуємо за відгук.

Функції безпеки захищають від загроз, зокрема загроз для ідентифікаційних даних телефону та даних. Ці функції встановлюють і підтримують автентифіковані потоки зв'язку між телефоном і сервером Cisco Unified Communications Manager, а також гарантують, що телефон використовує лише файли з цифровим підписом.

Cisco Unified Communications Manager версії 8.5(1) та пізніших версій містить функцію «Безпека» за замовчуванням, яка забезпечує такі функції безпеки для IP-телефонів Cisco без запуску клієнта CTL:

• Підписання файлів конфігурації телефону

• Шифрування файлу конфігурації телефону

• HTTPS з Tomcat та іншими веб-сервісами

Впровадження безпеки в системі Cisco Unified Communications Manager запобігає крадіжці особистих даних телефону та сервера Cisco Unified Communications Manager, запобігає підробці даних, а також запобігає підробці сигналізації викликів та медіапотоку.

Щоб зменшити ці загрози, мережа IP-телефонії Cisco встановлює та підтримує безпечні (зашифровані) потоки зв'язку між телефоном і сервером, цифровим підписом додає файли перед їх передачею на телефон, а також шифрує потоки медіа та сигналізацію викликів між IP-телефонами Cisco.

Локально значущий сертифікат (LSC) інсталюється на телефонах після виконання необхідних завдань, пов’язаних із функцією проксі-сервера центру сертифікації (CAPF). Ви можете використовувати адміністрування Cisco Unified Communications Manager для налаштування LSC, як описано в Посібнику з безпеки Cisco Unified Communications Manager. Або ж ви можете ініціювати встановлення LSC з меню налаштувань безпеки на телефоні. Це меню також дозволяє оновлювати або видаляти LSC.

Телефони використовують профіль безпеки телефону, який визначає, чи є пристрій незахищеним, чи захищеним. Щоб отримати інформацію про застосування профілю безпеки до телефону, див. документацію до вашої конкретної версії Cisco Unified Communications Manager.

Якщо ви налаштовуєте параметри, пов’язані з безпекою, в адмініструванні Cisco Unified Communications Manager, файл конфігурації телефону містить конфіденційну інформацію. Щоб забезпечити конфіденційність файлу конфігурації, необхідно налаштувати його для шифрування. Для отримання детальної інформації див. документацію до вашої конкретної версії Cisco Unified Communications Manager.

Телефон відповідає Федеральному стандарту обробки інформації (FIPS). Для правильного функціонування режим FIPS вимагає розміру ключа 2048 біт або більше. Якщо сертифікат менше 2048 бітів, телефон не зареєструється в Cisco Unified Communications Manager, і на телефоні відображається Phone failed to register. Cert key size is not FIPS compliant.

Якщо телефон має LSC, вам потрібно оновити розмір ключа LSC до 2048 біт або більше, перш ніж увімкнути FIPS.

У наступній таблиці наведено огляд функцій безпеки, які підтримують телефони. Щоб отримати додаткові відомості, перегляньте документацію до конкретного випуску Уніфікованого диспетчера комунікацій Cisco.

Щоб переглянути режим безпеки, натисніть Налаштування та перейдіть до Мережа та послуги > Налаштування безпеки.

У наступній таблиці наведено повідомлення тривоги оновлення списку довірених осіб та їх значення. Для отримання додаткової інформації див. документацію Cisco Unified Communications Manager.

Меню налаштувань безпеки містить інформацію про різні параметри безпеки. Це меню також надає доступ до меню «Список довірених» і вказує, чи встановлено на телефоні файл CTL чи ITL.

У наступній таблиці описано параметри меню «Налаштування безпеки».

IP-телефони Cisco підтримують автентифікацію 802.1X.

IP-телефони Cisco та комутатори Cisco Catalyst традиційно використовують протокол Cisco Discovery Protocol (CDP) для ідентифікації один одного та визначення таких параметрів, як розподіл VLAN та вимоги до вбудованої потужності. CDP не ідентифікує локально підключені робочі станції. IP-телефони Cisco забезпечують механізм передачі даних EAPOL. Цей механізм дозволяє робочій станції, підключеній до IP-телефону Cisco, передавати повідомлення EAPOL до автентифікатора 802.1X на комутаторі локальної мережі. Механізм наскрізного доступу гарантує, що IP-телефон не діє як комутатор локальної мережі для автентифікації кінцевої точки даних перед доступом до мережі.

