部署零信任會議

使用者體驗

使用者在安排會議時選擇會議類型。在大堂和會議期間接受參與者時，主持人可以查看每個參與者的身份驗證狀態。此外，會議中目前所有參與者都有共用的會議程式碼，他們可以使用該代碼來驗證他們的會議是否未被不需要的第三方 Meddler In The Middle (MITM) 攻擊攔截。

與會議主持人分享下列資訊：

使用端對端加密安排 Webex 會議
使用端對端加密加密加入 Webex 會議

使用內部或外部 CA 進行身份驗證

驗證身份

具有身份驗證的端對端加密功能為端對端加密會議提供額外的安全性。

當參與者或裝置加入共用 MLS (訊息層安全性) 群組時，他們將憑證呈現給其他群組成員，然後根據發行憑證授權單位 (CA) 驗證憑證。通過確認憑證是否有效，CA 會驗證參與者的身份，並且會議將參與者/設備顯示為已驗證。

Webex 應用程式使用者會根據 Webex 身分存放區進行身份驗證，在驗證成功時會向他們發行存取令牌。如果他們需要憑證來驗證其身份在端對端加密會議中，Webex CA 會根據他們的存取令牌發出憑證。目前，我們沒有提供Webex Meetings使用者取得第三方/外部 CA 發行的憑證的方式。

裝置可以使用內部 (Webex) CA 發行的憑證或外部 CA 發行的憑證進行身份驗證：

內部 CA — WebEx 根據裝置機器帳戶的存取令牌發行內部憑證。憑證由 Webex CA 簽署。裝置沒有與使用者相同的方式具有使用者 ID，因此 Webex 在編寫裝置憑證的身份時會使用 (其中一個) 組織的網域 (通用名稱 (CN))。
外部 CA-直接向您選擇的發行人請求和購買裝置憑證。您必須使用僅您所知的秘密來加密、直接上傳和授權憑證。

思科沒有參與，這使得這是確保真正的端對端加密和驗證身份的方式，並防止思科可能會聽您的會議/解密媒體的理論可能性。

內部發行的裝置證書

Webex 在啟動後註冊時向設備發出憑證，並在必要時更新。對於裝置，憑證包含帳戶 ID 和網域。

如果您的組織沒有網域，則 Webex CA 會在沒有網域的情況下發出憑證。

如果您的組織擁有多個網域，您可以使用 Control Hub 來告訴 Webex 該裝置要使用哪個網域作為其身份。您也可以使用 API X 組態會議端到密碼識別偏好的網域：「example.com」。

如果您有多個網域，但未為裝置設定偏好的網域，則 Webex 會為您選擇一個網域。

外部發行的裝置證書

管理員可以使用已經由其中一個公用 CA 簽署的憑證來佈建裝置。

憑證必須以 ECDSA P-256 金鑰對為基礎，儘管它可以由 RSA 金鑰簽署。

憑證中的值由組織決定。通用名稱 (CN) 和主旨替代名稱 (SAN) 將顯示在 Webex 會議使用者介面中，如具有身份驗證的端對端加密中所述。Webex Meetings

我們建議每個裝置使用單獨的憑證，並且每個裝置擁有唯一的 CN。例如，擁有「範例 .com」網域的組織的「會議室 -1.example.com」。

為了完全保護外部憑證免受破壞，使用客戶端機密功能來加密和簽署各種 xcommand。

使用用戶端密碼時，可以通過 xAPI 安全地管理外部 Webex 身分證書。這目前僅限於在線設備。

Webex 目前提供用於管理此項目的 API 命令。

功能和限制

裝置

雲端註冊 Cisco 主機板、桌面和會議室系列裝置可加入 E2EE 會議。

下列裝置無法加入 E2EE 會議：

WebRTC

軟體用戶端

適用於桌面和行動用戶端的 Webex 應用程式可以加入 E2EE 會議。
Webex Web 用戶端無法加入 E2EE 會議。
第三方 SIP 軟體用戶端無法加入 E2EE 會議。

身份

根據設計，我們不提供 Control Hub 選項供您管理外部驗證的設備身份。對於真正的端到端加密，只有您應該知道/訪問秘密和密鑰。如果我們引入了雲服務來管理這些金鑰，那麼它們有可能會被攔截。
目前，我們為您提供基於業界標準的加密技術設計自己的工具，以協助您要求或加密您的設備身份證書及其私密金鑰。我們不希望對您的秘密或密鑰有任何真實或感覺的訪問權限。

