2025年4月30日 | 904 次查看 | 3 人认为有帮助

部署零信任会议

list-menu反馈？
Webex的Zero-Trust Security提供端到端加密和强效身份验证，供您安排的会议室会议和个人会议室会议使用。

用户体验

用户在安排会议时选择会议类型。在从大厅接待与会者以及会议期间，主持人可以查看每个与会者的身份验证状态。会议中所有当前与会者都有一个会议代码，他们可以使用它来验证其会议没有被不受欢迎的第三方中间人(MITM)攻击拦截。

与您的会议主持人共享以下信息：

使用内部或外部CA验证身份

验证身份

带有身份验证的端到端加密为端到端加密会议提供了额外的安全性。

当参加者或设备加入共享的MLS（消息层安全）组时，他们将证书提交给其他组成员，然后由组成员根据颁发证书颁发机构(CA)验证证书。通过确认证书有效，CA验证参加者的身份，会议将显示已验证的参加者/设备。

Webex应用程序用户通过Webex身份存储进行身份验证，该存储会在身份验证成功时向其颁发访问令牌。如果他们在端到端加密会议中需要证书来验证身份，Webex CA会根据他们的访问令牌向他们颁发证书。目前，我们不为Webex Meetings用户提供获取第三方/外部CA颁发的证书的方法。

设备可以使用内部(Webex) CA签发的证书或外部CA签发的证书进行身份验证：

  • 内部CA — Webex基于设备计算机帐户的访问令牌签发内部证书。证书由Webex CA签字。设备没有与用户相同的方式拥有用户ID，因此Webex在编写设备证书身份(通用名称(CN))时使用您组织的（一个）域。

  • 外部CA —直接从选定的发行方申请和购买设备证书。您必须使用仅您知道的秘密对证书进行加密、直接上传和授权。

    Cisco不参与，这使得它能够保证真正的端到端加密和验证身份，并防止Cisco可能窃听您的会议/解密您的媒体的理论可能性。

内部发布的设备证书

Webex在启动后注册时向设备签发证书，并在必要时续订。对于设备，证书包括帐户ID和域。

如果您的组织没有域，则Webex CA将签发没有域的证书。

如果您的组织有多个域，您可以使用Control Hub告知Webex要用于其标识的设备域。您还可以使用API xConfiguration Conference EndToEndEncryption Identity PreferredDomain: "example.com"。

如果您有多个域，并且未为设备设置首选域，则Webex会为您选择一个域。

外部签发的设备证书

管理员可以提供带有已与某个公共CA签名的凭证的设备。

证书必须基于ECDSA P-256密钥对，但可以通过RSA密钥签名。

证书中的值由组织自行决定。Common Name (CN)和主题替代名称(SAN)将显示在Webex会议用户界面中，如 Webex Meetings的端到端加密中所述。

我们建议每个设备使用单独的证书，每个设备使用唯一的CN。例如，拥有“example.com”域的组织“meeting-room-1.example.com”。

为了充分保护外部证书免受篡改，使用客户端秘密功能来加密和签署各种xcommands。

使用客户端秘密时，可以通过xAPI安全地管理外部Webex身份证书。这目前仅限于在线设备。

Webex目前提供用于管理此功能的API命令。

功能和限制

设备

以下云注册的Webex Room系列和Webex Desk系列设备可以加入E2EE会议：

  • Webex板

  • Webex Desk Pro

  • Webex桌面

  • Webex室套件

  • Webex Room Kit Mini

以下设备无法加入E2EE会议：

  • Webex C系列

  • Webex DX系列

  • Webex EX系列

  • Webex MX系列

  • 第三方SIP设备

软件客户端

  • 适用于桌面和移动客户端的Webex应用程序可以加入E2EE会议。

  • Webex网络客户端无法加入E2EE会议。

  • 第三方SIP软客户端无法加入E2EE会议。

身份

  • 根据设计，我们不为Control Hub提供用于管理外部验证的设备标识的Control Hub选项。要实现真正的端到端加密，只有您才应该知道/访问秘密和密钥。如果我们引入云服务来管理这些密钥，则很有可能被拦截。

  • 目前，我们为您提供“配方”，用于根据行业标准加密技术设计自己的工具，以协助请求或加密您的设备身份证书及其私钥。我们不希望任何真实或感觉到的访问您的秘密或密钥。

