部署零信任会议

用户体验

用户在安排会议时选择会议类型。在接纳与会者进入大厅以及在会议期间，主持人可以看到每个参与者的身份验证状态。还有一个会议代码是会议中所有当前参与者通用的会议代码，他们可以使用该代码来验证自己的会议没有被不想要的第三方 Meddler In The Middle (MITM) 攻击拦截。

与会议主持人共享以下信息：

安排使用端到端加密的 Webex 会议
使用端到端加密加入 Webex 会议

使用内部或外部 CA 进行身份验证

验证身份

带有身份验证的端到端加密为端到端加密会议提供了额外的安全性。

当参与者或设备加入共享的 MLS（消息层安全）组时，他们会向其他组成员出示证书，然后由他们根据颁发的证书颁发机构 (CA) 验证证书。通过确认证书有效，CA 将验证参与者的身份，会议将显示参与者/设备已通过验证。

Webex 应用程序用户通过 Webex 身份存储对自己进行身份验证，身份验证成功后，Webex 身份存储会向他们颁发访问令牌。如果他们需要证书来验证其在端到端加密会议中的身份，Webex CA 会根据他们的访问令牌向他们颁发证书。目前，我们不为Webex Meetings用户提供获取第三方/外部 CA 颁发的证书的方法。

设备可以使用内部 (Webex) CA 颁发的证书或外部 CA 颁发的证书对自己进行身份验证：

内部 CA — Webex 根据设备计算机帐户的访问令牌颁发内部证书。该证书由 Webex CA 签署。设备拥有用户 ID 的方式与用户不同，因此 Webex 在写入设备证书的身份（通用名称 (CN)）时使用（其中一个）贵组织的网域。
外部 CA-直接向所选颁发机构申请和购买设备证书。您必须使用只有您知道的密钥对证书进行加密、直接上传和授权。

思科不参与其中，这使得它能够保证真正的端到端加密和经过验证的身份，并防止思科在理论上窃听您的会议/解密您的媒体。

内部颁发的设备证书

Webex 会在设备启动后注册时向其颁发证书，并在必要时对其进行续订。对于设备，证书包括账户 ID 和域。

如果您的组织没有域，Webex CA 会颁发不带域的证书。

如果您的组织有多个域，则可以使用 Control Hub 告诉 Webex 设备使用哪个域作为其身份。你也可以使用 API xConfiguration 会议 EndToEndencryption Identit y PreferredDomain：“example.com”。

如果您有多个域且未为设备设置首选域，则 Webex 会为您选择一个域。

外部颁发的设备证书

管理员可以为设备配置自己的证书，该证书已通过其中一个公共 CA 签署。

尽管可以由 RSA 密钥签名，但该证书必须基于 ECDSA P-256 密钥对。

证书中的值由组织自行决定。通用名称 (CN) 和主题备用名称 (SAN) 将显示在 Webex 会议用户界面中，如带身份验证的端到端加密中所述。Webex Meetings

我们建议为每台设备使用单独的证书，并为每台设备设置唯一的 CN。例如，拥有 “example.com” 域名的组织的 “meeting-room-1.example.com”。

为了完全保护外部证书免遭篡改，使用了客户端密钥功能来加密和签署各种命令。

使用客户端密钥时，可以通过 xAPI 安全地管理外部 Webex 身份证书。目前，这仅限于在线设备。

Webex 目前提供用于管理此内容的 API 命令。

功能和局限性

设备

在云端注册的思科董事会、办公桌和会议室系列设备可以加入 E2EE 会议。

以下设备无法加入 E2EE 会议：

WebRTC

软件客户端

适用于桌面和移动客户端的 Webex 应用程序可以加入 E2EE 会议。
Webex 网络客户端无法加入 E2EE 会议。
第三方 SIP 软客户端无法加入 E2EE 会议。

身份

根据设计，我们不提供 Control Hub 选项供您管理外部验证的设备身份。要实现真正的端到端加密，只有你应该知道/访问机密和密钥。如果我们引入云服务来管理这些密钥，它们就有可能被拦截。
目前，我们为您提供了一个 “秘诀”，供您根据行业标准加密技术设计自己的工具，以协助申请或加密您的设备身份证书及其私钥。我们不希望对您的机密或密钥进行任何真实或感知的访问。