會議

E2EE 會議目前最多支持 1000 名參與者。
您可以在 E2EE 會議中共享新的白板。常規會議中與白板有一些差異：
- 在 E2EE 會議中，使用者無法存取會議外建立的白板，包括私人白板、其他人共用的白板以及來自 Webex 空間的白板。
- 在 E2EE 會議中建立的白板只能在會議期間使用。會議結束後不會儲存它們，也無法存取。
- 如果有人在 E2EE 會議中共享內容，您可以為其添加註釋。如需有關註釋的詳細資訊，請參閱 Webex App | 使用註記標記共用內容。

管理介面

我們強烈建議您使用 Control Hub 來管理會議網站，因為控制中心組織擁有整個組織的集中身分識別。

其他資源

我們如何使用 JWE 格式

本節說明我們如何預期將 JWE 作為設備的輸入創建，以便您可以構建自己的工具來從憑證和金鑰創建 BLOB。

請參閱 JSON 網頁加密 (JWE) https://datatracker.ietf.org/doc/html/rfc7516 和 JSON 網頁簽名 (JWS) https://datatracker.ietf.org/doc/html/rfc7515。

我們使用 JSON 文檔的緊湊序列化來創建 JWE BLOB。創建 JWE BLOB 時需要包含的參數是：

何塞標題（受保護）。在 JSON 物件簽署和加密標頭中，您必須包含下列金鑰值配對：
- 「alg」:「目錄」
  
  直接算法是我們唯一支持加密有效負載的算法，您必須使用設備的初始用戶端密碼。
- 「環」：「A128 格厘米」或「恩 C」：「A256 格厘米」
  
  我們支持這兩種加密算法。
- 「思科動作」：「添加」或「思科動作」：「填入」或「思科動作」：「激活」或「思科動作」：「停用」
  
  這是一個專有密鑰，它可以採用四個值。我們引入了這個密鑰，以向目標設備發出加密數據的目的。這些值以您使用加密資料的裝置上的 xAPI 命令命名。
  
  我們將其命名為 cisco-action，以減輕與未來 JWE 擴展的潛在衝突。
- 「cisco-kdf」: {「版本」：「1」，「鹽」：「基本 64 URL 代碼 DRANDOM4 + 字節」}
  
  另一個專有密鑰。我們使用您提供的值作為設備上按鍵導出的輸入。 版本必須是 1（我們的密鑰衍生函數的版本）。 salt 的值必須是至少 4 個字節的 base64 URL 編碼序列，您必須隨機選擇該序列。
JWE 加密金鑰。 此欄位是空的。設備從初始的客戶端秘密獲得它。
JWE 初始化向量。 您必須提供 base64url 編碼的初始化向量來解密有效負載。 IV 必須是一個隨機的 12 字節值（我們使用的是 AES-GCM 加密系列，這需要 IV 長度為 12 個字節）。
JWE AAD（其他驗證數據）。您必須省略此欄位，因為「精簡序列化」不支援此欄位。
JWE 加密文本：這是您要保密的加密有效負載。

有效負載可能是空的。例如，要重置用戶端密碼，您需要用空值覆寫它。

有不同類型的承載，具體取決於您嘗試在設備上執行的操作。不同的 xAPI 命令預期不同的有效負載，您必須使用 cisco-action 鍵指定有效負載的目的，如下所示：
- 使用「cisco-action」:「填入」，加密文本就是新的客戶端秘密。
- 使用 "「cisco-action」:「add」，加密文字是一個帶有憑證及其私密金鑰（連接）的 PEM BLOB。
- 使用 "「cisco-action」:「activate」，加密文本是我們正在激活以進行設備身份驗證的憑證的指紋（sha-1 的十六進位表示）。
- 使用 "「cisco-action」:「停用」，加密文本是我們停用的憑證用於設備身份驗證的指紋（sha-1 的十六進制表示）。
JWE 身份驗證標籤：此欄位包含驗證標籤，以確定整個 JWE 精簡序列化區塊的完整性

我們如何從客戶秘密中衍生加密金`鑰`

在密碼的第一個填入之後，我們不接受或將密碼輸出為純文本。這是為了防止可以訪問設備的人可能進行字典攻擊。

裝置軟體使用用戶端密碼作為金鑰衍生函數 (kdf) 的輸入，然後使用導出金鑰進行裝置上的內容解密/加密。

這對您而言意味著您生成 JWE BLOB 的工具必須遵循相同的程序，才能從客戶端密碼中衍生相同的加密/解密金鑰。

設備使用 scrypt 進行鍵導出（請參閱 https://en.wikipedia.org/wiki/Scrypt），具有以下參數：

成本係數 (N) 為 32768
區塊大小對象 (r) 為 8
平行化係數 (p) 為 1
Salt 是至少 4 個字節的隨機序列；在指定 cisco-k df 參數時，您必須提供相同的鹽。
金鑰長度可以是 16 個位元組 (如果選取 AES-GCM 128 演算法)，或 32 個位元組 (如果您選取 AES-GCM 256 演算法)
最大記憶體上限為 64MB