IP-телефони Cisco також забезпечують механізм виходу з системи через проксі-сервер EAPOL. Якщо локально підключений ПК відключається від IP-телефону, комутатор локальної мережі не бачить переривання фізичного з'єднання, оскільки зв'язок між комутатором локальної мережі та IP-телефоном зберігається. Щоб уникнути порушення цілісності мережі, IP-телефон надсилає повідомлення EAPOL-Logoff на комутатор від імені ПК нижче за течією, що ініціює очищення запису автентифікації для ПК нижче за течією на комутаторі локальної мережі.

Підтримка автентифікації 802.1X вимагає декількох компонентів:

• IP-телефон Cisco: Телефон ініціює запит на доступ до мережі. IP-телефони Cisco містять запитувач 802.1X. Цей запитувач дозволяє мережевим адміністраторам контролювати підключення IP-телефонів до портів комутатора локальної мережі. Поточна версія телефону-заявника 802.1X використовує опції EAP-FAST та EAP-TLS для мережевої автентифікації.

• Сервер автентифікації: Сервер автентифікації та комутатор повинні бути налаштовані зі спільним секретним ключем, який автентифікує телефон.

• Перемикач: Комутатор повинен підтримувати 802.1X, тому він може виконувати функцію автентифікатора та передавати повідомлення між телефоном і сервером автентифікації. Після завершення обміну комутатор надає або відмовляє телефону в доступі до мережі.

Щоб налаштувати 802.1X, необхідно виконати такі дії.

• Налаштуйте інші компоненти, перш ніж увімкнути аутентифікацію 802.1X на телефоні.

• Налаштування порту ПК: Стандарт 802.1X не враховує віртуальні локальні мережі (VLAN) і тому рекомендує, щоб лише один пристрій був автентифікований на певному порту комутатора. Однак деякі комутатори підтримують багатодоменну автентифікацію. Конфігурація комутатора визначає, чи можна підключити ПК до порту ПК на телефоні.

  • Увімкнено: Якщо ви використовуєте комутатор, який підтримує багатодоменну автентифікацію, ви можете ввімкнути порт ПК та підключити до нього ПК. У цьому випадку IP-телефони Cisco підтримують проксі-сервер EAPOL-Logoff для моніторингу обміну автентифікацією між комутатором та підключеним ПК.

    Щоб отримати додаткові відомості про підтримку IEEE 802.1X на комутаторах Cisco Catalyst, див. посібники з налаштування комутатора Cisco Catalyst за адресою:

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Вимкнено: Якщо комутатор не підтримує кілька пристроїв, сумісних зі стандартом 802.1X, на одному порту, слід вимкнути порт ПК, коли ввімкнено автентифікацію 802.1X. Якщо ви не вимкнете цей порт, а потім спробуєте підключити до нього ПК, комутатор заборонить доступ до мережі як телефону, так і ПК.

• Налаштування голосової VLAN: Оскільки стандарт 802.1X не враховує віртуальні локальні мережі (VLAN), вам слід налаштувати цей параметр на основі підтримки комутатора.
  • Увімкнено: Якщо ви використовуєте комутатор, який підтримує багатодоменну автентифікацію, ви можете продовжити використовувати голосову VLAN.
  • Вимкнено: Якщо комутатор не підтримує багатодоменну автентифікацію, вимкніть голосову VLAN та розгляньте можливість призначення порту власній VLAN.
• (Тільки для стаціонарних телефонів Cisco серії 9800)

  Настільний телефон Cisco серії 9800 має інший префікс у PID, ніж інші телефони Cisco. Щоб ваш телефон проходив автентифікацію 802.1X, установіть параметр Radius·User-Name, щоб включити ваш настільний телефон Cisco серії 9800.

  Наприклад, PID телефону 9841 — DP-9841; ви можете встановити для Radius·User-Name значення Start with DP або Contains DP. Ви можете встановити це в обох наступних розділах:

  • Політика > Умови > Умови бібліотеки

  • Політика > Набори політик > Політика авторизації > Правило авторизації 1

Коли для телефону впроваджено захист, ви можете ідентифікувати захищені телефонні дзвінки за допомогою значків на екрані телефону. Ви також можете визначити, чи підключений телефон безпечний та захищений, якщо на початку дзвінка відтворюється сигнал безпеки.

Під час захищеного дзвінка вся сигналізація дзвінка та медіапотоки шифруються. Безпечний дзвінок пропонує високий рівень безпеки, забезпечуючи цілісність та конфіденційність розмови. Коли активний дзвінок зашифровано, на лінії відображається значок захисту . Для захищеного телефону ви також можете переглянути значок автентифікації або значок шифрування поруч із підключеним сервером у меню телефону (Налаштування > Про цей пристрій).