会议

  • E2EE会议目前支持最多1000名与会者。

  • 您可以在E2EE会议中共享新的白板。与常规会议中的白板有一些差异：
    • 在E2EE会议中，用户无法访问会议外部创建的白板，包括私人白板、其他人共享的白板，以及来自Webex空间的白板。
    • 在E2EE会议中创建的白板仅在会议期间可用。它们不会保存，并且会议结束后无法访问。
    • 如果有人在E2EE会议中共享内容，您可以对其进行注释。有关注释的更多信息，请参阅 Webex应用程序| 用注释标记共享内容。

管理界面

我们强烈建议您使用Control Hub来管理您的会议站点，因为Control Hub组织对整个组织具有集中式身份。

其他资源
先决条件

  • Webex Meetings 41。7。

  • 云注册的Webex Room和Webex Desk系列设备，运行 10.6.1-RoomOS_August_2021。

  • 在Control Hub中管理对会议站点的访问。

  • 您的Control Hub组织中一个或多个已验证域（如果您使用Webex CA为已验证身份签发设备证书）。

  • 协作会议室必须开启，以便人们能够从视频系统加入。有关详细信息，请参阅允许视频系统加入您的Webex站点上的会议和活动。

获取设备证书

如果您不需要外部验证的身份，则可以跳过此步骤。

为了达到最高安全级别和身份验证，每个设备都应拥有由可信的公共证书颁发机构(CA)颁发的唯一的证书。

您需要与CA交互，以申请、购买和接收数字证书并创建相关的私钥。在申请证书时，请使用以下参数：

  • 证书必须由知名的公众CA签发和签署。

  • 独特：我们强烈建议为每个设备使用唯一的证书。如果您对所有设备使用一个证书，则您的安全处于危险之中。

  • 通用名称(CN)和受试者备用名称(SAN/s)：这些对Webex来说并不重要，但应该是人类可以阅读和与设备关联的值。CN将显示为设备的主要验证身份，如果用户通过会议UI检查证书，他们将看到SAN/s。您可能需要使用 name.model@example.com 等名称。

  • 文件格式：证书和密钥必须为.pem 格式。

  • 目的：证书目的必须为Webex身份。

  • 生成密钥：证书必须基于ECDSA P-256密钥对（使用P-256曲线的椭圆曲线数字签名算法）。

    此要求不延伸到签名密钥。CA可以使用RSA密钥来签署证书。

准备加载设备

如果您不想在设备上使用经过外部验证的身份，则可以跳过此步骤。

如果您正在使用新设备，请尚未将其注册至Webex。为安全起见，请勿将其连接至网络。

如果您拥有要升级以使用外部验证的身份的现有设备，则必须出厂重置设备。

  • 要保留现有配置，请保存它。

  • 在未使用设备时安排窗口，或使用分阶段方法。通知用户他们可以预期的更改。

  • 确保对设备的物理访问。如果您必须通过网络访问设备，请注意秘密正在以纯文本形式传播，并且您正在危害您的安全。

完成这些步骤后，允许视频系统加入您的Webex站点上的会议和活动。

了解设备的外部标识流程

为了确保设备媒体不能被除设备以外的任何人加密，您必须加密设备上的私钥。我们为设备设计了API，以便使用JSON Web Encryption (JWE)启用加密密钥和证书管理。

为了确保通过云实现真正的端到端加密，我们不能参与证书和密钥的加密和上传。如果您需要此级别的安全性，您必须：

  1. 请求您的证书。

  2. 生成证书密钥对。

  3. 为每台设备创建（并保护）初始秘密，以培养设备的加密能力。

  4. 开发和维护使用JWE标准加密文件的工具。

    下面说明了您需要的流程和（非秘密）参数，以及您选择的开发工具中要遵循的配方。我们还按预期提供一些测试数据以及由此产生的JWE blobs，以帮助您验证流程。

    使用Python3和JWCrypto库不受支持的参考实现可从Cisco按要求提供。

  5. 使用工具和设备的初始秘密连接和加密证书和密钥。

  6. 将结果的JWE blob上传到设备。

  7. 设置用于用于Webex身份的加密证书的目的，并激活证书。

  8. （推荐）为您的工具提供接口（或分发），使设备用户能够更改初始秘密，并保护其媒体免受您的侵害。

我们如何使用JWE格式

本节介绍我们期望如何创建JWE作为设备的输入，以便您可以构建自己的工具，从证书和密钥中创建blobs。

请参阅 JSON Web Encryption (JWE) https://datatracker.ietf.org/doc/html/rfc7516 和 JSON Web Signature (JWS) https://datatracker.ietf.org/doc/html/rfc7515。