這一組參數是唯一與設備上的鍵導出功能兼容的 scrypt 配置。 設備上的此 kdf 稱為「版本」：「1"，這是 cisco- kdf 參數目前採用的唯一版本。

有效的例子

以下是一個示例，您可以按照該範例來驗證您的 JWE 加密程序是否與我們在設備上創建的過程相同。

範例案例是將 PEM BLOB 添加到設備（模仿添加憑證，使用非常短的字符串而不是完整的 cert + 鍵）。範例中的用戶端密碼是 ossifrage。

選擇加密密碼。此範例使用 A128GCM（在加洛伊計數器模式下具有 128 位元鍵的 AES）。如果您願意，您的工具可以使用 A256GCM。
選擇一個鹽（必須是至少 4 個字節的隨機序列）。此範例使用 (十六進位元組) E5 E6 53 08 03 F8 33 F 6。 Base64URL 編碼序列以獲取 5eztcap4 M_Y（刪除 base64 填充）。
以下是用於創建內容加密密鑰（cek）的示例寫字調用：

cek=scrypt(password="ossifrage", salt=4-byte-sequence, N=32768, r=8, p=1, keylength=16)

導出金鑰應為 16 個字節（十六進制），如下所示：95 9e ba 6 d d1 22 01 05 78 fe 6a 9 d 22 78 ff ac，該基本 64 網址編碼為 L Z66BDEIAQV4_MQDinj_RA。
選擇 12 個字節的隨機序列以用作初始化向量。 此範例使用（十六進制）34 b3 5 d dd 5 f 53 7 b 自二次 92 95 83，其基本 64 網址將其編碼為 nLnd3v 9TE68tkpwd。
使用緊湊的序列化創建 JOSE 標頭（按照我們在這裡使用的參數順序相同），然後 base64url 對其進行編碼：

{"alg」:「目錄」,「共同操作」:「添加」,「cisco-kdf」: {"鹽」:「5eztcap4m_Y」,「版本」:「1"},「enc」:「A128GCM"}

Base64url 編碼的 JOSE 標頭為 EYJhbGCIOIJkaxiiLcJjaXnJbY1hy3rpb24ioiJHZgqILcJaxNjbY1rzGyionSiC2fsdcI6ijVLwLrdqva0tV9ziiWIDmVyc2LvBii6ijeifswizw5JiJoiqTeyoeddTsj9

這將是 JWE BLOB 的第一個元素。
JWE BLOB 的第二個元素是空的，因為我們不提供 JWE 加密密鑰。
JWE 區塊的第三個元素是初始化向量 nLnd3v9TE68tkpwd。
使用您的 JWE 加密工具來產生加密的有效負載和標籤。在這個例子中，未加密的有效負載將是假的 PEM BLOB，這是 PEM 文件
您應該使用的加密參數是：
- 有效負載是這是一個 PEM 文件
- 加密密碼為 AES 128 GCM
- base64url 編碼 JOSE 標頭為其他驗證數據 (AAD)
Base64URL 對加密的有效負載進行編碼，這應該會導致 F5LLVUWNFKFMzyco1YJFODHQ
這是 JWE BLOB 中的第四個元素（JWE 加密文本）。
Base64URL 編碼您在步驟 8 中生成的標籤，這應該會導致 PE-WDFWGXFFBEO928cfz1q

這是 JWE BLOB 中的第五個元素。
用點（JoseHeader.. iv. CipherText.tag）連接 JWE 塊的五個元素以獲得：

伊 JHBGCIOIJkXiLcJaxnjbY1HY3RPB24IOIJHZGQiLcJAXNJBY1RZGYIONSiC2FSDCI6iVwLRDQVA0tV9ZiiWIDMVYc2LvBiI6Ijeifswizw5吉約伊克泰約埃德 dTsJ.. 9NLNd3V9TE68pWdT5TkLd.pWF5TkLd.pW5Tkd.pW5TkD.f5NLnD3V9TE68PwF5TkLd.pWF5TkLd.F5NLnD3V9TE68PwF5TkLd.pW5TkD.二氧化纖維基金屬氧化矽氧化合金屬性纖維素材 (PE)
如果您使用自己的工具導出與我們在這裡顯示的相同 base64url 編碼值，則可以使用它們來保護您的設備的 E2E 加密和驗證身份。
這個例子實際上不起作用，但原則上你的下一步是使用上面創建的 JWE BLOB 作為添加憑證的設備上 xcommand 的輸入：