Під час захищеного дзвінка на початку дзвінка відтворюється сигнал безпеки, який вказує на те, що інший підключений телефон також приймає та передає захищене аудіо. Якщо ваш дзвінок з’єднується з незахищеним телефоном, сигнал безпеки не відтворюватиметься.

Коли телефон налаштовано як захищений (зашифрований та довірений) у Cisco Unified Communications Manager, йому може бути надано статус захищений. Після цього, за бажанням, захищений телефон можна налаштувати на відтворення сигналу індикації на початку дзвінка:

• Захищений пристрій: Щоб змінити статус захищеного телефону на захищений, установіть прапорець «Захищений пристрій» у вікні «Конфігурація телефону» в адмініструванні Cisco Unified Communications Manager (Пристрій > Телефон).

• Відтворити сигнал індикації безпеки: Щоб увімкнути відтворення захищеного або незахищеного сигналу індикації на захищеному телефоні, установіть для параметра «Відтворити сигнал захищеної індикації» значення «Істина». За замовчуванням для параметра «Відтворити сигнал індикації безпеки» встановлено значення «Хибно». Ви встановлюєте цей параметр у розділі адміністрування Cisco Unified Communications Manager (Система > Параметри сервісу). Виберіть сервер, а потім службу Unified Communications Manager. У вікні «Конфігурація параметрів служби» виберіть опцію в області «Функція – Захищений тон». Значення за замовчуванням — Хибність.

Оскільки всі пристрої WLAN, що знаходяться в межах досяжності, можуть приймати весь інший трафік WLAN, захист голосового зв'язку є критично важливим у WLAN. Щоб гарантувати, що зловмисники не зможуть маніпулювати голосовим трафіком і не перехоплювати його, архітектура Cisco SAFE Security підтримує роботу телефону. Щоб отримати додаткові відомості про безпеку в мережах, див. http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Рішення Cisco Wireless IP-телефонії забезпечує безпеку бездротової мережі, яка запобігає несанкціонованому входу та компрометації зв'язку, використовуючи такі методи автентифікації, що підтримуються телефоном:

• Відкрита автентифікація: Будь-який бездротовий пристрій може запитувати автентифікацію у відкритій системі. Точка доступу, яка отримує запит, може надати автентифікацію будь-якому запитувачу або лише тим запитувачам, які знаходяться у списку користувачів. Зв'язок між бездротовим пристроєм і точкою доступу (AP) може бути нешифрованим.

• Розширюваний протокол автентифікації – гнучка автентифікація через безпечне тунелювання (EAP-FAST): Ця архітектура безпеки клієнт-сервер шифрує транзакції EAP у тунелі Transport Level Security (TLS) між точкою доступу та сервером RADIUS, таким як Identity Services Engine (ISE).

  Тунель TLS використовує захищені облікові дані доступу (PAC) для автентифікації між клієнтом (телефоном) та сервером RADIUS. Сервер надсилає ідентифікатор авторизації (AID) клієнту (телефону), який, у свою чергу, вибирає відповідний PAC. Клієнт (телефон) повертає PAC-Opaque на сервер RADIUS. Сервер розшифровує PAC за допомогою первинного ключа. Обидві кінцеві точки тепер містять ключ PAC, і створюється тунель TLS. EAP-FAST підтримує автоматичне налаштування PAC, але його необхідно ввімкнути на сервері RADIUS.

  В ISE за замовчуванням термін дії PAC закінчується через один тиждень. Якщо термін дії PAC у телефону минув, автентифікація на сервері RADIUS триватиме довше, поки телефон отримає новий PAC. Щоб уникнути затримок із забезпеченням PAC, встановіть період дії PAC на 90 днів або довше на сервері ISE або RADIUS.

• Автентифікація за протоколом розширюваної автентифікації – протоколом безпеки транспортного рівня (EAP-TLS): EAP-TLS вимагає сертифіката клієнта для автентифікації та доступу до мережі. Для бездротового EAP-TLS сертифікатом клієнта може бути MIC, LSC або сертифікат, встановлений користувачем.

• Протокол захищеної розширюваної автентифікації (PEAP): Власна схема взаємної автентифікації на основі пароля Cisco між клієнтом (телефоном) та сервером RADIUS. Телефон може використовувати PEAP для автентифікації в бездротовій мережі. Підтримуються методи автентифікації PEAP-MSCHAPV2 та PEAP-GTC.

