Огляд

Стандартний клієнт TLS перевіряє допустимість сертифіката сервера TLS під час рукостискання TLS. Однак це налаштування може бути вразливим до атаки «людина посередині», коли Jabber розгортається через інтернет. Якщо під час входу хакер надає Jabber власний сервер із допустимим сертифікатом TLS замість Expressway, тоді Jabber за відсутності подальшого контролю приймає цей сертифікат, і користувача може бути підключено до шкідливої системи. Щоб уникнути цієї проблеми, Jabber виконує додатковий крок перевірки, який не є частиною стандартного TLS. Він перевіряє, що домен, який введено під час процесу входу користувачем, збігається з альтернативними іменами суб’єктів (SAN), включеними до сертифіката. Тільки якщо збігається, Jabber намагатиметься підключитися до Expressway. Будь-який запис SAN, зроблений у сертифікаті, має бути підписаний центром сертифікації (CA). Це означає, що лише компанія, яка володіє доменом, зможе отримати підписаний CA сертифікат.

Будь-яка SAN, введена в сертифікат, підлягає перевірці з боку центру сертифікації (CA), тому лише компанія, яка володіє доменом, може отримати підписаний CA сертифікат. Це значно ускладнює викрадення ідентифікаційних даних Expressway.

У виділеному екземплярі Cisco керує сертифікатами для застосунків UC, і, отже, сертифікати підписуються лише доменом, наданим Cisco, наприклад customer.amer.wxc-di.webex.com . Однак, щоб кінцевий користувач міг увійти до клієнта Jabber за допомогою адреси електронної пошти клієнта, можна досягти за допомогою таких параметрів:

Варіант 1: початковий вхід кінцевого користувача в Jabber

Початковий вхід кінцевого користувача в Jabber — це найпростіший підхід, і кроки наведено докладно:

  1. Введіть наданий Cisco домен голосової служби, наприклад, user@customer.amer.wxc-di.webex.com на початковому екрані входу в Jabber.


     

    Cisco надає спільний доступ до домену служби голосової підтримки клієнтів для кожного регіону після активації служби. Ця інформація є частиною документа з відомостями про доступ, до якого надається спільний доступ у просторі програми Webex. Докладніше див Активація служби виділеного екземпляра .

  2. Введіть ім’я користувача або ідентифікатор електронної пошти компанії разом із паролем для автентифікації.


     

    Якщо SSO ввімкнено, IdP виконує подібну операцію.


     
    Наступні вхідні в систему після цього не потребують виконання кроку 1, якщо клієнт Jabber не скинуто.

Варіант 2. Використовуйте домен голосової служби

За допомогою цього підходу клієнт Jabber може розрізняти домен клієнта, який ввів користувач, і домен виявлення служби. У інсталяторі, якщо для домену голосової служби встановлено значення customer.amer.wxc-di.webex.com , користувач може ввійти до клієнта Jabber за допомогою адреси електронної пошти своєї компанії, а Jabber все ще може здійснювати виявлення служби на основі значення, установленого в домені служби голосової пошти. Це знімає необхідність надавати домен голосової служби під час початкового входу в jabber згідно з наведеним вище параметром.

Для вікон:

Такі інструменти, як Microsoft Orca, можна використовувати для створення користувацьких інсталяторів Jabber, які можуть включати домен голосової служби. Користувачам можна доручити використовувати ці інсталятори для клієнта Jabber.

Для MAC, iOS, Android:

Такі інструменти, як MDM, можна використовувати для створення користувацьких інсталяторів Jabber, які можуть включати домен голосової служби.

Варіант 3: Використовуйте URL-адресу конфігурації

URL-адреса конфігурації використовується для налаштування параметрів Jabber перед початковим входом, наприклад домену голосових служб. Приклад URL-адреси конфігурації: ciscojabber://provision?ServicesDomain=customer.com&VoiceServicesDomain=customer.amer.wxc-di.webex.com

Натиснувши посилання вище, можна встановити домен голосової служби в клієнті Jabber, що працює на пристроях MAC, Android або iOS.


 

Ця конфігурація не є постійною. Якщо клієнт Jabber буде скинуто, користувач повинен перейти за посиланням ще раз.

Програма Webex не має зазначених вище вимог, клієнт виконує перевірку домену, але можна надати домен голосової служби в Control Hub. Коли програма Webex підключається до Webex, вона отримує домен голосових служб і реєструється. Докладніше про налаштування викликів у програмі Webex див Інтеграція програми Webex із виділеним екземпляром для викликів у програмі .

Корисне посилання: Локальне розгортання для Cisco Jabber 14.0