Webex Meetings 和 Webex Calling 的端到端加密

比较 Webex 端到端加密和零信任端到端加密

Webex Suite 提供两种类型的端到端加密 (E2EE)：

Webex 端到端加密 — 标准会议和 Webex 消息传递中共享的用户生成内容的默认安全措施。
零信任端到端加密——增强 Webex 端到端加密会议中媒体和用户生成内容的安全性。本文主要关注零信任端到端加密。

这两种端到端加密方式都提供了一层额外的加密，可以保护数据免受拦截攻击，但它们提供的保密级别有所不同。

Webex端到端加密

Webex 端到端加密使用 Webex 密钥管理系统* (KMS) 来生成和管理加密密钥。这些 Webex KMS 密钥用于加密 Webex 应用和 Cisco 视频设备创建的聊天消息、文件、白板和注释。Webex 端到端加密最初用于 Webex Messaging，现在也用于加密 Webex Suite 会议平台上的标准 Webex Meetings 中的用户生成内容。使用 Webex 端到端加密：

数据在传输过程中进行加密，其他都经过加密。
Webex 应用和 Cisco 设备会对所有用户生成的内容（例如消息、文件、注释和白板）进行加密，然后再通过加密的 TLS 传输。
这些加密内容存储在 Webex 云的加密内容服务器上。

这一附加安全层可保护传输中的用户数据免受 TLS 拦截攻击，并保护用户数据免受云中潜在的错误Webex攻击。

默认情况下，我们的云端密钥管理系统会生成并分发加密密钥。您还可以选择使用 Webex Hybrid Data Security (HDS) 来管理您自己的本地密钥管理系统版本。有关更多详细信息，请参阅 Webex 混合数据安全部署指南。

Webex 云可以访问和使用 KMS 加密密钥，但仅用于解密核心服务所需的数据，例如：

搜索功能的消息索引
数据丢失防护
文件转码
发掘
数据存档

有关基于 Webex KMS 的端到端加密的更多信息，请参阅 Webex 消息传递安全技术文档。

零信任端到端加密

Webex 使用零信任端到端加密，为 Webex 端到端加密会议中的媒体和用户生成的内容（聊天、文件、白板和注释）提供更高级别的安全性和保密性。

零信任端到端加密使用消息层安全 (MLS) 协议来交换信息，以便 Webex 会议的参与者可以创建共同的会议加密密钥。

会议加密密钥只有会议参加者才能访问。客户Webex 服务访问会议密钥，因此“完全信任”。

针对客户零信任的安全性Webex Meetings

零信任端到端加密的 Webex 会议支持以下功能：

基于标准的协议（MLS、SFrame）采用形式化验证的密码学。
适用于 Windows、MacOS 和 Linux 的 Webex 桌面应用程序。
Webex iOS 和 Android 移动应用。
思科视频设备（Room 系列、Desk 系列和 Webex Board）。
个人会议室会议中的端到端加密 (E2EE)。
对预定会议进行端到端加密（E2EE）。
一个安全图标，让所有会议参与者一眼就能知道他们的会议是安全的，以及会议何时启用了端到端加密。
使用新的安全验证码对会议参与者进行口头验证。
最多 1000 名参加者。
本地录音。
会议内聊天、文件传输、白板和注释。
远程桌面控制。
视频和音频水印。
在 Webex 应用中，您可以仅使用计算机音频加入会议（基于 PSTN 的通话）。 me/Call （不支持）。

“零信任”安全性在会议中不支持以下功能：

较旧的 Webex 设备，例如 SX、DX 和 MX 系列。
基于 Web 浏览器的 Webex 应用（web.webex.com）。
保存会议聊天记录、文件、白板内容和批注。
将会话数据、文字记录和会议笔记保存到云端。
Cisco 云服务提供的需要访问解密媒体的功能，包括：
- 基于网络的录制功能 (NBR)
- 媒体转码
- 会议中的 Webex AI 助手
  - 自动隐藏式字幕
  - 转录等。
- 拨打和接听公共交换电话网络 (PSTN) 的电话
- 拨打和接听 SIP 设备的电话

