暗号化された TFTP 設定ファイルの概要
TFTP 設定ファイルを暗号化するには、[Cisco Unified CM Administration] に移動して、[システム(System)] > [セキュリティ(Security)] > [電話セキュリティ プロファイル(Phone Security Profile)] の順に選択し、[TFTP 暗号化設定(TFTP Encrypted Config)] チェックボックスをオンにします。
[TFTP 暗号化設定(TFTP Encrypted Config)] オプションを有効にした後、[Unified Communications Manager Administration] および電話機で必要なパラメータを設定してから [Cisco Unified Serviceability] で必要なサービスを再起動すると、TFTP サーバは次の作業を実行します。
-
ディスク上のプレーン テキストの設定ファイルをすべて削除します
-
設定ファイルの暗号化バージョンの生成
電話が暗号化された電話設定ファイルをサポートしており、電話設定ファイルの暗号化に必要なタスクを行った場合は、暗号化バージョンの設定ファイルが必須です。
警告 |
TFTP 暗号化設定が False であるが、SIP を実行している電話でダイジェスト認証が True に設定されている場合、ダイジェスト クレデンシャルがクリア テキストで送信される可能性があります。 |
一部の電話は、暗号化された電話設定ファイルをサポートしていません。電話のモデルとプロトコルによって、設定ファイルの暗号化方法が決定します。サポートされる方式は、Unified Communications Manager の機能と暗号化設定ファイルをサポートするファームウェア ロードに依存します。電話のファームウェア ロードを、暗号化に対応していないバージョンにまでダウングレードすると、TFTP サーバは最低限の設定を行う平文の設定ファイルを送ります。この場合、電話が期待された機能を発揮できないことがあります。
キー情報のプライバシーを確実に維持できるように、暗号化された電話機設定ファイルに関連するタスクをセキュアな環境で実行することが強く推奨されます。
Unified Communications Manager は次の方式をサポートしています。
- 手動キー配布
- 電話の公開キーによる対称キー暗号化
手動キー配布と電話の公開キーによる対称キー暗号化のための設定情報は、混合モードが設定済みで、[Unified Communications Manager Administration] の [TFTP Encrypted Config] パラメータが有効になっていることを前提としています。
手動キー配布
手動キー配布を使用すると、電話リセット後に、Unified Communications Manager データベースに保存された 128 ビットまたは 256 ビットの対称キーを使用して電話設定ファイルが暗号化されます。電話モデルのキー サイズを判別する。
設定ファイルを暗号化するために、管理者はキーを手動で入力することも、Unified Communications Manager に [Phone Configuration] ウィンドウで生成させることもできます。データベースにキーが存在するようになった後、管理者またはユーザは電話のユーザ インターフェイスにアクセスしてキーを電話に入力する必要があります。[Accept] ソフトキーを押すと、電話はすぐにキーをフラッシュに保存します。キーの入力以降、電話はリセット後に暗号化された設定ファイルを要求します。必要なタスクが実行された後、RC4 または AES 128 暗号化アルゴリズムを使用して、対称キーにより設定ファイルが暗号化されます。どの電話機が RC4 または AES 128 暗号化アルゴリズムを使用するかを確認するには、「暗号化をサポートする電話モデル」を参照してください。
電話に対称キーが含まれる場合、その電話は暗号化された設定ファイルを常に要求します。Unified Communications Manager によって、TFTP サーバによって署名された暗号化設定ファイルが電話にダウンロードされます。すべての電話タイプで設定ファイルの署名者が検証されるわけではありません。
電話はフラッシュに保存された対称キーを使用して、ファイルの内容を復号します。復号に失敗すると、設定ファイルが電話に適用されません。
ヒント |
[TFTP Encrypted Config] の設定が無効にされた場合、管理者は電話の GUI で対称キーを削除する必要があります。これにより、次回リセットされたときに電話が暗号化されていない設定ファイルを要求します。 |
電話の公開キーによる対称キーの暗号化
製造元でインストールされる証明書(MIC)またはローカルで有効な証明書(LSC)が電話に含まれている場合、電話には公開キーと秘密キーのペアが含まれ、これらのキーは PKI 暗号化に使用されます。
この方法を初めて使用する場合、電話は設定ファイルにある電話の証明書の MD5 ハッシュと LSC または MIC の MD5 ハッシュとを比較します。電話で問題が特定されない場合、電話はリセット後に暗号化された設定ファイルを TFTP サーバに要求します。電話が問題を特定した場合、たとえばハッシュが一致しない、電話に証明書がない、MD5 値がブランクであるなどの場合、電話は CAPF 認証モードが [By Authentication String] に設定されていない限り、CAPF とのセッションを開始しようとします([By Authentication String] に設定されている場合は文字列の手動入力が必要です)。Certificate Authority Proxy Function(CAPF)は Cisco IP Phone を Unified Communications Manager に対して認証し、電話の証明書(LSC)を発行します。CAPF は、LSC または MIC から電話の公開キーを抽出し、MD5 ハッシュを生成し、Unified Communications Manager データベースに公開キーの値および証明書ハッシュを保存します。公開キーがデータベースに格納された後、電話はリセットされ、新しい設定ファイルが要求されます。
公開キーがデータベースに保存され電話がリセットされた後、データベースが TFTP に電話の公開キーが存在することを通知すると、対称キー暗号化プロセスが開始されます。TFTP サーバは 128 ビット対称キーを生成します。これにより、Advanced Encryption Standard(AES)128 暗号化アルゴリズムで設定ファイルが暗号化されます。次に、電話の公開キーで対称キーが暗号化され、設定ファイルの署名付きエンベロープ ヘッダーに含まれます。電話はファイルの署名を確認し、署名が有効であれば、電話は LSC または MIC の秘密キーを使用して暗号化された対称キーを復号化します。次に、対称キーによってファイルの内容が復号化されます。
設定ファイルを更新するたびに、TFTP サーバは自動的にファイルを暗号化するための新しいキーを生成します。
ヒント |
この暗号化方式をサポートする電話では、設定ファイルの暗号化設定フラグを使用して、暗号化ファイルを要求するかまたは非暗号化ファイルを要求するかを判断します。[TFTP Encrypted Config] 設定が無効な場合に、この暗号化方式をサポートする Cisco IP Phone が暗号化ファイル(.enc.sgn ファイル)を要求すると、Unified Communications Manager は [file not found error] エラーを電話に送信します。次に、電話は暗号化されていない署名付きファイル(.sgn ファイル)を要求します。 [TFTP Encrypted Config] 設定が有効な場合に、電話が何らかの理由で暗号化されていない設定ファイルを要求すると、TFTP サーバは最小限の設定を含む暗号化されていないファイルを提供します。電話は最小限の設定を受信した後、キーの不一致などのエラー状態を検出でき、CAPF でセッションを開始して電話の公開キーと Unified Communications Manager データベースを同期できます。エラー条件が解決されると、電話は次回リセットされるときに暗号化された設定ファイルを要求します。 |