X 命令安全憑證新增 EyjhbgCIOIJkXiiLcJaxNjbY1HY3RPB24IOiJHZgqILcJAXnJbY1RZGYIONSiC2FSDCI6iVwLrdqVA0tV9ziiWIDMvYc2LvBiI6iJ ifswizw5JiJoIQtYoEDdTsJ.. 9nLnND3v9TE68t TsJ.. 第五金屬性能源自動化合金二氧化合金屬性纖維基乙烯基金屬性纖維 (PE) 六合金二氧化纖維 (PE-WDFWGXFFBEO928 CFZ1Q)

所有會議站點都可以使用零信任會議的工作階段類型，而無需額外費用。其中一種工作階段類型稱為專業端到端加密 _ 僅限 VoIP。這是公共服務名稱，我們將來可能會更改。如需工作階段類型的目前名稱，請參閱本文「參考」區段中的工作階段類型 ID。

您無需執行任何操作才能為您的網站獲得此功能；您確實需要將新的會話類型（也稱為會議權限）授予用戶。您可以透過使用者的設定頁面個別執行此操作，或透過 CSV 匯出/匯入大量執行此操作。

驗證新的工作階段類型

1	登入 Control Hub，然後轉至服務 > 會議。
2	按一下「網站」，選擇要變更設定的 Webex 網站，然後按一下「設定」。
3	在通用設定下，選取階段作業類型。您應該會看到一個或多個端對端加密工作階段類型。請參閱本文「參考」段落中的工作階段類型 ID 清單。例如，您可能會看到專業端到端加密 _ 僅限 VoIP。有一種較舊的會話類型，名稱非常相似：專業端到端加密。此階段作業類型包括對會議的非加密 PSTN 存取。確保您擁有 _VoIPOnly 版本以確保端對端加密。您可以將游標懸停在工作階段程式碼欄中的 PRO 連結上進行檢查；在此範例中，連結的目標應該是 `JavaScript` :ShowFeature (652)。我們將來可能會變更這些工作階段類型的公共服務名稱。
4	如果您尚未有新的工作階段類型，請聯絡您的 Webex 代表。

下一步

啟用此會話類型/會議權限給部分或所有使用者。

為個別使用者啟用 E2EE 會議

1	登入控制中心，然後前往管理 > 用戶。
2	選擇要更新的使用者帳戶，然後選擇會議。
3	從「設定套用至」下拉式清單中，選取要更新的會議地點。
4	勾選「專業端到終止加密 _ 僅限 VoIP」旁邊的方塊。
5	關閉使用者組態面板。
6	如有必要，請對其他使用者重複執行。若要將此指定給許多使用者，請使用下一個選項，為多個使用者啟用 E2EE 會議。

為多位使用者啟用 E2EE 會議

1	登入 Control Hub，然後轉至服務 > 會議。
2	按一下「網站」，選擇要變更設定的 Webex 網站。
3	在授權和使用者區段，按一下批量管理。
4	按一下「產生報告」，然後等待我們準備檔案。
5	檔案準備好後，按一下「匯出結果」，然後按一下「下載」。 (按一下「下載」後，您必須手動關閉該彈出視窗。)
6	開啟下載的 CSV 檔案以進行編輯。每個使用者都有一列，而會議`權限欄包含他們的工作`階段類型 ID，作為逗號分隔的清單。
7	`對於您想授與新工作階段類型的每個使用者，請在「會議權限」儲存格中以逗號分隔清單中新增 1561 作為新值。` Webex CSV 檔案格式參考包含有關 CSV 檔案目的和內容的詳細資訊。
8	開啟「控制中心」中的「會議網站組態」面板。如果您已經在「會議網站」清單頁面上，則可能需要重新整理它。
9	在授權和使用者區段，按一下批量管理。
10	按一下「匯入」並選取已編輯的 CSV，然後按一下「匯入」。等待檔案上傳。
11	匯入完成後，您可以按一下「匯入結果」來檢閱是否出現任何錯誤。
12	前往「使用者」頁面，然後開啟其中一個使用者，以確認他們具有新的會話類型。

添加音頻水印以提高安全性

您可以使用 Webex MeetingsPro-End to End Encryption_VoipOnly 會話類型為會議錄製添加水印，這可讓您識別機密會議未經授權錄製的來源用戶端或裝置。

啟用此功能時，會議音訊會包含每個參與的用戶端或裝置的唯一識別碼。您可以將錄音上傳到 Control Hub，然後分析錄製並查找唯一的識別碼。您可以查看結果，了解是哪個來源客戶端或裝置錄製了會議。

為了進行分析，錄音檔案必須是 AAC、MP3、M4A、WAV、MP4、AVI 或 MOV 格式，且檔案大小不得超過 500MB。
錄音時長必須超過100秒。
您只能分析由您組織成員主持的會議的錄音。
水印資訊的保留期限與組織會議資訊的保留期限相同。

