安全功能可防止威胁，包括对电话身份和数据的威胁。这些功能可在电话与Cisco Unified Communications Manager服务器之间建立和维护经过验证的通信流，并确保电话仅使用数字签名文件。

Cisco Unified Communications Manager版本8.5(1)及更高版本包含默认安全功能，它在不运行CTL客户端的情况下为Cisco IP电话提供以下安全功能：

• 签署电话配置文件

• 电话配置文件加密

• 使用Tomcat和其他网络服务的HTTPS

在Cisco Unified Communications Manager系统中实施安全措施可防止电话和Cisco Unified Communications Manager服务器的身份盗窃、数据篡改、以及呼叫信号和媒体流篡改。

为了缓解这些威胁，Cisco IP电话网络在电话和服务器之间建立和维护安全（加密）的通信流，在文件传输到电话之前对其进行数字签名，并对Cisco IP电话之间的媒体流和呼叫信号进行加密。

执行与证书授权代理功能(CAPF)相关的必要任务后，在电话上安装本地重要证书(LSC)。您可以使用Cisco Unified Communications Manager Administration配置LSC，如Cisco Unified Communications Manager安全指南中所述。或者，您可以从电话上的“安全设置”菜单开始安装LSC。此菜单还允许您更新或删除LSC。

LSC不能用作具有WLAN身份验证的EAP-TLS的用户证书。

电话使用电话安全配置文件，该文件定义设备是非安全还是非安全。有关将安全配置文件应用于电话的信息，请参阅特定的Cisco Unified Communications Manager版本文档。

如果您在Cisco Unified Communications Manager Administration中配置安全相关设置，电话配置文件包含敏感信息。要确保配置文件的隐私，您必须将其配置为加密。有关详细信息，请参阅特定的Cisco Unified Communications Manager版本文档。

该电话符合联邦信息处理标准(FIPS)。要正常运行，FIPS模式需要密钥大小为2048位或以上。如果证书小于2048位，电话不会向Cisco Unified Communications Manager注册，电话注册失败。在电话上显示证书密钥大小不符合FIPS要求 。

如果电话有LSC，您需要将LSC密钥大小更新至2048位或以上，然后才能启用FIPS。

下表概述了电话所支持的安全功能。有关详细信息，请参阅特定的Cisco Unified Communications Manager版本文档。

要查看安全模式，请按设置 并导航至网络和服务 > 安全设置。

下表包含信任列表更新警报消息和含义。有关详细信息，请参阅Cisco Unified Communications Manager文档。

“安全设置”菜单提供有关各种安全设置的信息。该菜单还提供对“信任列表”菜单的访问权限，并指示电话中是否安装了CTL或ITL文件。

下表描述了安全设置菜单中的选项。

Cisco IP电话支持802.1X身份验证。

Cisco IP电话和Cisco Catalyst交换机传统上使用Cisco Discovery协议(CDP)来互相识别，并确定诸如VLAN分配和内联电源要求等参数。CDP不会识别本地连接的工作站。Cisco IP电话提供EAPOL传递机制。此机制允许连接到Cisco IP电话的工作站将EAPOL消息传递到LAN交换机上的802.1X验证器。传递机制确保IP电话不作为LAN交换机在访问网络之前验证数据端点。

Cisco IP电话还提供代理EAPOL Logoff机制。如果本地连接的PC从IP电话断开连接，LAN交换机不会看到物理链接失败，因为LAN交换机与IP电话之间的链接保持不变。为了避免危及网络完整性，IP电话代表下游PC向交换机发送EAPOL-Logoff消息，这触发LAN交换机以清除下游PC的身份验证条目。

支持802.1X身份验证需要多个组件：

• Cisco IP电话：电话启动访问网络的请求。Cisco IP电话包含一个802.1X求助器。此请求允许网络管理员控制IP电话与LAN交换机的连接。当前版本的802.1X电话请求者使用EAP-FAST和EAP-TLS选项进行网络验证。

• 身份验证服务器：身份验证服务器和交换机必须均使用可验证电话的共享秘密进行配置。

• 开关：交换机必须支持802.1X，因此可以充当身份验证器，并在电话和身份验证服务器之间传递消息。交换完成后，交换机授予或拒绝电话访问网络。

必须执行以下操作才能配置802.1X。

• 在电话上启用802.1X身份验证之前配置其他组件。

• 配置PC端口：802.1X标准不考虑VLAN，因此建议仅对特定交换机端口进行身份验证。但是，一些交换机支持多域验证。交换机配置决定您是否可以将PC连接到电话的PC端口。

  • Enabled（启用）：如果您使用支持多域身份验证的交换机，则可以启用PC端口并将PC连接到它。在这种情况下，Cisco IP电话支持代理EAPOL-Logoff以监控交换机与所连接的PC之间的身份验证交换。