会议

E2EE 会议目前最多支持 1000 名参与者。
您可以在 E2EE 会议中共享新白板。与例行会议中的白板有一些区别：
- 在 E2EE 会议中，用户无法访问在会议之外创建的白板，包括私人白板、他人共享的白板以及来自 Webex 空间的白板。
- 在 E2EE 会议中创建的白板仅在会议期间可用。它们未保存，也无法在会议结束后访问。
- 如果有人在 E2EE 会议中共享内容，您可以为其添加注释。有关注释的更多信息，请参阅 Webex 应用程序 | 使用注释标记共享内容。

管理界面

我们强烈建议您使用 Control Hub 来管理您的会议站点，因为 Control Hub 组织拥有整个组织的集中身份。

其他资源

我们如何使用 JWE 格式

本节介绍我们期望如何创建 JWE 作为设备的输入，这样您就可以构建自己的工具来根据证书和密钥创建 blob。

请参阅 JSON 网络加密 (JWE) https://datatracker.ietf.org/doc/html/rfc7516 和 JSON 网络签名 (JWS) https://datatracker.ietf.org/doc/html/rfc7515。

我们使用 JSON 文档的紧凑序列化来创建 JWE blob。创建 JWE blob 时需要包括的参数是：

JOSE 标题（受保护）。在 JSON 对象签名和加密标头中，必须包含以下键值对：
- “alg”: “dir”
  
  直接算法是我们唯一支持对有效载荷进行加密的算法，您必须使用设备的初始客户端密钥。
- “enc”: “A128GCM” 或 “enc”: “A256GCM”
  
  我们支持这两种加密算法。
- “思科操作”：“添加” 或 “思科操作”：“填充” 或 “思科操作”：“激活” 或 “思科操作”：“停用”
  
  这是专有密钥，可以取四个值。我们引入此密钥是为了向目标设备表明加密数据的用途。这些值以您使用加密数据的设备上的 xAPI 命令命名。
  
  我们将其命名为思科行动，以减轻与未来 JWE 扩展的潜在冲突。
- “cisco-kdf”：{“版本”：“1”，“salt”：“base64urlencodedRandom4+Bytes”}
  
  另一个专有密钥。我们使用您提供的值作为在设备上推导密钥的输入。 版本必须为 1（我们的密钥派生函数的版本）。 s alt 的值必须是至少 4 字节的 base64 网址编码序列，必须随机选择。
JWE 加密密钥。此字段为空。该设备从最初的 Client Secret 派生而来。
JWE 初始化向量。您必须提供 base64url 编码的初始化向量来解密有效载荷。 IV 必须是随机的 12 字节值（我们使用的是 AES-GCM 密码系列，要求 IV 的长度必须为 12 字节）。
JWE AAD（其他经过身份验证的数据）。必须省略此字段，因为紧凑序列化不支持该字段。
JWE 密文：这是您要保密的加密负载。

有效载荷可能为空。例如，要重置客户端密钥，你需要用一个空值覆盖它。

有不同类型的有效载荷，具体取决于您要在设备上执行的操作。不同的 xAPI 命令需要不同的有效载荷，您必须使用 cisco-action 密钥指定负载的用途，如下所示：
- 使用 “cisco-action”: “填充” 时，密文就是新的客户端密钥。
- 使用 ““cisco-action”: “add” 时，密文是一个包含证书及其私钥（串联在一起）的 PEM blob。
- 使用 “cisco-action”: “activate” 时，密文是我们为设备身份验证而激活的证书的指纹（sha-1 的十六进制表示）。
- 使用 ““cisco-action”: “deactivate” 时，密文是我们禁用用于设备身份验证的证书的指纹（sha-1 的十六进制表示）。
JWE 身份验证标签：此字段包含身份验证标签，用于确定整个 JWE 紧凑序列化 blob 的完整性

`我们如何从 ClientSecret 获取加密密钥`

首次填充机密后，我们不接受密钥或将其输出为纯文本。这是为了防止可能访问该设备的人进行潜在的字典攻击。

设备软件使用客户端密钥作为密钥派生函数 (kdf) 的输入，然后使用派生密钥在设备上进行内容解密/加密。

对你来说，这意味着你的生成 JWE blob 的工具必须遵循相同的程序，才能从客户端密钥中获得相同的加密/解密密钥。

这些设备使用 scrypt 进行密钥派生（参见 https://en.wikipedia.org/wiki/Scrypt），参数如下：

成本因子 (N) 为 32768
区块大小因子 (r) 为 8
并行化因子 (p) 为 1
Salt 是至少 4 字节的随机序列；在指定 cisco-kd f 参数时必须提供相同的盐。
密钥长度为 16 字节（如果您选择 AES-GCM 128 算法）或 32 字节（如果您选择 AES-GCM 256 算法）
最大内存容量为 64MB