比较标准 Webex 会议和零信任端到端加密 Webex 会议的功能。

Webex通话的端到端加密

Webex Calling 目前使用安全实时传输协议 (SRTP) 对媒体进行加密通话。Webex Calling E2EE 的推出，扩展了 Webex 平台强大的端到端加密功能，确保只有通信参与者才能解密其内容，即使是服务提供商也无法解密。这项改进对于安全要求高的市场尤为重要。Webex Calling E2EE 采用机会主义运营模式。这意味着：

机会性参与— 通话以 SRTP 媒体开始，当客户端支持 E2EE 且没有条件阻止 E2EE 时，通话会自动升级到 E2EE。
动态降级— 如果在通话期间条件发生变化（例如，调用需要 Webex 服务进行媒体处理的功能），则通话可以暂时降级到 SRTP。
用户通知—Webex App 会通知用户 SRTP 和 E2EE 状态之间的转换，确保透明度。

当 Webex Calling 通话升级为 Webex Meeting 时，原始的 E2EE Calling 会话终止，通话过渡到 Webex Meeting 环境。这意味着机会主义呼叫 E2EE 不再生效，所有呼叫参与者都将重新连接到会议。会议中 E2EE 的可用性取决于客户配置的默认会议类型。

如果 Webex Calling 通话引入了会议混合器，例如三方或多方通话，则也无法维持机会性 E2EE。

此次通话包括组织外部的参与者。
至少有一名参与者未使用支持端到端加密的 Webex 应用。
Webex Calling 服务引入了媒体功能，例如即时会议或通话录音。

Webex Calling 不支持某些呼叫类型实现端到端加密 (E2EE)，例如一对一 PSTN 呼叫（包括组织之间的呼叫）和一对一本地中继（混合）呼叫。

当 Webex 服务需要处理媒体时，它会禁用 E2EE。这适用于自动话务员、呼叫队列（尽管系统可能会在座席连接后启用 E2EE）和语音门户（例如，语音邮件的存入或检索）等功能。该系统也不支持对答题前早期媒体进行端到端加密。如果隐私设置或策略阻止或隐藏远程方的身份，例如使用连接线路身份隐私或助理代表主管接听电话时，Webex 将不会启用 E2EE。

E2EE 仅适用于主线路，不适用于共享线路或虚拟线路。

为 Webex Calling 启用端到端加密

Webex Calling 的端到端加密默认是禁用的。为 Webex Calling 启用端到端加密，以保护组织内的用户通信。

登录到控制中心。
前往服务 > 正在呼叫 > 设置并切换到 Webex 应用选项卡。
在安全部分，打开通话时启用端到端加密，然后单击保存。

为 Webex Calling 启用端到端加密 (E2EE)，以保护组织内的用户通信安全。

本部分适用于拥有全功能会议的客户。

要加入 E2EE 会议，请通过 Webex Board、Room 或 Desk 设备，点击加入 Webex 并输入 Webex Meetings 邀请中列出的会议号。然后，点击加入加入会议。

在会议中，您可以查看标题中的盾牌图标来确认会议是否已启用端到端加密。

- 会议已进行端到端加密。
- 您的 Webex 桌面应用程序与 Webex 服务器之间的连接十分安全，但会议未进行端到端加密。

提供安全代码以允许参加者验证其连接是否安全。

点击图标显示会议已进行端到端加密。图标以查看会议的安全代码及其他安全信息。当参加者进入会议时，安全代码会发生变化。

所有会议参加者应看到相同的安全代码。如果一个人看到其他安全码，则表示其连接不安全。

在参加者列表中，您可看到关于每位参加者的验证状态的信息：已验证或未验证。

- 参加者的身份已经过 Webex 合作伙伴证书颁发机构 (CA) 的外部验证。这要求在您的个人设备上配置外部证书。
- 参加者的身份已经过 Webex CA 的内部验证。
- 参加者的身份未验证。

点击参加者的姓名并选择显示证书，可以获取关于证书提供商的更多详细信息。

Webex Calling 的用户体验

Webex Calling E2EE 的用户体验与 Meeting 实现的 E2EE 用户体验相一致，并在此基础上进行了扩展。当 Webex Calling 通话采用端到端加密时，Webex 应用（桌面版和移动版）会显示清晰的视觉指示器。用户在通话过程中，当 SRTP 和 E2EE 之间切换时，还会收到明显的视觉和听觉警报。