在 E2EE 會議中添加音頻水印

登入控制中心，然後在管理下，選擇組織設定。
在「會議水印」部分中，切換「添加音頻水印」。
在開啟此功能之後，使用者安排使用 Webex MeetingsPro-End to End Encryption _VoipOnly 工作階段類型排定會議的使用者會看到「安全性」區段中的「數位浮水印」選項。

上傳並分析有水印的會議

在「控制中心」的「監控」下，選取 [疑難排解]。
點選水印分析。
在清單中搜尋或選擇會議，然後按一下分析。
在分析音訊浮水印視窗中，輸入分析的名稱。
（可選）請輸入您的分析備註。
將要分析的音訊檔案拖曳到此處，或按一下選擇檔案瀏覽至音訊檔案。
按一下關閉.
分析完成後，它將顯示在「分析水印」頁面上的結果列表中。
從清單中選擇會議，即可查看分析結果。點擊下載結果。

功能與限制

成功解碼錄製浮水印的因素包括錄音設備與音訊輸出揚聲器之間的距離、音訊的音量、環境噪音等。我們的水印技術具有更強的抗干擾能力，即使多次編碼也不會損壞媒體文件，這種情況可能會在媒體文件共享時發生。

此功能旨在使水印標識符能夠在廣泛但合理的範圍內成功解碼。我們的目標是，放在個人終端或筆記型電腦用戶端附近桌子上的錄音設備（例如手機）應該始終能夠創建錄音，從而實現成功的分析。當錄音設備遠離聲音來源，或被遮蔽而無法聽到完整的音訊頻譜時，成功分析的幾率就會降低。

為了成功分析錄音，需要對會議音訊進行合理的錄製。如果會議音訊是在執行客戶端的同一台電腦上錄製的，則不應適用這些限制。

車載裝置 (內部 CA)

如果您的裝置已安裝至 Control Hub 組織，且您想要使用 Webex CA 自動產生其識別憑證，則不需要設備恢復出廠設備。

此程序會選取裝置用於識別自身的網域，只有在您的 Control Hub 組織中有多個網域時才需要。如果您擁有多個網域，我們建議您針對所有具有「Cisco 驗證」身份的裝置執行此操作。如果您沒有告訴 Webex 哪個網域識別設備，則會自動選擇一個，而其他會議參與者可能看起來錯誤。

在開始之前

如果您的裝置尚未登入，請遵循「註冊裝置至Cisco Webex使用 API 或本機 Web 介面」或「雲端入門」(Board)、桌面及房間系列。您還應該驗證您要用來識別管理網域中的設備的網域。

1	登入控制中心，然後在「管理」下選取「裝置」。
2	選取裝置以開啟其組態面板。
3	選取您要用來識別此裝置的網域。
4	對其他裝置重複執行。

內建裝置 (外部 CA)

在開始之前

取得每個裝置的 .pem 格式的 CA 簽署憑證和私密金鑰。
在「準備」標籤下，閱讀主題瞭解裝置的外部識別程序，
準備一個關於那裡的信息的 JWE 加密工具。
確保您有一個工具來生成給定長度的隨機字節序列。
確保您有一個工具來 base64url 編碼字節或文本。
確保您有一個書寫實現。
確保每個設備都有一個秘密單詞或短語。