我们使用JSON文档的紧凑序列化 来创建JWE blobs。创建JWE blob时需要包括的参数是：

  • JOSE标题 （受保护）。在JSON对象签名与加密标题中，您必须包括以下密钥值对：

    • "alg":"dir"

      直接算法是我们支持加密有效负荷的唯一算法，您必须使用设备的初始客户端密钥。

    • "enc":"A128GCM" 或 "enc":"A256GCM"

      我们支持这两种加密算法。

    • "cisco-action": "add" 或 "cisco-action": "populate""cisco-action": "activate""cisco-action": "deactivate"

      这是专有密钥和可以使用的四个值。我们引入此密钥，以向目标设备发出加密数据的目的。这些值以使用加密数据的设备上的xAPI命令命名。

      我们命名它cisco-action 是为了缓解与未来JWE扩展名的潜在冲突。

    • "cisco-kdf": { "version": "1", "salt": "base64URLEncodedRandom4+Bytes" }

      另一个专有密钥。我们使用您提供的值作为设备上的关键衍生的输入。version 必须为1 （我们的关键衍生函数的版本）。salt 的值必须为至少4个字节的base64 URL编码序列，必须 随机选择。

  • JWE加密密钥。此字段为空。设备从最初的ClientSecret中获取它。

  • JWE初始化向量。必须提供base64url编码的初始化向量以解密有效负载。IV 必须 为随机的12字节值（我们使用的是AES-GCM密码家族，这要求IV长度为12字节）。

  • JWE AAD （其他经过验证的数据）。必须省略此字段，因为紧凑序列化不支持此字段。

  • JWE密码：这是您希望保密的加密有效负载。

    有效负载可能为空。例如，要重置客户端秘密，您需要用空值覆盖它。

    有不同类型的有效负载，具体取决于您尝试在设备上做什么。不同的xAPI命令期望不同的有效负载，您必须使用 cisco-action 键指定有效负载的目的，如下所示：

    • "cisco-action":"populate" 密码文本为新的ClientSecret。

    • 使用“"cisco-action":"add" 密码文本是携带证书及其私钥（连接）的PEM blob。

    • 使用“"cisco-action":"activate" 密码文本是激活证书的指纹（sha-1的十六进制表示），用于设备身份验证。

    • 使用“"cisco-action":"deactivate" 密码文本是证书的指纹（sha-1的十六进制表示），我们将禁用该证书用于设备身份验证。

  • JWE认证标签： 此字段包含身份验证标签，用于确定整个JWE紧凑序列化blob的完整性

我们如何从 ClientSecret

在第一个秘密群体之后，我们不接受或输出秘密为纯文本。这是为了防止可能访问该设备的人员的潜在字典攻击。

设备软件使用客户端秘密作为密钥衍生功能(kdf)的输入，然后使用衍生密钥在设备上进行内容解密/加密。

这意味着您生成JWE blobs的工具必须遵循相同的程序，才能从客户端秘密中获取相同的加密/解密密钥。

设备使用 scrypt 进行密钥导出（参见 https://en.wikipedia.org/wiki/Scrypt），具有以下参数：

  • 成本因子(N)为32768

  • BlockSizeFactor (r)为8

  • 并行因子(p)为1

  • 盐是至少4个字节的随机序列；salt 在指定cisco-kdf 参数时，必须提供相同的。

  • 关键长度为16个字节（如果您选择AES-GCM 128算法）或32个字节（如果您选择AES-GCM 256算法）

  • 最大内存上限为64MB

此组参数是scrypt 唯一与设备上的关键衍生功能兼容的配置。设备上的此kdf称为"version":"1"，这是cisco-kdf 参数当前唯一使用的版本。

工作示例

您可以遵循以下示例，以验证您的JWE加密流程是否与我们在设备上创建的流程相同。

示例场景是向设备添加PEM blob（模仿添加证书，使用非常短的字符串，而不是完整证书+密钥）。示例中的客户端秘密为 ossifrage。

  1. 选择加密密码。此示例使用A128GCM （在Galois计数器模式下具有128位键的AES）。如果您愿意，可以使用您的工具A256GCM 。

  2. 选择盐（必须为至少4字节的随机序列）。此示例使用（十六字节）E5 E6 53 08 03 F8 33 F6。Base64url编码序列以获取5eZTCAP4M_Y （删除base64填充）。