这组参数是唯一与设备上的密钥派生功能兼容的 scrypt 配置。 设备上的这个 kdf 被称为 “版本”: “1”，这是目前唯一由 cisco-kdf 参数使用的版本。

行之有效的例子

您可以按照以下示例验证您的 JWE 加密过程是否与我们在设备上创建的过程相同。

示例场景是向设备添加 PEM blob（模拟添加证书，使用非常短的字符串而不是完整的证书 + 密钥）。示例中的客户端密钥是 ossif rage。

选择加密密码。此示例使用 A128GCM（在伽罗瓦计数器模式下使用 128 位密钥的 AES）。如果你愿意，你的工具可以使用 A256GCM。
选择盐（必须是至少 4 字节的随机序列）。此示例使用（十六进制字节）E5 E6 53 08 03 F8 33 F 6。 base64URL 对序列进行编码以获得 5eztcap4 M_Y（移除 base64 填充）。
以下是创建内容加密密钥 (cek) 的 scrypt 调用示例：

cek=scrypt(password="ossifrage", salt=4-byte-sequence, N=32768, r=8, p=1, keylength=16)

派生密钥应为 16 字节（十六进制），如下所示：95 9e ba 6d d1 22 01 05 78 fe 6a 9d 22 78 ff ac，base64url 编码为 lz66bdeiaqv4_mqdinj_RA。
选择一个 12 字节的随机序列用作初始化向量。 此示例使用（十六进制）34 b3 5d dd 5f 53 7b af 2d 92 95 83，base64url 将其编码为 nlnd3v9te68 tkpwd。
使用紧凑的序列化创建 JOSE 标头（遵循我们在此处使用的相同参数顺序），然后 base64url 对其进行编码：

{“alg”: “dir”，“cisco-action”: “添加”，“cisco-kdf”：{“salt”: “5eztcap4m_Y”，“版本”: “1"}，“enc”: “A128GCM”}

base64url 编码的 JOSE 标头是 eyjhbgcioijkaxiilcjaxnjby1hy3rpb24ioijhzgqilcjaxnjby1rzgqilcjaxnjby1rzgqilcjaxnjby1rpb24ioijhzgqilcjaxnjby1rpb24ioijhzgqilcjaxnjby1rijhzgqilcjaxnjby1rijhzgqilcjaxnjby1rijhzgqilcjaxn

这将是 JWE blob 的第一个元素。
JWE blob 的第二个元素是空的，因为我们没有提供 JWE 加密密钥。
JWE blob 的第三个元素是初始化向量 nlnd3v9te68TKPWD。
使用您的 JWE 加密工具生成加密的有效载荷和标签。在此示例中，未加密的有效负载将是假的 PEM blob，这是一个 PEM 文件
你应该使用的加密参数是：
- 有效载荷这是一个 PEM 文件吗
- 加密密码是 AES 128 GCM
- 将 base64url 编码的 JOSE 标头作为附加身份验证数据 (AAD)
base64URL 对加密的有效载荷进行编码，这应该会导致 f5llvuwnfkfmzyco1yjfmzyco1yjfodHQ
这是 JWE blob 中的第四个元素（JWE 密文）。
base64URL 对您在步骤 8 中生成的标签进行编码，这将导致 pe-wdfwgxffbeo928cfz1Q

这是 JWE blob 中的第五个元素。
将 JWE blob 的五个元素与点（joseHeader.. iv.cipherText.Tag）连接起来，得到：

eyjhbgcioijkaxiilcjaxnjby1hy3rpb24ioijhzgqilcjaxnjby1rzgqilcjaxnjby1rzgyionsic2fsdci6ijvlwlrdqva0tv9t9ziiwidmvyc2lvyc2lbii6ijeifswizw5ijoiqteyoeddtsj... 9nlnd3v9te68tkpwd.tsj。5llvuwnfkfmzyco1yjfodhq.pe-wdfwgxffbeo928cfz1Q
如果您使用自己的工具得出与我们在此处显示的相同 base64url 编码值，则可以使用它们来保护设备的 E2E 加密和经过验证的身份。
这个例子实际上不起作用，但原则上你的下一步是使用你上面创建的 JWE blob 作为添加证书的设备上的 xcommand 的输入：

xCommand 安全证书添加 eyjhbgcioijkaxxiilcjaxn jby1hy3rpb24ioijhzgqilcjaxnjby1rzgqilcjaxnjby1rzgionsic2fsdci6ijvlrdqva0teyoeddtsJ... 9nlnd3v9teyoeddtsJ... 9nlnd3v9teDTSJ... 9nlnd3v9teDTSJ 68tkpwd.f5llvuwnfkfmzyco1yj fodhq.pe-wdfwgxffbeo928cfz1Q