    有关Cisco Catalyst交换机上的IEEE 802.1X支持的更多信息，请参阅Cisco Catalyst交换机配置指南：

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Disabled（禁用）：如果交换机不支持同一端口上的多个802.1X兼容的设备，则应在启用802.1X身份验证时禁用PC端口。如果您未禁用此端口并尝试将其连接PC，交换机将拒绝对电话和PC的网络访问。

• 配置语音VLAN：由于802.1X标准不包含VLAN，您应根据交换机支持配置此设置。
  • Enabled（启用）：如果您使用支持多域身份验证的交换机，则可以继续使用语音VLAN。
  • Disabled（禁用）：如果交换机不支持多域验证，请禁用语音VLAN，并考虑将端口分配给本机VLAN。
• （仅适用于Cisco Desk Phone 9800系列）

  Cisco Desk Phone 9800系列在PID中具有与其他Cisco电话不同的前缀。要使您的电话通过802.1X身份验证，请将 Radius·用户名 参数设置为包括Cisco Desk Phone 9800系列。

  例如，电话9841的PID为DP-9841；您可以将 Radius·用户名 设为开始使用DP 或包含DP。您可以在以下两个部分进行设置：

  • 策略 > 条件 > 库条件

  • 政策 > 政策集 > 授权政策 > 授权规则1

当对电话实施安全时，您可以通过电话屏幕上的图标识别安全电话呼叫。如果呼叫开始时使用安全语调，您还可以确定连接的电话是否安全并受到保护。

在安全的呼叫中，所有呼叫信号和媒体流都经过加密。安全呼叫提供高水平的安全性，为呼叫提供完整性和隐私性。当正在进行的呼叫被加密时，您可以看到线路上的安全图标 。对于安全的电话，您还可以查看电话菜单（设置 > 关于此设备）中连接服务器旁的验证图标 或加密图标 。

在安全呼叫中，在呼叫开始时使用安全音频，表示其他连接电话也在接收和传输安全音频。如果您的呼叫连接到不安全的电话，安全音调不会播放。

在Cisco Unified Communications Manager中将电话配置为安全（加密和信任）时，可以赋予它一个受保护 状态。之后，如果需要，可配置受保护的电话以在呼叫开始时播放指示语调：

• 受保护的设备：要将安全电话的状态更改为受保护，请勾选Cisco Unified Communications Manager Administration（设备 > 电话）中的“受保护设备”复选框。

• 播放安全指示语调：要使受保护的电话能够播放安全或非安全指示音调，请将“播放安全指示音调”设置为“真”。默认情况下，播放安全指示音调设置为False。您在Cisco Unified Communications Manager Administration（系统 > 服务参数）中设置此选项。选择服务器，然后选择Unified Communications Manager服务。在“服务参数配置”窗口中，在“功能-安全音频”区域中选择“选项”。默认值为FALSE。

由于位于范围内的所有WLAN设备都可以接收所有其他的WLAN流量，因此在WLAN中保护语音通信至关重要。为了确保入侵者不会操纵或拦截语音流量，Cisco SAFE安全架构支持电话。有关网络安全的更多信息，请参阅 http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Cisco Wireless IP电话解决方案提供无线网络安全，通过使用电话支持的以下身份验证方法，防止未经授权的登录和受损通信：

• 打开身份验证：任何无线设备都可以在打开的系统中请求身份验证。接收请求的AP可授予任何请求者身份验证，或仅授予用户列表中的请求者。无线设备和接入点(AP)之间的通信可能是非加密的。

• 可扩展验证协议-通过安全隧道(EAP-FAST)验证灵活验证：此客户端-服务器安全架构对AP和RADIUS服务器之间的传输级安全(TLS)隧道中的EAP事务加密，例如身份服务引擎(ISE)。

  TLS隧道使用受保护访问凭证(PAC)在客户端（电话）和RADIUS服务器之间进行身份验证。服务器向客户端（电话）发送授权ID（援助），客户端（电话）然后选择适当的PAC。客户端（电话）向RADIUS服务器返回不透明的PAC。服务器使用主密钥解密PAC。两个端点现在都包含PAC密钥，并创建TLS隧道。EAP-FAST支持自动PAC配置，但您必须在RADIUS服务器上启用它。

  在ISE中，默认情况下，PAC将在一周内到期。如果电话的PAC已过期，当电话获得新的PAC时，使用RADIUS服务器进行身份验证需要更长时间。为了避免PAC配置延迟，在ISE或RADIUS服务器上将PAC到期时间设置为90天或以上。

• 可扩展验证协议-传输层安全(EAP-TLS)验证：EAP-TLS需要客户端证书进行身份验证和网络访问。对于无线EAP-TLS，客户端证书可以是MIC、LSC或用户安装的证书。

• 受保护的可扩展身份验证协议(PEAP)：客户端（电话）和RADIUS服务器之间基于思科专有密码的相互验证方案。电话可以使用PEAP与无线网络进行身份验证。支持PEAP-MSCHAPV2和PEAP-GTC验证方法。