  3. 下面是一个示例scrypt 呼叫，用于创建内容加密密钥(cek)：

    cek=scrypt(password="ossifrage", salt=4-byte-sequence, N=32768, r=8, p=1, keylength=16)

    衍生密钥应为16字节（十六进制），如下所示：95 9e ba 6d d1 22 01 05 78 fe 6a 9d 22 78 ff ac 哪个base64url编码为 lZ66bdEiAQV4_mqdInj_rA。

  4. 选择12个字节的随机序列作为初始化向量。此示例使用(hex) 34 b3 5d dd 5f 53 7b af 2d 92 95 83 ，其中base64url编码为 NLNd3V9Te68tkpWD。

  5. 创建具有紧凑序列化的JOSE标头（按照我们在这里使用的相同参数顺序），然后对其进行编码base64url：

    {"alg":"dir","cisco-action":"add","cisco-kdf":{"salt":"5eZTCAP4M_Y","version":"1"},"enc":"A128GCM"}

    base64url编码的JOSE标头是 eyJhbGciOiJkaXIiLCJjaXNjby1hY3Rpb24iOiJhZGQiLCJjaXNjby1rZGYiOnsic2FsdCI6IjVlWlRDQVA0TV9ZIiwidmVyc2lvbiI6IjEifSwiZW5jIjoiQTEyOEdDTSJ9

    这将是JWE blob的第一个元素。

  6. JWE BLOB的第二个元素是空的，因为我们没有提供JWE加密密钥。

  7. JWE blob的第三个元素是初始化向量 NLNd3V9Te68tkpWD。

  8. 使用JWE加密工具生成加密的有效负载和标签。在此示例中，未加密的有效负载将成为假冒的PEM blob this is a PEM file

    您应该使用的加密参数是：

    • 有效负载为 this is a PEM file

    • 加密密码为AES 128 GCM

    • base64url将JOSE标头编码为附加验证数据(AAD)

    base64url编码加密的有效负载，这将导致 f5lLVuWNfKfmzYCo1YJfODhQ

    这是JWE BLOB中的第四个元素（JWE密码文本）。

  9. Base64url编码您在步骤8中生成的标签，这将导致 PE-wDFWGXFFBeo928cfZ1Q

    这是JWE blob中的第五个元素。

  10. 将JWE blob的五个元素与点(JOSEheader.。IV.Ciphertext.Tag)连接以获取：

    eyJhbGciOiJkaXIiLCJjaXNjby1hY3Rpb24iOiJhZGQiLCJjaXNjby1rZGYiOnsic2FsdCI6IjVlWlRDQVA0TV9ZIiwidmVyc2lvbiI6IjEifSwiZW5jIjoiQTEyOEdDTSJ..9NLNd3V9Te68tkpWD.f5lLVuWNfKfmzYCo1YJfODhQ.PE-wDFWGXFFBeo928cfZ1Q

  11. 如果您使用您自己的工具衍生出与我们在此处显示的相同的base64url编码值，则您可以使用这些值来保护设备的E2E加密和验证身份。

  12. 此示例实际上不起作用，但原则上您的下一步是使用上面创建的JWE blob作为添加证书的设备上的xcommand的输入：

    xCommand Security Certificates Add eyJhbGciOiJkaXIiLCJjaXNjby1hY3Rpb24iOiJhZGQiLCJjaXNjby1rZGYiOnsic2FsdCI6IjVlWlRDQVA0TV9ZIiwidmVyc2lvbiI6IjEifSwiZW5jIjoiQTEyOEdDTSJ..9NLNd3V9Te68tkpWD.f5lLVuWNfKfmzYCo1YJfODhQ.PE-wDFWGXFFBeo928cfZ1Q

所有会议站点均可免费使用零信任会议的会话类型。其中一种会话类型称为 Pro-End to End Encryption_VOIPonly。这是公共服务名称，我们以后可能会更改。有关会话类型的当前名称，请参阅本文的参考 部分中的会话类型 ID。

您无需做任何事即可为您的站点获得此功能；您确实需要向用户授予新的会话类型（也称为会议权限）。您可以通过用户的配置页面单独执行此操作，也可以使用CSV导出/导入批量执行此操作。