零信任会议的会话类型适用于所有会议场所，无需额外付费。其中一种会话类型称为 “端到端加密_VO IPOnly”。这是公共服务名称，将来我们可能会更改。有关会话类型的当前名称，请参阅本文参考部分中的会话类型 ID。

无需执行任何操作即可为您的站点提供此功能；您确实需要向用户授予新的会话类型（也称为会议权限）。您可以通过用户的配置页面单独执行此操作，也可以通过 CSV 导出/导入批量执行此操作。

验证新的会话类型

1	登录 Control Hub 并转至服务 > 会议。
2	单击 “站点”，选择要更改设置的 Webex 站点，然后单击 “设置”。
3	在通用设置下选择会话类型。您应该看到一种或多种端到端加密会话类型。请参阅本文参考部分中的会话类型 ID 列表。例如，您可能会看到 Pro-Endto-End Encryption_VoipOnl y。有一种名称非常相似的旧会话类型：专业端到端加密。此会话类型包括对会议的非加密 PSTN 访问权限。确保您有 _VoipOnly 版本以确保端到端加密。你可以将鼠标悬停在会话代码列中的专业链接上方进行查看；在本例中，链接的目标应该是 `JavaScript: showFeature (652`)。将来我们可能会更改这些会话类型的公共服务名称。
4	如果您还没有新的会话类型，请联系您的 Webex 代表。

下一步

为部分或全部用户启用此会话类型/会议权限。

为个人用户启用 E2EE 会议

1	登录到控制中心，然后转到管理 > 用户。
2	选择要更新的用户帐户，然后选择会议。
3	从 “设置应用于” 下拉列表中，选择要更新的会议地点。
4	选中 Pro-Endto-Endriction_VoipOnly 旁边的复选框。
5	关闭用户配置面板。
6	如有必要，对其他用户重复此操作。要将其分配给许多用户，请使用下一个选项，为多个用户启用 E2EE 会议。

为多个用户启用 E2EE 会议

1	登录 Control Hub 并转至服务 > 会议。
2	单击 “站点”，选择要更改设置的 Webex 站点。
3	在许可证和用户部分，单击批量管理。
4	单击 “生成报告”，然后等待我们准备文件。
5	文件准备就绪后，单击 “导出结果”，然后单击 “下载”。（单击 “下载” 后，必须手动关闭该弹出窗口。）
6	打开下载的 CSV 文件进行编辑。每个用户都有一行，Me `etingPrivileg` e 列以逗号分隔的列表形式包含他们的会话类型 ID。
7	`对于您希望授予新会话类型的每位用户，在 MeetingPrivilege 单元格的逗号分隔列表中添加 1561 作为新值。` Webex CSV 文件格式参考包含有关 CSV 文件的用途和内容的详细信息。
8	在 Control Hub 中打开会议站点配置面板。如果您已经在会议站点列表页面上，则可能需要刷新该页面。
9	在许可证和用户部分，单击批量管理。
10	单击 “导入” 并选择编辑后的 CSV，然后单击 “导入”。等待文件上传。
11	导入完成后，您可以单击 “导入结果” 以查看是否存在任何错误。
12	转到用户页面并打开其中一个用户以验证他们是否拥有新的会话类型。

为安全起见，添加音频水印

您可以为具有 Webex MeetingsPro-End-End-Encryption_VoipOnly 会话类型的会议录制文件添加水印，这使您可以识别未经授权的机密会议录音的源客户端或设备。

启用此功能后，会议音频将包含每个参与客户或设备的唯一标识符。您可以将录音上传到 Control Hub，然后 Control Hub 会分析录音并查找唯一标识符。您可以查看结果，了解是哪个源客户端或设备录制了会议。