1	使用純文本密碼填`入設備的`客戶端秘密：第一次填入秘密時，您`會`以純文字形式提供。這就是為什麼我們建議在實體設備控制台上執行此操作的原因。 Base64URL 編碼此設備的秘密短語。打開設備上的 TShell。運行 x `命令安全用戶端秘密填充密碼：「MDEymzq1NJC4owfiY2RLZG」` 上面的範例命令會使用短語 `01234567 89abc def 填入「秘密」。` 你需要自己選擇。該設備有其初始秘密。不要忘記這一點；您無法恢復它，必須原廠重置設備才能重新啟動。
2	連接您的憑證和私密金鑰：使用文字編輯器，開啟 .pem 檔案，將金鑰區塊貼到憑證區塊，然後將其儲存為新的 .pem 檔案。這是您將加密並放入 JWE BLOB 的有效負載文本。
3	創建一個 JWE BLOB 以用作憑證添加命令的輸入：創建至少 4 個字節的隨機序列。這是你的鹽使用您的寫字工具導出內容加密金鑰。為此，您需要密碼，鹽和密鑰長度以匹配您選擇的加密密碼。還有一些其他固定值需要提供（N = 32768，r = 8，p = 1）。裝置使用相同的程序和值來導出相同的內容加密金鑰。創建一個精確 12 個字節的隨機序列。這是您的初始化向量。建立 JOSE 標頭，設定 `alg、` `enc` 和 `cisco-kdf` 金鑰，如瞭解裝置的外部識別程序中所述。使用 JOSE 標頭中的鍵:值 `「cisco-action」:「add」設置「添加」動作（因為`我們正在將憑證添加到設備中）。基本 64 URL 編碼 JOSE 標頭。使用您的 JWE 加密工具與選定的密碼和 base64url 編碼的 JOSE 標頭來加密連接的 pem 文件中的文本。 Base64URL 編碼初始化向量、加密的 PEM 有效負載和驗證標籤。如下所示構建 JWE BLOB（所有值都是 base64url 編碼）： `約瑟標頭.. 初始向量。加密的 PEM.身份驗證標籤`
4	打開設備上的 TShell 並運行（多行）添加命令： `xcommand Security Certificates Services Add IsEncrypted: True your..JWE.str.ing\n .\n`
5	執行 `xcommand 安全性憑證服務顯示，確認已新增憑證` 複製新憑證的指紋。
6	針對 WebExIdentity 目的啟用`憑證：` 從憑證本身或從 `xcommand 安全憑證服務顯示的輸出來讀取憑證的指紋。` 創建至少 4 個字節的隨機序列，然後 base64url 編碼該序列。這是你的鹽使用您的寫字工具導出內容加密金鑰。為此，您需要密碼，鹽和密鑰長度以匹配您選擇的加密密碼。還有一些其他固定值需要提供（N = 32768，r = 8，p = 1）。裝置使用相同的程序和值來導出相同的內容加密金鑰。創建一個精確 12 個字節的隨機序列，然後 base64url 編碼該序列。這是您的初始化向量。建立 JOSE 標頭，設定 `alg、` `enc` 和 `cisco-kdf` 金鑰，如瞭解裝置的外部識別程序中所述。使用 JOSE 標頭中的鍵：值「`cisco-action」:「啟動」設置「激活」（因為我們正在激`活設備上的憑證）設置「激活」操作。基本 64 URL 編碼 JOSE 標頭。使用您的 JWE 加密工具搭配選定的密碼和 base64url 編碼 JOSE 標頭來加密憑證指紋。該工具應輸出 16 或 32 位元組序列，具體取決於您選擇 128 位元或 256 位元 AES-GCM，以及驗證標籤。 Base64URL 編碼加密指紋和身份驗證標籤。如下所示構建 JWE BLOB（所有值都是 base64url 編碼）： `JoseHeader.. 入口向量。加密的指紋。身份驗證標籤` 在設備上打開 TShell 並運行以下激活命令： `xcommand Security Certificates Services Activate Purpose: WebexIdentity Fingerprint: "Your..JWE.encrypted.fingerprint"` 該設備具有加密、有效的 CA 發行的憑證，可用於在端對端加密 Webex 會議中識別它。
7	將裝置上載至您的控制中樞組織。

使用身份驗證測試端對端加密

1	安排正確類型的會議（專業端Webex Meetings到端加密 _ 僅限 VoIP）。請參閱使用端對端加密安排 Webex 會議。
2	從Webex Meetings客戶身份主持人加入會議。請參閱使用端對端加密加密的 Webex 會議。
3	從已經 Webex CA 驗證其身份的裝置加入會議。
4	身為主持人，請確認此裝置出現在大廳中，並顯示正確的身分圖示。請參閱使用端對端加密加密的 Webex 會議。
5	從已經外部 CA 驗證其身份的裝置加入會議。
6	身為主持人，請確認此裝置出現在大廳中，並顯示正確的身分圖示。進一步了解身分圖示。
7	以未經驗證的會議參與者身分加入會議。
8	身為主持人，驗證該參與者出現在大廳中，並帶有正確的身分圖示。
9	作為主持人，接受或拒絕人/設備。
10	在可能的情況下，通過檢查憑證來驗證參與者/設備身份。
11	檢查會議中的每個人都看到相同的會議安全性代碼。
12	與新參與者加入會議。
13	檢查每個人都看到相同的新會議安全性代碼。

設定範圍和期望

您是否要將端對端加密會議設為默認會議選項，還是僅對某些用戶啟用它，還是允許所有主持人決定？當您決定要如何使用此功能時，請準備將使用它的用戶，尤其是在會議中的限制以及期待什麼時候。
您是否需要確保 Cisco 或其他任何人都無法解密您的內容或模仿您的裝置？如果是這樣，您需要來自公共 CA 的憑證。
如果您的身分驗證層級不同，請授權使用者使用憑證支援的身分相互驗證。即使在某些情況下，參與者可以顯示為未經驗證，並且參與者應該知道如何檢查，但未經驗證的人可能不是欺騙者。