验证新会话类型
1

登录 Control Hub，然后转至服务 > 会议。

2

单击站点，选择要更改设置的Webex站点，然后单击设置。

3

在常用设置下，选择会话类型。

您应该看到一个或多个端到端加密会话类型。请参阅本文的参考 部分中的会话类型 列表。例如，您可能会看到Pro-End to End Encryption_VOIPonly。

有一个较旧的会话类型，名称非常相似：从端到端加密。此会话类型包括非加密的PSTN访问会议。确保您具有 _VOIPonly 版本，以确保端到端加密。您可以将会话代码列中的 PRO 链接悬停在会话代码列上进行检查；对于此示例，链接的目标应为 javascript:ShowFeature(652)。

我们将来可能会更改这些会话类型的公共服务名称。

4

如果您还没有新的会话类型，请联系Webex代表。

下一步该做什么

为您的部分或所有用户启用此会话类型/会议权限。

为单个用户启用E2EE会议
1

登录 Control Hub，然后转至管理 > 用户。

2

选择要更新的用户帐户，然后选择会议。

3

从设置适用于 下拉列表中，选择要更新的会议站点。

4

勾选Pro-End to End Encryption_VOIPonly旁边的复选框。

5

关闭用户配置面板。

6

如有必要，请为其他用户重复此操作。

要将此分配给多个用户，请使用下一个选项为多个用户启用E2EE会议。

为多个用户启用E2EE会议
1

登录 Control Hub，然后转至服务 > 会议。

2

单击站点，选择要更改设置的Webex站点。

3

在许可证和用户 部分中，单击批量管理。

4

单击生成报告，然后等待我们准备文件。

5

文件准备好后，单击导出结果 ，然后单击下载。（单击下载后，必须手动关闭该弹出窗口。）

6

打开已下载的CSV文件进行编辑。

每个用户都有一行，MeetingPrivilege 列包含其会话类型ID作为逗号分隔的列表。

7

对于要授予新会话类型的每个用户，请在1561 单元格中以逗号分隔列表中添加新值MeetingPrivilege 。

Webex CSV文件格式引用 包含CSV文件的目的和内容的详细信息。

8

在Control Hub中打开Meeting站点配置面板。

如果您已在Meeting站点列表页面，可能需要刷新它。

9

在许可证和用户 部分中，单击批量管理。

10

单击导入 并选择已编辑的CSV，然后单击导入。文件上传时等待。

11

导入完成后，您可以单击导入结果 查看是否存在任何错误。

12

转至用户 页面，打开一个用户，以验证他们具有新的会话类型。

添加音频水印，以保证安全

您可以使用Webex Meetings Pro-End to End Encryption_VOIPonly 会话类型为会议录制添加水印，这样您就可以识别机密会议录制文件的源客户端或设备。

启用此功能后，会议音频为每个参加的客户端或设备提供唯一的标识符。您可以将音频录制上传到Control Hub，然后分析录制并查看唯一标识符。您可以查看结果，以查看哪个源客户端或设备记录了会议。

  • 要进行分析，录制必须为不大于500MB的AAC、MP3、M4A、WAV、MP4、AVI或MOV文件。
  • 录制时间必须大于100秒。
  • 您只能分析组织中人员主持的会议的录制内容。
  • 水印信息保留时间与组织的会议信息相同。

向E2EE会议添加音频水印

  1. 登录控制中心，然后在管理下选择组织设置。
  2. 在会议水印 部分中，选择添加音频水印。

    在此切换后一段时间，使用Webex Meetings Pro-End to End Encryption_VOIPonly 会话类型安排会议的用户在“安全”部分中看到数字水印 选项。

上传并分析带有水印的会议

  1. 在监控下，选择故障排除。
  2. 单击水印分析。
  3. 在列表中搜索或选择会议，然后单击分析。
  4. 在分析音频水印 窗口中，输入分析的名称。
  5. （可选）为分析输入注释。
  6. 拖放要分析的音频文件，或单击选择文件 浏览音频文件。
  7. 单击关闭。

    分析完成后，将显示在分析水印 页面上的结果列表中。

  8. 在列表中选择会议以查看分析结果。单击下载按钮 下载结果。

功能和限制

成功解码录制水印的因素包括录制设备与输出音频的扬声器之间的距离、音频的音量、环境噪声等。我们的水印技术对于多次编码具有额外的弹性，就像共享媒体时一样。

此功能旨在在一组广泛但合理的情况下成功解码水印标识符。我们的目标是，放置在靠近个人终点或笔记本电脑客户端办公桌上的录制设备（例如手机）应始终创建录制以取得成功的分析。随着录制设备远离源头，或无法听到完整的音频频谱，成功分析的几率会降低。