为了进行分析，录音文件必须是 AAC、MP3、M4A、WAV、MP4、AVI 或 MOV 格式，且文件大小不得超过 500MB。
录音时长必须超过100秒。
您只能分析由您组织成员主持的会议的录音。
水印信息的保留期限与组织会议信息的保留期限相同。

为 E2EE 会议添加音频水印

登录到控制中心，然后在管理下，选择组织设置。
在会议水印部分中，开启添加音频水印。
启用此功能一段时间后，使用 Webex MeetingsPro-End-End-End-End-Encryption_VoipOnly 会话类型安排会议的用户会在 “安全” 部分看到数字水印选项。

上传和分析带水印的会议

在 Control Hub 的 “监控” 下，选择故障排除。
点击水印分析。
在列表中搜索或选择会议，然后单击分析。
在分析音频水印窗口中，输入分析的名称。
（可选）请输入您的分析备注。
将要分析的音频文件拖放到此处，或者单击选择文件浏览到音频文件。
单击关闭.
分析完成后，它将显示在 “分析水印” 页面的结果列表中。
从列表中选择会议，即可查看分析结果。点击下载结果。

功能限制

成功解码录制水印的因素包括录音设备与音频输出扬声器之间的距离、音频的音量、环境噪音等。我们的水印技术具有更强的抗干扰能力，即使多次编码也不会损坏媒体文件，这种情况可能会在媒体文件共享时发生。

此功能旨在使水印标识符能够在广泛但合理的范围内成功解码。我们的目标是，放在个人终端或笔记本电脑客户端附近桌子上的录音设备（例如手机）应该始终能够创建录音，从而实现成功的分析。当录音设备远离声源，或被遮挡而无法听到完整的音频频谱时，成功分析的几率就会降低。

为了成功分析录音，需要对会议音频进行合理的录制。如果会议音频是在运行客户端的同一台计算机上录制的，则不应适用这些限制。

板载设备（内部 CA）

如果您的设备已加入 Control Hub 组织，并且您想使用 Webex CA 自动生成其识别证书，则无需将设备恢复出厂设置。

此过程选择设备使用哪个域来识别自己的身份，并且仅当您的 Control Hub 组织中有多个域时才需要此过程。如果您有多个域名，我们建议您对所有具有 “思科验证” 身份的设备执行此操作。如果您不告诉 Webex 哪个域可以识别设备，则会自动选择一个域，其他会议参与者可能看起来不正确。

准备工作

如果您的设备尚未上线，请按照注册设备前往Cisco Webex使用 API 或本地 Web 界面或云端接入获取主板、办公桌和会议室系列。您还应该在 “管理您的域” 中验证要用于识别设备的域。

1	登录 Control Hub，然后在 “管理” 下选择 “设备”。
2	选择设备以打开其配置面板。
3	选择您要用来识别此设备的域。
4	对其他设备重复此操作。

板载设备（外部 CA）

准备工作

为每台设备获取 CA 签名的证书和私钥（采用 .pem 格式）。
在 “准备” 选项卡下，阅读主题了解设备的外部身份流程，
针对那里的信息准备一个 JWE 加密工具。
确保你有一个工具来生成给定长度的随机字节序列。
确保你有可以对字节或文本进行base64url编码的工具。
确保你已经实现了 scrypt。
确保每台设备都有秘密单词或短语。