• Попередньо спільний ключ (PSK): Телефон підтримує формат ASCII. Ви повинні використовувати цей формат під час налаштування WPA/WPA2/SAE Попередньо спільний ключ:

  ASCII: рядок символів ASCII довжиною від 8 до 63 символів (0-9, малі та великі літери AZ, а також спеціальні символи)

  Приклад: GREG123567@9ZX & В

Наступні схеми автентифікації використовують сервер RADIUS для керування ключами автентифікації:

• WPA/WPA2/WPA3: Використовує інформацію сервера RADIUS для створення унікальних ключів для автентифікації. Оскільки ці ключі генеруються на централізованому сервері RADIUS, WPA2/WPA3 забезпечує більший рівень безпеки, ніж попередньо спільні ключі WPA, які зберігаються на точці доступу та телефоні.

• Швидкий безпечний роумінг: Використовує інформацію про сервер RADIUS та сервер бездротового домену (WDS) для керування ключами та їх автентифікації. WDS створює кеш облікових даних безпеки для клієнтських пристроїв із підтримкою FT для швидкої та безпечної повторної автентифікації. Настільні телефони Cisco 9861 та 9871, а також відеотелефон Cisco 8875 підтримують стандарт 802.11r (FT). Підтримується як бездротовий зв'язок, так і зв'язок через DS, що забезпечує швидкий та безпечний роумінг. Але ми наполегливо рекомендуємо використовувати метод бездротового зв'язку 802.11r (FT).

З WPA/WPA2/WPA3, Ключі шифрування не вводяться на телефоні, а автоматично передаються між точкою доступу та телефоном. Але ім’я користувача та пароль EAP, які використовуються для автентифікації, потрібно вводити на кожному телефоні.

Щоб забезпечити безпеку голосового трафіку, телефон підтримує шифрування TKIP та AES. Коли ці механізми використовуються для шифрування, як сигнальні SIP-пакети, так і голосові RTP-пакети (Real-Time Transport Protocol) шифруються між точкою доступу та телефоном.

TKIP

WPA використовує шифрування TKIP, яке має кілька покращень порівняно з WEP. TKIP забезпечує шифрування ключів для кожного пакету та довші вектори ініціалізації (IV), що посилює шифрування. Крім того, перевірка цілісності повідомлень (MIC) гарантує, що зашифровані пакети не змінюються. TKIP усуває передбачуваність WEP, яка допомагає зловмисникам розшифрувати ключ WEP.

АЕС

Метод шифрування, що використовується для WPA2/WPA3 автентифікація. Цей національний стандарт шифрування використовує симетричний алгоритм, який має однаковий ключ для шифрування та дешифрування. AES використовує шифрування Cipher Blocking Chain (CBC) розміром 128 біт, яке підтримує розміри ключів щонайменше 128 біт, 192 біти та 256 біт. Телефон підтримує розмір ключа 256 біт.

У бездротовій локальній мережі налаштовано схеми автентифікації та шифрування. Віртуальні локальні мережі (VLAN) налаштовуються в мережі та на точках доступу й визначають різні комбінації автентифікації та шифрування. SSID асоціюється з VLAN та певною схемою автентифікації та шифрування. Для успішної автентифікації бездротових клієнтських пристроїв необхідно налаштувати однакові SSID з їхніми схемами автентифікації та шифрування на точках доступу та на телефоні.

Деякі схеми автентифікації вимагають певних типів шифрування.

Схеми автентифікації та шифрування в наступній таблиці показують параметри конфігурації мережі для телефону, що відповідає конфігурації точки доступу.

Протокол SIP із гарантованими послугами (AS-SIP) – це набір функцій і протоколів, що забезпечують високобезпечний потік викликів для IP-телефонів Cisco та телефонів сторонніх виробників. Наступні функції разом відомі як AS-SIP:

• Багаторівневий пріоритет та випередження (MLPP)
• Кодова точка диференційованих послуг (DSCP)
• Безпека транспортного рівня (TLS) та протокол безпечного транспортування в реальному часі (SRTP)
• Інтернет-протокол версії 6 (IPv6)

AS-SIP часто використовується з багаторівневою системою пріоритету та випередження (MLPP) для визначення пріоритетності викликів під час надзвичайної ситуації. За допомогою MLPP ви призначаєте рівень пріоритету вихідним дзвінкам від 1 (низький) до 5 (високий). Коли ви отримуєте дзвінок, на телефоні відображається піктограма рівня пріоритету, яка показує пріоритет дзвінка.

