Cisco CallManager セキュリティ ガイド Release 5.0(1)

Name

セキュリティ プロファイルの名前を入力します。

デバイスがプロファイルをサポートする場合、Phone Configuration ウィンドウの SCCP Phone Security Profile ドロップダウン リスト ボックスに名前が表示されます。

Description

セキュリティ プロファイルの説明を入力します。

Device Security Mode

ドロップダウン ボックスから、次のオプションのいずれか 1 つを選択します。

• Non Secure ：電話機にイメージ認証以外のセキュリティ機能はない。TCP 接続で Cisco CallManager が利用できる。

• Authenticated ：Cisco CallManager は電話機の整合性と認証を提供する。NULL/SHA を使用する TLS 接続を開始する。

• Encrypted ：Cisco CallManager は電話機の整合性、認証、および暗号化を提供する。シグナリング用に AES128/SHA を使用する TLS 接続を開始し、すべての電話機コールのメディアを SRTP で搬送する。

Authentication Mode

Certificate Authority Proxy Function で使用します。このフィールドで、Phone Configuration ウィンドウで設定した証明書の操作中に、電話機が CAPF で認証するために使用する方式を選択できます。

ドロップダウン ボックスから、次のオプションのいずれか 1 つを選択します。

• By Authentication String ：ユーザが電話機に CAPF 認証文字列を入力した場合だけ、ローカルで有効な証明書をインストール、アップグレード、削除、またはトラブルシューティングします。

• By Null String ：ユーザが介入することなく、ローカルで有効な証明書をインストール、アップグレード、削除、またはトラブルシューティングします。

このオプションではセキュリティを一切提供しません。したがって、このオプションは安全な閉じた環境の場合にだけ選択することを強く推奨します。

• By Existing Certificate (Precedence to LSC) ：製造元でインストールされる証明書（MIC）またはローカルで有効な証明書（LSC）が電話機に存在する場合、LSC をインストール、アップグレード、削除、またはトラブルシューティングします。LSC が電話機に存在する場合、MIC が電話機に存在するかどうかに関係なく、認証は LSC を介して行われます。MIC と LSC が電話機に存在する場合、認証は LSC を介して行われます。電話機に LSC が存在せず、MIC が存在する場合、認証は MIC を介して行われます。

このオプションを選択する前に、証明書が電話機に存在することを確認します。このオプションを選択した場合に証明書が電話機に存在しないと、操作は失敗します。

MIC と LSC は電話機で同時に存在できるものの、電話機は常に 1 つの証明書だけを使用して CAPF を認証します。優先されるプライマリ証明書が何らかの理由で侵害された場合、あるいは他の証明書を介して認証する場合には、認証モードを更新する必要があります。

• By Existing Certificate (Precedence to MIC) ：LSC または MIC が電話機に存在する場合、LSC をインストール、アップグレード、削除、またはトラブルシューティングします。MIC が電話機に存在する場合、LSC が電話機に存在するかどうかに関係なく、認証は MIC を介して行われます。電話機に LSC だけが存在し MIC が存在しない場合、認証は LSC を介して行われます。

このオプションを選択する前に、証明書が電話機に存在することを確認します。このオプションを選択した場合に証明書が電話機に存在しないと、操作は失敗します。

Key Size

CAPF で使用します。ドロップダウン リスト ボックスから証明書の鍵サイズを選択します。デフォルト設定値は 1024 です。これ以外のオプションには、512 と 2048 があります。

デフォルト設定値よりも大きな鍵サイズを選択すると、電話機で鍵生成に必要なエントロピーを生成するためにさらに時間がかかります。鍵生成を低いプライオリティで設定すると、アクションの実行中も電話機の機能を利用できます。電話機モデルによっては、鍵生成の完了に 30 分以上かかることがあります。

Name

セキュリティ プロファイルの名前を入力します。

ヒント デバイスに正しいプロファイルを適用できるように、セキュリティ プロファイル名にはデバイス モデルを含めます。

Description

セキュリティ プロファイルの説明を入力します。

Nonce Validity Time

ナンス値は、ダイジェスト認証をサポートするランダム値で、ダイジェスト認証パスワードの MD5 ハッシュの計算に使用されます。

ナンス値が有効な時間を秒単位で入力します。デフォルト値は 600（10 分）です。この時間が経過すると、Cisco CallManager は新しい値を生成します。

Device Security Mode

ドロップダウン ボックスから、次のオプションのいずれか 1 つを選択します。

• Non Secure ：電話機にイメージ認証以外のセキュリティ機能はない。TCP 接続で Cisco CallManager が利用できる。

• Authenticated ：Cisco CallManager は電話機の整合性と認証を提供する。NULL/SHA を使用する TLS 接続を開始する。

• Encrypted ：Cisco CallManager は電話機の整合性、認証、および暗号化を提供する。シグナリング用に AES128/SHA を使用する TLS 接続を開始し、すべての電話機コールのメディアを SRTP で搬送する。