1	使用纯文本密钥填充设备的 `ClientSecret`：首次填充 S `ecret` 时，应以纯文本形式提供。这就是为什么我们建议在物理设备控制台上执行此操作。 base64URL 对该设备的秘密短语进行编码。在设备上打开 TShell。运行 `xcommand Security ClientSecret 填充密钥`：“mdeymzq1njc4owfiy2rlzg” 上面的示例命令使用短语 `0` 123456789abcdef 填充`密钥`。你需要自己选择。该设备有其初始秘密。别忘了这一点；你无法恢复它，必须将设备恢复出厂设置才能重新启动。
2	连接您的证书和私钥：使用文本编辑器打开 .pem 文件，将密钥粘贴到证书 blob 中，然后将其另存为新的 .pem 文件。这是您将加密并放入 JWE blob 中的有效载荷文本。
3	创建一个 JWE blob 用作证书添加命令的输入：创建至少 4 字节的随机序列。这是你的盐。使用您的 scrypt 工具获取内容加密密钥。为此，您需要密钥、盐和密钥长度以匹配您选择的加密密码。还有其他一些固定值可供提供（N = 32768，r = 8，p = 1）。该设备使用相同的过程和值来得出相同的内容加密密钥。创建正好包含 12 字节的随机序列。这是你的初始化向量。创建 JOSE 标头，设置 `alg`、`enc` 和 c `isco-kdf` 密钥，如了解设备的外部身份流程中所述。使用您的 JOSE 标题中的键值 `“cisco-action”: “add” 来设置 “添加”` 操作（因为我们正在向设备添加证书）。 base64URL 对 JOSE 标头进行编码。使用带有所选密码和 base64url 编码的 JOSE 标头的 JOSE 加密工具，对串联的 pem 文件中的文本进行加密。 base64URL 对初始化向量、加密的 PEM 负载和身份验证标签进行编码。按如下方式构造 JWE blob（所有值均采用 base64url 编码）： `joseHeader.. initVector.encryptedPEM.authT`
4	在设备上打开 TShell 并运行（多行）添加命令： `xcommand Security Certificates Services Add IsEncrypted: True your..JWE.str.ing\n .\n`
5	通过运行 `xcommand 安全证书服务显示来验证证书`是否已添加复制新证书的指纹。
6	为了 `Webex` Identity 的目的激活证书：从证书本身或 `xcommand Security Certicates Services Show 的输出中读取证书的指`纹。创建一个至少 4 字节的随机序列，然后使用 base64url 对该序列进行编码。这是你的盐。使用您的 scrypt 工具获取内容加密密钥。为此，您需要密钥、盐和密钥长度以匹配您选择的加密密码。还有其他一些固定值可供提供（N = 32768，r = 8，p = 1）。该设备使用相同的过程和值来得出相同的内容加密密钥。创建一个正好包含 12 字节的随机序列，然后 base64url 对该序列进行编码。这是你的初始化向量。创建 JOSE 标头，设置 `alg`、`enc` 和 c `isco-kdf` 密钥，如了解设备的外部身份流程中所述。使用您的 JOSE 标题中的密钥:值 `“cisco-action”: “activate” 来设置 “激活”` 操作（因为我们正在设备上激活证书）。 base64URL 对 JOSE 标头进行编码。使用带有所选密码和 base64url 编码的 JOSE 标头的 JOSE 加密工具来加密证书指纹。该工具应输出 16 或 32 字节的序列，具体取决于您选择的是 128 位还是 256 位 AES-GCM，以及身份验证标签。 base64urlenCode 对加密的指纹和身份验证标签进行编码。按如下方式构造 JWE blob（所有值均采用 base64url 编码）： `joseHeader.. initVector.encryprintedFingerprint` 在设备上打开 TShell 并运行以下激活命令： `xcommand Security Certificates Services Activate Purpose: WebexIdentity Fingerprint: "Your..JWE.encrypted.fingerprint"` 该设备具有 CA 颁发的加密有效证书，可用于在端到端加密 Webex 会议中对其进行识别。
7	将设备载入您的控制中心组织。

使用身份验证测试端到端加密

1	安排正确类型的会议（Webex MeetingsPro-Endto-Endriction_VoipOnly）。请参阅使用端到端加密安排 Webex 会议。
2	以主持人身份从Webex Meetings客户处加入会议。请参阅使用端到端加密加入 Webex 会议。
3	使用经 Webex CA 验证其身份的设备加入会议。
4	以主持人身份验证此设备是否显示在大厅中，并显示正确的身份图标。请参阅使用端到端加密加入 Webex 会议。
5	使用经过外部 CA 验证身份的设备加入会议。
6	以主持人身份验证此设备是否显示在大厅中，并显示正确的身份图标。了解有关身份图标的更多信息。
7	以未经身份验证的会议参与者身份加入会议。
8	作为主持人，确认此参与者使用正确的身份图标出现在大厅中。
9	作为主持人，允许或拒绝人员/设备。
10	通过检查证书，尽可能验证参与者/设备身份。
11	检查会议中的每个人是否看到相同的会议安全码。
12	与新参与者一起加入会议。
13	检查所有人是否看到相同的新会议安全码。

设定范围和期望

您是要将端到端加密会议设为默认会议选项，还是仅对某些用户启用它，或者让所有主持人决定？在决定如何使用此功能后，请为将要使用该功能的用户做好准备，尤其要注意会议中的限制和预期内容。
您是否需要确保思科或其他任何人都无法解密您的内容或冒充您的设备？如果是，则需要公共 CA 颁发的证书。
如果您的身份验证级别各不相同，则允许用户使用证书支持的身份进行相互验证。尽管在某些情况下，参与者可能会显示为 “未验证”，并且参与者应该知道如何检查，但未经验证的人可能不是冒名者。