Щоб налаштувати AS-SIP, виконайте такі завдання в Cisco Unified Communications Manager:

• Налаштування користувача дайджесту — налаштуйте кінцевого користувача для використання дайджест-автентифікації для SIP-запитів.
• Налаштування безпечного порту SIP-телефону — Cisco Unified Communications Manager використовує цей порт для прослуховування SIP-телефонів для реєстрації ліній SIP через TLS.
• Перезапуск служб — після налаштування захищеного порту перезапустіть служби Cisco Unified Communications Manager та Cisco CTL Provider. Налаштування профілю SIP для AS-SIP – налаштуйте профіль SIP з параметрами SIP для кінцевих точок AS-SIP та для транків SIP. Параметри, специфічні для телефону, не завантажуються на телефон AS-SIP стороннього виробника. Вони використовуються лише Cisco Unified Manager. Телефони сторонніх виробників повинні локально налаштовувати ті самі параметри.
• Налаштування профілю безпеки телефону для AS-SIP — ви можете використовувати профіль безпеки телефону для призначення параметрів безпеки, таких як TLS, SRTP та дайджест-автентифікація.
• Налаштування кінцевої точки AS-SIP — налаштуйте IP-телефон Cisco або кінцеву точку стороннього виробника з підтримкою AS-SIP.
• Зв’язати пристрій із кінцевим користувачем — зв’язати кінцеву точку з користувачем.
• Налаштування профілю безпеки SIP-транка для AS-SIP — Ви можете використовувати профіль безпеки SIP-транка для призначення функцій безпеки, таких як TLS або дайджест-автентифікація, SIP-транку.
• Налаштування SIP-транка для AS-SIP — налаштування SIP-транка з підтримкою AS-SIP.
• Налаштування функцій AS-SIP — налаштуйте додаткові функції AS-SIP, такі як MLPP, TLS, V.150 та IPv6.

Докладнішу інформацію про налаштування AS-SIP див. у розділі «Налаштування кінцевих точок AS-SIP» у Посібнику з налаштування функцій для Cisco Unified Communications Manager.

Коли на телефоні налаштовано коди примусової авторизації (FAC) або коди клієнтських справ (CMC), або обидва, користувачі повинні ввести необхідні паролі, щоб набрати номер.

Щоб отримати додаткові відомості про налаштування FAC та CMC у Cisco Unified Communications Manager, див. розділ «Коди клієнтських питань та коди примусової авторизації» у Посібнику з налаштування функцій для Cisco Unified Communications Manager, випуск 12.5(1) або пізнішої версії.

Функція Cisco VPN допомагає вам підтримувати безпеку мережі, надаючи користувачам безпечний та надійний спосіб підключення до вашої корпоративної мережі. Використовуйте цю функцію, коли:

• Телефон знаходиться поза межами довіреної мережі
• Мережевий трафік між телефоном і Cisco Unified Communications Manager перетинає ненадійну мережу

У VPN існує три поширені підходи до автентифікації клієнтів:

• Цифрові сертифікати
• Паролі
• Ім'я користувача та пароль

Кожен метод має свої переваги. Але якщо ваша корпоративна політика безпеки це дозволяє, ми рекомендуємо підхід на основі сертифікатів, оскільки сертифікати дозволяють безперешкодно входити в систему без будь-якого втручання користувача. Підтримуються сертифікати як LSC, так і MIC.

Щоб налаштувати будь-яку з функцій VPN, спочатку підготуйте пристрій локально, а потім розгорніть його поза межами мережі.

Щоб отримати додаткові відомості про автентифікацію за сертифікатом та роботу з мережею VPN, див. Налаштування VPN-телефону AnyConnect з автентифікацією за сертифікатом на ASA.

При використанні пароля або імені користувача та пароля користувачеві пропонується ввести облікові дані для входу. Встановіть облікові дані користувача для входу відповідно до політики безпеки вашої компанії. Ви також можете налаштувати параметр «Увімкнути збереження пароля», щоб пароль користувача зберігався на телефоні. Пароль користувача зберігається до невдалої спроби входу, користувача вручну, який його видалить, або доки телефон не скине налаштування чи не вимкнеться.

Ще один корисний інструмент – це параметр «Увімкнути автоматичне виявлення мережі». Якщо цей прапорець увімкнено, VPN-клієнт зможе працювати лише тоді, коли виявить, що він знаходиться поза межами корпоративної мережі. Цей параметр за замовчуванням вимкнено.

Ваш телефон Cisco підтримує клієнт Cisco SVC IPPhone версії 1.0 як тип клієнта.

Щоб отримати додаткові відомості про налаштування VPN на Unified CM, див. Посібник з налаштування функцій для Cisco Unified Communications Manager.

Функція Cisco VPN використовує протокол Secure Sockets Layer (SSL) для забезпечення безпеки мережі.