Transport Type

ドロップダウン ボックスから、次のオプションのいずれか 1 つを選択します。

• TCP ：パケットを送信された順に受信するには、Transmission Control Protocol を選択します。このプロトコルは、パケットがドロップされないことを保証しますが、セキュリティは提供しません。

• UDP ：パケットを高速に受信するには、User Datagram Protocol を選択します。このプロトコルは、パケットをドロップすることがあり、送信された順に受信するとは限りません。セキュリティは提供しません。

• TLS ：SIP 電話機のシグナリング整合性、デバイス認証、シグナリング暗号化を保証するには、Transport Layer Security プロトコルを選択します。

認証のみをサポートするデバイスの場合、TLS_RSA_WITH_NULL_SHA アルゴリズムが使用されます。

認証と暗号化をサポートするデバイスの場合、TLS_RSA_WITH_AES128_SHA が使用されます。

• TCP + UDP ：TCP と UDP を組み合せて使用するには、このオプションを選択します。このオプションは、セキュリティを提供しません。

Enable Digest Authentication

電話機から Cisco CallManager に要求を送信したときに、Cisco CallManager が電話機の ID でチャレンジを行うようにするには、このチェックボックスをオンにします。Cisco CallManager が ID でチャレンジを行った後、電話機は MD5 チェックサムで応答し、Cisco CallManager Administration で設定したクレデンシャルに基づいて Cisco CallManager が情報を検証します。クレデンシャルが一致した場合、電話機のダイジェスト認証は成功します。

このチェックボックスをオンにすると、Cisco CallManager は、電話機からのすべての SIP 要求でチャレンジを行います。

ヒント ダイジェスト認証クレデンシャルは、Cisco CallManager
Administration の End User ウィンドウで指定します。ユーザを設定した後でクレデンシャルを電話機に関連付けるには、Phone Configuration ウィンドウで Digest User（エンド ユーザ）を選択します。

ダイジェスト認証は、整合性や信頼性を提供しません。電話機の整合性と信頼性を保証するには、Transport Type を TLS に設定し、デバイス セキュリティ モードを暗号化に設定します。

（注） ダイジェスト認証の詳細については、「ダイジェスト認証」および第 8 章「SIP 電話機のダイジェスト認証の設定」を参照してください。

Authentication Mode

CAPF で使用します。このフィールドで、Phone Configuration ウィンドウで設定した証明書の操作中に、電話機が CAPF で認証するために使用する方式を選択できます。

ドロップダウン ボックスから、次のオプションのいずれか 1 つを選択します。

• By Authentication String ：ユーザが電話機に CAPF 認証文字列を入力した場合だけ、ローカルで有効な証明書をインストール、アップグレード、またはトラブルシューティングします。

• By Null String ：ユーザが介入することなく、ローカルで有効な証明書をインストール、アップグレード、またはトラブルシューティングします。

このオプションではセキュリティを一切提供しません。したがって、このオプションは安全な閉じた環境の場合にだけ選択することを強く推奨します。

• By Existing Certificate (Precedence to LSC) ：製造元でインストールされる証明書（MIC）またはローカルで有効な証明書（LSC）が電話機に存在する場合、LSC をインストール、アップグレード、またはトラブルシューティングします。LSC が電話機に存在する場合、MIC が電話機に存在するかどうかに関係なく、認証は LSC を介して行われます。電話機に LSC が存在せず、MIC が存在する場合、認証は MIC を介して行われます。

このオプションを選択する前に、証明書が電話機に存在することを確認します。このオプションを選択した場合に証明書が電話機に存在しないと、操作は失敗します。

MIC と LSC は電話機で同時に存在できるものの、電話機は常に 1 つの証明書だけを使用して CAPF を認証します。優先されるプライマリ証明書が何らかの理由で侵害された場合、あるいは他の証明書を介して認証する場合には、認証モードを更新する必要があります。

• By Existing Certificate (Precedence to MIC) ：LSC または MIC が電話機に存在する場合、LSC をインストール、アップグレード、またはトラブルシューティングします。MIC が電話機に存在する場合、LSC が電話機に存在するかどうかに関係なく、認証は MIC を介して行われます。電話機に LSC だけが存在し MIC が存在しない場合、認証は LSC を介して行われます。

このオプションを選択する前に、証明書が電話機に存在することを確認します。このオプションを選択した場合に証明書が電話機に存在しないと、操作は失敗します。

Key Size

CAPF で使用します。ドロップダウン リスト ボックスから証明書の鍵サイズを選択します。デフォルト設定値は 1024 です。これ以外のオプションには、512 と 2048 があります。

デフォルト設定値よりも大きな鍵サイズを選択すると、電話機で鍵生成に必要なエントロピーを生成するためにさらに時間がかかります。鍵生成を低いプライオリティで設定すると、アクションの実行中も電話機の機能を利用できます。電話機モデルによっては、鍵生成の完了に 30 分以上かかることがあります。

SIP Phone Port

Cisco SIP IP Phone が、Cisco CallManager からの SIP メッセージの傍受に使用するポート番号を入力します。デフォルト設定は 5060 です。