要成功分析录制，需要对会议音频进行合理的录制。如果会议音频录制在主持客户端的同台计算机上，则不应适用限制。

板载设备（内部CA）

如果您的设备已加入您的Control Hub组织，并且要使用Webex CA自动生成其身份证书，则无需出厂重置设备。

此程序选择设备用于标识自己的域名，并且仅在Control Hub组织中有多个域时才需要。如果您有多个域，我们建议您针对将具有“Cisco验证身份”的所有设备执行此操作。如果您不告诉Webex哪个域标识该设备，则会自动选择其中一个，其他会议与会者可能看起来不对。

开始之前

如果您的设备尚未入职，请遵循使用API或本地Web接口注册设备至Cisco Webex 或Board、Desk和Room系列云入职。您还应该验证要用于在管理域中识别设备的域。

1

登录控制中心，并在管理下选择设备。

2

选择设备以打开其配置面板。

3

选择要用于识别此设备的域。

4

对其他设备重复操作。

板载设备（外部CA）

开始之前

  • 获取每种设备的CA签名证书和私钥，.pem 格式为.pem 。

  • 在准备 标签页下，阅读了解设备的外部标识流程主题，

  • 针对此处的信息准备JWE加密工具。

  • 确保您有一个工具来生成给定长度的随机字节序列。

  • 确保您有一个工具来以64URL编码字节或文本。

  • 确保您有scrypt 实施。

  • 确保每个设备都有一个秘密字或短语。

1

用纯文本秘密填充设备ClientSecret ：

首次填充 Secret 时，以纯文本形式提供。因此，我们建议在物理设备控制台上执行此操作。

  1. base64url编码此设备的秘密短语。

  2. 打开设备上的TShell。

  3. 运行 xcommand Security ClientSecret Populate Secret: "MDEyMzQ1Njc4OWFiY2RlZg"

    上面的示例命令使用Secret 短语0123456789abcdef进行民粹化。您需要自行选择。

设备有其初始秘密。不要忘记此信息；您无法恢复它，必须出厂重置设备才能重新启动。
2

连接证书和私钥：

  1. 使用文本编辑器，打开。pem文件，粘贴密钥块，然后将其保存为新的。pem文件。

    这是您将加密并放入您的JWE blob中的有效负载文本。

3

创建JWE blob作为证书添加命令的输入：

  1. 创建至少4个字节的随机序列。这是你的盐。

  2. 使用scrypt工具推导内容加密密钥。

    为此，您需要密钥、盐和密钥长度来匹配您选择的加密密码。还有一些其他固定值要提供(N=32768， r=8， p=1)。设备使用相同的流程和值来推导相同的内容加密密钥。

  3. 创建一个12字节的随机序列。这是您的初始化向量。

  4. 创建JOSE标题、设置 alg、enc 和cisco-kdf中的密钥。使用JOSE标头中的key：value"cisco-action":"add" 设置“添加”操作（因为我们正在将证书添加到设备）。

  5. base64url编码JOSE头。

  6. 使用所选密码和base64url编码的JOSE头的JWE加密工具对连接的pem文件中的文本进行加密。

  7. Base64url编码初始化向量、加密的PEM有效负载和身份验证标记。

  8. 构建JWE blob如下（所有值均为base64url编码）：

    JOSEHeader..InitVector.EncryptedPEM.AuthTag

4

打开设备上的TShell并运行（多线）添加命令： 

xcommand Security Certificates Services Add IsEncrypted: True
your..JWE.str.ing\n
.\n
5

通过运行验证证书已添加 xcommand Security Certificates Services Show

复制新证书的指纹。

6

为此目的激活证书WebexIdentity：

  1. 从证书本身或xcommand Security Certificates Services Show输出读取证书的指纹。

  2. 创建至少4个字节的随机序列，并编码该序列base64url。这是你的盐。

  3. 使用scrypt工具推导内容加密密钥。

    为此，您需要密钥、盐和密钥长度来匹配您选择的加密密码。还有一些其他固定值要提供(N=32768， r=8， p=1)。设备使用相同的流程和值来推导相同的内容加密密钥。