身份管理

如果您使用外部 CA 颁发设备证书，则您有责任监控、刷新和重新申请证书。

如果您创建了初始密钥，请了解您的用户可能想要更改其设备的密钥。您可能需要创建接口/分发工具以使他们能够执行此操作。

会话类型 ID

表 1。端到端加密会议的会话类型 ID
会话类型 ID	公共服务名称
638	E2E Encryption+VoIP only
652	Pro-End to End Encryption_VOIPonly
660	Pro 3 Free-End to End Encryption_VOIPonly E2E 加密 + 身份
672	Pro 3 Free50-End to End Encryption_VOIPonly
673	Education Instructor E2E Encryption_VOIPonly
676	Broadworks Standard + 端到端加密
677	Broadworks Premium + 端到端加密
681	Schoology Free + 端到端加密

1	使用纯文本密钥填充设备的 `ClientSecret`：首次填充 S `ecret` 时，应以纯文本形式提供。这就是为什么我们建议在物理设备控制台上执行此操作。 base64URL 对该设备的秘密短语进行编码。在设备上打开 TShell。运行 `xcommand Security ClientSecret 填充密钥`：“mdeymzq1njc4owfiy2rlzg” 上面的示例命令使用短语 `0` 123456789abcdef 填充`密钥`。你需要自己选择。该设备有其初始秘密。别忘了这一点；你无法恢复它，必须将设备恢复出厂设置才能重新启动。
2	连接您的证书和私钥：使用文本编辑器打开 .pem 文件，将密钥粘贴到证书 blob 中，然后将其另存为新的 .pem 文件。这是您将加密并放入 JWE blob 中的有效载荷文本。
3	创建一个 JWE blob 用作证书添加命令的输入：创建至少 4 字节的随机序列。这是你的盐。使用您的 scrypt 工具获取内容加密密钥。为此，您需要密钥、盐和密钥长度以匹配您选择的加密密码。还有其他一些固定值可供提供（N = 32768，r = 8，p = 1）。该设备使用相同的过程和值来得出相同的内容加密密钥。创建正好包含 12 字节的随机序列。这是你的初始化向量。创建 JOSE 标头，设置 `alg`、`enc` 和 c `isco-kdf` 密钥，如了解设备的外部身份流程中所述。使用您的 JOSE 标题中的键值 `“cisco-action”: “add” 来设置 “添加”` 操作（因为我们正在向设备添加证书）。 base64URL 对 JOSE 标头进行编码。使用带有所选密码和 base64url 编码的 JOSE 标头的 JOSE 加密工具，对串联的 pem 文件中的文本进行加密。 base64URL 对初始化向量、加密的 PEM 负载和身份验证标签进行编码。按如下方式构造 JWE blob（所有值均采用 base64url 编码）： `joseHeader.. initVector.encryptedPEM.authT`
4	在设备上打开 TShell 并运行（多行）添加命令： `xcommand Security Certificates Services Add IsEncrypted: True your..JWE.str.ing\n .\n`
5	通过运行 `xcommand 安全证书服务显示来验证证书`是否已添加复制新证书的指纹。
6	为了 `Webex` Identity 的目的激活证书：从证书本身或 `xcommand Security Certicates Services Show 的输出中读取证书的指`纹。创建一个至少 4 字节的随机序列，然后使用 base64url 对该序列进行编码。这是你的盐。使用您的 scrypt 工具获取内容加密密钥。为此，您需要密钥、盐和密钥长度以匹配您选择的加密密码。还有其他一些固定值可供提供（N = 32768，r = 8，p = 1）。该设备使用相同的过程和值来得出相同的内容加密密钥。创建一个正好包含 12 字节的随机序列，然后 base64url 对该序列进行编码。这是你的初始化向量。创建 JOSE 标头，设置 `alg`、`enc` 和 c `isco-kdf` 密钥，如了解设备的外部身份流程中所述。使用您的 JOSE 标题中的密钥:值 `“cisco-action”: “activate” 来设置 “激活”` 操作（因为我们正在设备上激活证书）。 base64URL 对 JOSE 标头进行编码。使用带有所选密码和 base64url 编码的 JOSE 标头的 JOSE 加密工具来加密证书指纹。该工具应输出 16 或 32 字节的序列，具体取决于您选择的是 128 位还是 256 位 AES-GCM，以及身份验证标签。 base64urlenCode 对加密的指纹和身份验证标签进行编码。按如下方式构造 JWE blob（所有值均采用 base64url 编码）： `joseHeader.. initVector.encryprintedFingerprint` 在设备上打开 TShell 并运行以下激活命令： `xcommand Security Certificates Services Activate Purpose: WebexIdentity Fingerprint: "Your..JWE.encrypted.fingerprint"` 该设备具有 CA 颁发的加密有效证书，可用于在端到端加密 Webex 会议中对其进行识别。
7	将设备载入您的控制中心组织。