身分管理

如果您使用外部 CA 來發行裝置憑證，則監視、重新整理和重新套用憑證的責任由您負責。

如果您創建了初始密碼，請了解您的用戶可能希望更改其設備的秘密。您可能需要創建一個接口/分發工具，以使它們能夠執行此操作。

工作階段類型 ID

表一端對端加密會議的工作階段類型 ID
工作階段類型 ID	公共服務名稱
638	僅 E2E 加密+VoIP 加密
652	Pro-End to End Encryption_VOIPonly
660	Pro 3 Free-End to End Encryption_VOIPonly E2E 加密 + 身分
672	Pro 3 Free50-End to End Encryption_VOIPonly
673	Education Instructor E2E Encryption_VOIPonly
676	Broadworks Standard 加端對端加密
677	Broadworks Premium 加端對端加密
681	Schoology Free 加端對端加密

相關的 XAPI 命令

這些表格描述了我們為端對端加密會議和驗證身份新增的 Webex 裝置 API 命令。如需如何使用 API 的詳細資訊，請參閱存取主機板、桌面和房間系列裝置的 API。

這些 xAPI 命令僅適用於以下其中一種裝置：

已註冊至 Webex
已註冊內部部署並連結至適用於裝置的 Webex Edge Webex

表二用於端對端加密會議和驗證身份的系統層級 API
API 呼叫	說明
`X 組態會議端點加密身份偏好的網域：「example.com」`	當管理員從 Control Hub 設定裝置的偏好網域時，就會進行此設定。僅在組織擁有多個網域時必要。當裝置向 Webex CA 要求憑證時使用此網域。然後，網域識別設備。當裝置具有使用中的外部發行憑證來識別自身時，此組態不適用。
`XStatus 會議結束時間加密可用性`	指出裝置是否可以加入端對端加密會議。雲 API 調用它，以便配對的應用程序知道它是否可以使用設備加入。
`XStatus 會議結束進行外部加密身份驗證`	指出裝置是否使用`外部驗`證（具有外部發行的憑證）。
`XStatus 會議結束加密外部身分識別`	從外部發行憑證的通用名稱讀取的裝置身份。
`XStatus 會議結束加密外部身份證書鏈憑證 # 特定信息`	從外部發行的憑證讀取特定資訊。在所示的命令中`，用憑證編號取代 #`。用以下`其中一個取`代特定信息： `指紋` `注意事項之後有效結束`日期 `不在有效開始`日期之前 `主要名稱` `公開鍵算法` `序列號` `簽名演算法` `主旨 # 名稱`證書的主題清單（例如電子郵件地址或網域名稱）有`效`性提供此憑證的有效狀態（例如`有效`或`過期`）
`XStatus 會議結束時間加密外部身份識別狀態`	裝置外部身份的狀態（例如`有效`或`錯誤`）。
`XStatus 會議結束時間加密內部身份驗證`	指出裝置是否具有由 Webex CA 發行的有效憑證。
`XStatus 會議結束時間加密內部身分識別`	從 Webex 發行的憑證的通用名稱讀取的裝置身份。如果組織有網域，則包含網域名稱。如果組織沒有網域，則為空。如果裝置位於具有多個網域的組織中，則這是偏好網域中`的值。`
`XStatus 會議結束密碼內部身份證書鏈證書 # 特定信息`	讀取 Webex 發行的憑證中的特定資訊。在所示的命令中`，用憑證編號取代 #`。用以下`其中一個取`代特定信息： `指紋` `注意事項之後有效結束`日期 `不在有效開始`日期之前 `主要名稱` `公開鍵算法` `序列號` `簽名演算法` `主旨 # 名稱`證書的主題清單（例如電子郵件地址或網域名稱）有`效`性提供此憑證的有效狀態（例如`有效`或`過期`）

表三用於端對端加密會議和驗證身份的呼叫 API
API 呼叫	說明
`xEvent 會議參與者名單已新增` `xEvent 會議參與者名單最新` `xEvent 會議參與者名單已刪除`	`這三個事件現在包括受影響參與者的 EndToEndenCryptionStatus、EndToEndenCryptionIdentity 和 EndToEn denCryptionCertInfo。`

表四用於端對端加密會議和驗證身份的 ClientSecret 相關 API
API 呼叫	說明
`XCommand 安全用戶端秘密填入密碼：「base64url 編碼」` 或 `XCommand 安全用戶端秘密填充密碼：JWEblob`	接受 base64url 編碼的純文本值，以第一次在設備上植用戶端密碼。要在第一次之後更新密碼，您必須提供一個 JWE BLOB，其中包含由舊密碼加密的新密碼。
`XCommand 安全性憑證服務新增 JWeBlob`	新增憑證 (含私密金鑰)。我們擴展此命令以接受包含加密 PEM 數據的 JWE BLOB。
`XCommand 安全憑證服務激活目的：WebEx 身份指紋：JWeBlob`	啟用 WebExIdentity 的特定憑證。為此`目的`，該命令要求識別指紋在 JWE BLOB 中加密和序列化。
`XCommand 安全憑證服務停用目的:WebEx 身份指紋：JWeBlob`	停用 WebExIdentity 的特定憑證。為此`目的`，該命令要求識別指紋在 JWE BLOB 中加密和序列化。