  4. 创建一个12个字节的随机序列，并编码该序列base64url。这是您的初始化向量。

  5. 创建JOSE标题、设置 alg、enc 和cisco-kdf中的密钥。使用JOSE标题中的键：值"cisco-action":"activate" 设置“激活”操作（因为我们正在激活设备上的证书）。

  6. base64url编码JOSE头。

  7. 将JWE加密工具与所选密码和BASE64URL编码的JOSE头一起加密证书指纹。

    该工具应输出16或32字节序列，具体取决于您是否选择128位或256位AES-GCM以及身份验证标记。

  8. Base64urlencode加密指纹和身份验证标记。

  9. 构建JWE blob如下（所有值均为base64url编码）：

    JOSEHeader..InitVector.EncryptedFingerprint.AuthTag

  10. 打开设备上的TShell并运行以下激活命令：

                      xcommand Security Certificates Services Activate Purpose: WebexIdentity Fingerprint: "Your..JWE.encrypted.fingerprint"

该设备具有加密的、活动的CA颁发的证书，可用于在端到端加密的Webex会议中对其进行识别。
7

将设备上传到您的Control Hub组织。

通过身份验证测试端到端加密
1

安排正确类型的会议(Webex Meetings Pro-End-to-End Encryption_VOIP)。

请参阅使用端到端加密安排一个Webex会议。

2

从Webex Meetings客户端以主持人身份加入会议。

请参阅使用端到端加密加入Webex会议。

3

通过由Webex CA验证其身份的设备加入会议。

4

作为主持人，请确认此设备显示在正确的标识图标中。

请参阅使用端到端加密加入Webex会议。

5

通过由外部CA验证其身份的设备加入会议。

6

作为主持人，请确认此设备显示在正确的标识图标中。了解关于身份图标的更多信息。

7

以未经认证的会议与会者身份加入会议。

8

作为主持人，请确认此参加者显示在正确的身份图标中。

9

作为主持人，承认或拒绝人员/设备。

10

尽可能通过检查证书来验证参加者/设备身份。

11

检查会议中的每个人都看到相同的会议安全代码。

12

与新与会者一起加入会议。

13

检查每个人是否看到相同的新的会议安全代码。

设定范围和期望

  • 您是否要将端到端加密会议作为默认会议选项，还是仅为某些用户启用它，还是允许所有主持人决定？当您决定如何使用此功能时，请准备使用它的用户，特别是关于限制和会议中的期望。

  • 您是否需要确保Cisco和其他任何人都无法解密您的内容或冒充您的设备？如果是这样，您需要来自公共CA的证书。

  • 如果您的身份验证级别不同，请允许用户使用证书支持的身份验证彼此身份。即使在某些情况下，参与者可能看起来未验证，并且参与者应该知道如何检查，未验证的人员也可能不是骗子。

身份管理

如果您使用外部CA签发设备证书，则负责监控、刷新和重新应用证书。

如果您创建了初始秘密，请了解您的用户可能希望更改其设备的秘密。您可能需要创建界面/分发工具以使他们能够做到这一点。

会话类型ID
表1。 端到端加密会议的会话类型ID

会话类型ID

公共服务名称

638

仅限E2E加密+VoIP

652

Pro-End-to-End Encryption_VOIPonly

660

Pro 3免费端到端Encryption_VOIPonly

E2E加密+身份

672

Pro 3免费50端到端Encryption_VOIPonly

673

教育讲师E2E Encryption_VOIPonly

676

Broadworks标准加端到端加密

677

Broadworks Premium加端到端加密

681

Schoology免费加端到端加密

相关xAPI命令

这些表描述了我们为端到端加密会议和验证身份添加的Webex设备API命令。有关如何使用API的更多信息，请参阅访问Webex Room and Desk Devices和Webex Boards的API。

这些xAPI命令仅适用于以下任何一种设备：

  • 已注册Webex

  • 在现场注册，并通过Webex Edge for Devices与Webex链接到Webex

表2。 用于端到端加密会议和验证身份的系统级API

API呼叫

描述

xConfiguration Conference EndToEndEncryption Identity PreferredDomain: "example.com"