API 调用	描述
`xConfiguration Conference 端到端加密身份首选域：“example.com”`	此配置是在管理员从 Control Hub 设置设备的首选域时进行的。仅在组织有多个域时才需要。设备向 Webex CA 请求证书时使用此域。然后，该域会识别该设备。当设备具有外部颁发的有效证书来识别自己的身份时，此配置不适用。
`xStatus Conference 端到端加密可用性`	表示设备是否可以加入端到端的加密会议。云 API 对其进行调用，以便配对的应用程序知道它是否可以使用设备加入。
`xStatus Conference 端到端加密外部身份验证`	指明设备是否使用`外部`验证（具有外部颁发的证书）。
`xStatus Conference 端到端加密 ExternalIdentity 身份`	从外部颁发的证书的通用名称中读取的设备身份。
`xStatus Conference 端到端加密 ExternalIdentity CertificateChain 证书 # 具体信息`	从外部颁发的证书中读取特定信息。在显示的命令中，将 `#` 替换为证书编号。将`特定信息替换为以下任一信息`： `指纹` `NotAfter 有效期结束`日期 `NotBefor` e 有效期开始日期 `主要名称` `公钥算法` `序列号` `签名算法` `主题 # 名称`证书主题列表（例如电子邮件地址或域名） `有效性`提供此证书的有效状态（例如`有效`或`已过期`）
`xStatus 会议端到端加密外部身份状态`	设备外部身份的状态（例如`有效`或`错误`）。
`xStatus Conference 端到端加密内部身份验证`	指明设备是否具有 Webex CA 颁发的有效证书。
`xStatus Conference 端到端加密 InternaliDentity 身份`	从 Webex 颁发的证书的通用名称中读取的设备身份。如果组织有域名，则包含域名。如果组织没有域名，则为空。如果设备位于具有多个域的组织中，则这是来自`首选域的值。`
`xStatus 会议 EndtoEncryption InternalIdentity CertificateChain 证书 # 具体信息`	从 Webex 颁发的证书中读取特定信息。在显示的命令中，将 `#` 替换为证书编号。将`特定信息替换为以下任一信息`： `指纹` `NotAfter 有效期结束`日期 `NotBefor` e 有效期开始日期 `主要名称` `公钥算法` `序列号` `签名算法` `主题 # 名称`证书主题列表（例如电子邮件地址或域名） `有效性`提供此证书的有效状态（例如`有效`或`已过期`）

API 调用	描述
`xEvent 会议参与者列表参与者已添加` `xEvent 会议参与者列表参与者已更新` `xEvent 会议参与者列表参与者已删除`	`这三个事件现在包括受影响参与者的 EndToEndencryptionStatus、EndToEncryption Identity 和 EndToEn dencryptionCertInfo。`

API 调用	描述
`xCommand Security ClientSecret 填充密钥：“base64url 编码”` 或 `xCommand Security ClientSecret 填充密钥：jwebLob`	接受 base64url 编码的纯文本值，用于首次在设备上播种客户端密钥。要在首次更新密钥，必须提供一个包含由旧密钥加密的新密钥的 JWE blob。
`xCommand 安全证书服务添加 jwebLOB`	添加证书（带私钥）。我们扩展了此命令以接受包含加密 PEM 数据的 JWE blob。
`xCommand 安全证书服务激活目的：WebexIdentity 指纹：jwebLOB`	为 WebexIdentity 激活特定证书。为`此`，该命令要求对识别指纹进行加密并在 JWE blob 中序列化。
`xCommand 安全证书服务停用目的：WebexIdentity 指纹：jwebLOB`	停用 WebexIdentity 的特定证书。为`此`，该命令要求对识别指纹进行加密并在 JWE blob 中序列化。

Cisco AI Assistant

感谢您的反馈。