• 预共享密钥(PSK)：电话支持ASCII格式。在设置WPA/WPA2/SAE预共享密钥时必须使用此格式：

  ASCII：长度为8至63个字符的ASCII字符串（0-9、小写和大写字母A-Z以及特殊字符）

  示例：GREG123567@9ZX&W

以下身份验证方案使用RADIUS服务器管理身份验证密钥：

• wpa/wpa2/wpa3：使用RADIUS服务器信息生成用于身份验证的独特密钥。由于这些密钥是在集中式RADIUS服务器上生成，WPA2/WPA3比存储在AP和电话上的WPA预共享密钥提供更多的安全性。

• 快速安全漫游：使用RADIUS服务器和无线域服务器(WDS)信息来管理和验证密钥。WDS为启用FT的客户端设备创建安全凭证缓存，以便快速安全地重新验证。Cisco Desk Phone 9861和9871以及Cisco Video Phone 8875支持802.11r (FT)。空中和DS上都支持快速安全的漫游。但我们强烈建议使用802.11r (FT)而不是空气方法。

使用WPA/WPA2/WPA3，加密密钥不会在电话上输入，而是在AP和电话之间自动导出。但是，必须在每个电话上输入用于身份验证的EAP用户名和密码。

为确保语音流安全，电话支持TKIP和AES进行加密。当使用这些机制进行加密时，信号SIP数据包和语音实时传输协议(RTP)数据包都在AP和电话之间进行加密。

特基普

WPA使用TKIP加密，比WEP有几个改进。TKIP提供每包密钥密码和更长的初始化向量(IV)，以加强加密。此外，消息完整性检查(MIC)可确保加密数据包不被更改。TKIP消除了帮助入侵者破解WEP密钥的WEP可预测性。

阿斯

用于WPA2/WPA3验证的加密方法。此国家加密标准使用一种对称算法，该算法具有相同的加密和解密密钥。AES使用128位大小的CBC加密功能，支持至少128位、192位和256位密钥大小。电话支持256位键大小。

在无线LAN中设置了身份验证和加密方案。VLAN在网络和AP上配置，并指定不同身份验证和加密组合。具有VLAN和特定身份验证和加密方案的SSID员工。要成功验证无线客户端设备，您必须在AP和电话上使用其身份验证和加密方案配置相同的SSID。

某些身份验证方案需要特定类型的加密。

下表中的身份验证和加密方案显示了与AP配置对应的电话的网络配置选项。

Assured Services SIP(AS-SIP)是一系列功能和协议，为Cisco IP电话和第三方电话提供高度安全的呼叫流。以下功能统称为AS-SIP：

• 多级优先级和优先级(MLPP)
• 差异化服务代码点(DSCP)
• 传输层安全(TLS)和安全实时传输协议(SRTP)
• 互联网协议版本6 (IPv6)

AS-SIP通常与多级优先级和优先级(MLPP)一起使用，以便在紧急情况下对呼叫进行优先排序。使用MLPP，您将优先级分配给您的呼叫，从1级（低）到5级（高）。接听呼叫时，电话上会显示优先级图标，显示呼叫优先级。

要配置AS-SIP，请在Cisco Unified Communications Manager上完成以下任务：

• 配置摘要用户-配置最终用户以对SIP请求使用摘要验证。
• 配置SIP电话安全端口—Cisco Unified Communications Manager使用此端口监听SIP电话通过TLS进行SIP线路注册。
• 重新启动服务-配置安全端口后，重新启动Cisco Unified Communications Manager和Cisco CTL Provider服务。配置AS-SIP的SIP配置文件-使用AS-SIP端点和SIP集群的SIP设置配置SIP配置文件。电话特定参数不会下载到第三方AS-SIP电话。它们仅由Cisco Unified Manager使用。第三方电话必须在本地配置相同的设置。
• 配置AS-SIP电话安全配置文件—您可以使用电话安全配置文件分配安全设置，如TLS、SRTP和摘要验证。
• 配置AS-SIP端点-配置带有AS-SIP支持的Cisco IP电话或第三方端点。
• 将设备与最终用户关联-将端点与用户关联。
• 配置AS-SIP的SIP Trunk Security Profile-您可以使用sip Trunk Security Profile将安全功能（例如TLS或摘要身份验证）分配给SIP Trunk。
• 配置AS-SIP的SIP支架—配置AS-SIP支持的SIP支架。
• 配置AS-SIP功能—配置其他AS-SIP功能，如MLPP、TLS、V.150和IPv6。

有关配置AS-SIP的详细信息，请参阅 Cisco Unified Communications Manager功能配置指南中的“配置AS-SIP端点”章节。

当在电话上配置强制授权代码(FAC)或客户端事务代码(CMC)时，用户必须输入所需的密码才能拨打号码。

有关如何在Cisco Unified Communications Manager中设置FAC和CMC的更多信息，请参阅“Cisco Unified Communications Manager功能配置指南，版本12.5(1)或更高版本中的“客户端事务代码和强制授权代码”章节。