1	使用純文本密碼填`入設備的`客戶端秘密：第一次填入秘密時，您`會`以純文字形式提供。這就是為什麼我們建議在實體設備控制台上執行此操作的原因。 Base64URL 編碼此設備的秘密短語。打開設備上的 TShell。運行 x `命令安全用戶端秘密填充密碼：「MDEymzq1NJC4owfiY2RLZG」` 上面的範例命令會使用短語 `01234567 89abc def 填入「秘密」。` 你需要自己選擇。該設備有其初始秘密。不要忘記這一點；您無法恢復它，必須原廠重置設備才能重新啟動。
2	連接您的憑證和私密金鑰：使用文字編輯器，開啟 .pem 檔案，將金鑰區塊貼到憑證區塊，然後將其儲存為新的 .pem 檔案。這是您將加密並放入 JWE BLOB 的有效負載文本。
3	創建一個 JWE BLOB 以用作憑證添加命令的輸入：創建至少 4 個字節的隨機序列。這是你的鹽使用您的寫字工具導出內容加密金鑰。為此，您需要密碼，鹽和密鑰長度以匹配您選擇的加密密碼。還有一些其他固定值需要提供（N = 32768，r = 8，p = 1）。裝置使用相同的程序和值來導出相同的內容加密金鑰。創建一個精確 12 個字節的隨機序列。這是您的初始化向量。建立 JOSE 標頭，設定 `alg、` `enc` 和 `cisco-kdf` 金鑰，如瞭解裝置的外部識別程序中所述。使用 JOSE 標頭中的鍵:值 `「cisco-action」:「add」設置「添加」動作（因為`我們正在將憑證添加到設備中）。基本 64 URL 編碼 JOSE 標頭。使用您的 JWE 加密工具與選定的密碼和 base64url 編碼的 JOSE 標頭來加密連接的 pem 文件中的文本。 Base64URL 編碼初始化向量、加密的 PEM 有效負載和驗證標籤。如下所示構建 JWE BLOB（所有值都是 base64url 編碼）： `約瑟標頭.. 初始向量。加密的 PEM.身份驗證標籤`
4	打開設備上的 TShell 並運行（多行）添加命令： `xcommand Security Certificates Services Add IsEncrypted: True your..JWE.str.ing\n .\n`
5	執行 `xcommand 安全性憑證服務顯示，確認已新增憑證` 複製新憑證的指紋。
6	針對 WebExIdentity 目的啟用`憑證：` 從憑證本身或從 `xcommand 安全憑證服務顯示的輸出來讀取憑證的指紋。` 創建至少 4 個字節的隨機序列，然後 base64url 編碼該序列。這是你的鹽使用您的寫字工具導出內容加密金鑰。為此，您需要密碼，鹽和密鑰長度以匹配您選擇的加密密碼。還有一些其他固定值需要提供（N = 32768，r = 8，p = 1）。裝置使用相同的程序和值來導出相同的內容加密金鑰。創建一個精確 12 個字節的隨機序列，然後 base64url 編碼該序列。這是您的初始化向量。建立 JOSE 標頭，設定 `alg、` `enc` 和 `cisco-kdf` 金鑰，如瞭解裝置的外部識別程序中所述。使用 JOSE 標頭中的鍵：值「`cisco-action」:「啟動」設置「激活」（因為我們正在激`活設備上的憑證）設置「激活」操作。基本 64 URL 編碼 JOSE 標頭。使用您的 JWE 加密工具搭配選定的密碼和 base64url 編碼 JOSE 標頭來加密憑證指紋。該工具應輸出 16 或 32 位元組序列，具體取決於您選擇 128 位元或 256 位元 AES-GCM，以及驗證標籤。 Base64URL 編碼加密指紋和身份驗證標籤。如下所示構建 JWE BLOB（所有值都是 base64url 編碼）： `JoseHeader.. 入口向量。加密的指紋。身份驗證標籤` 在設備上打開 TShell 並運行以下激活命令： `xcommand Security Certificates Services Activate Purpose: WebexIdentity Fingerprint: "Your..JWE.encrypted.fingerprint"` 該設備具有加密、有效的 CA 發行的憑證，可用於在端對端加密 Webex 會議中識別它。
7	將裝置上載至您的控制中樞組織。

Cisco AI Assistant

感謝您的意見回饋。