此配置是在管理员从Control Hub设置设备的首选域时进行的。只有当组织拥有多个域时才需要。

设备在Webex CA请求证书时使用此域。然后，域标识设备。

当设备具有活动的、外部颁发的证书来识别其自身时，此配置不适用。

xStatus Conference EndToEndEncryption Availability

表示设备是否可以加入端到端加密会议。云API调用它，以便配对应用程序知道它是否可以使用设备加入。

xStatus Conference EndToEndEncryption ExternalIdentity Verification

指示设备是否使用External 验证（具有外部颁发的证书）。

xStatus Conference EndToEndEncryption ExternalIdentity Identity

从外部颁发的证书的通用名称中读取的设备的身份。

xStatus Conference EndToEndEncryption ExternalIdentity CertificateChain Certificate # specificinfo

从外部颁发的证书读取特定信息。

在显示的命令中，将# 替换为证书号码。将specificinfo 替换为：

  • Fingerprint

  • NotAfter 有效期结束日期

  • NotBefore 有效开始日期

  • PrimaryName

  • PublicKeyAlgorithm

  • SerialNumber

  • SignatureAlgorithm

  • Subject # Name 证书受试者列表（例如电子邮件地址或域名）

  • Validity 提供此证书的有效状态(例如：valid 或 expired)

xStatus Conference EndToEndEncryption ExternalIdentity Status

设备外部标识的状态(例如valid 或 error)。

xStatus Conference EndToEndEncryption InternalIdentity Verification

表示设备是否具有Webex CA颁发的有效证书。

xStatus Conference EndToEndEncryption InternalIdentity Identity

从Webex颁发证书的通用名称中读取的设备的身份。

如果组织有域名，则包含域名。

如果组织没有域，则为空。

如果设备位于多个域的组织中，这是 PreferredDomain 的值。

xStatus Conference EndToEndEncryption InternalIdentity CertificateChain Certificate # specificinfo

从Webex颁发的证书中读取特定信息。

在显示的命令中，将# 替换为证书号码。将specificinfo 替换为：

  • Fingerprint

  • NotAfter 有效期结束日期

  • NotBefore 有效开始日期

  • PrimaryName

  • PublicKeyAlgorithm

  • SerialNumber

  • SignatureAlgorithm

  • Subject # Name 证书受试者列表（例如电子邮件地址或域名）

  • Validity 提供此证书的有效状态(例如：valid 或 expired)

表3。 在用于端到端加密会议和验证身份的呼叫API中

API呼叫

描述

xEvent Conference ParticipantList ParticipantAdded

xEvent Conference ParticipantList ParticipantUpdated

xEvent Conference ParticipantList ParticipantDeleted

这三项活动现在包括EndToEndEncryptionStatus、EndToEndEncryptionIdentity和EndToEndEncryptionCertInfo 受影响的参加者。

表4。 用于端到端加密会议和验证身份的ClientSecret相关的API

API呼叫

描述

xCommand Security ClientSecret Populate Secret: "base64url-encoded"

或

xCommand Security ClientSecret Populate Secret: JWEblob

接受base64url编码的纯文本值，用于首次在设备上播种客户端秘密。

要首次更新该秘密，您必须提供JWE blob，其中包含由旧秘密加密的新秘密。

xCommand Security Certificates Services Add JWEblob

添加证书（带私钥）。

我们扩展此命令以接受包含加密的PEM数据的JWE blob。

xCommand Security Certificates Services Activate Purpose:WebexIdentity FingerPrint: JWEblob

激活WebexIdentity的特定证书。对于此 Purpose，命令要求在JWE blob中加密和序列化标识指纹。

xCommand Security Certificates Services Deactivate Purpose:WebexIdentity FingerPrint: JWEblob

禁用WebexIdentity的特定证书。对于此 Purpose，命令要求在JWE blob中加密和序列化标识指纹。

这篇文章对您有帮助吗？
这篇文章对您有帮助吗？
定价Webex 应用程序MeetingsCalling消息传递屏幕共享
Webex SuiteCallingMeetings消息传递SlidoWebinarsSocioContact CenterCPaaS安全性Control Hub
耳机摄像头Desk 系列Room 系列Board 系列Phone 系列配件
教育医疗保健政府财务体育与娱乐一线员工非营利组织新兴公司混合式工作
下载加入测试会议在线课程集成辅助功能包容性直播和点播网络研讨会Webex 社区Webex 开发人员新闻和创新
Cisco联系技术支持联系销售Webex BlogWebex 思想领导力Webex 商店职业
  • X
  • LinkedIn
  • Facebook
  • Youtube
  • Instagram
条款和条件隐私权声明Cookie商标
©2025 Cisco 和/或其附属公司。保留所有权利。
条款和条件隐私权声明Cookie商标