イメージ認証(Image authentication)
|
署名付きのバイナリ ファイル(拡張子 .sgn)によって、ファームウェア イメージが電話機へのロード前に改ざんされることを防止します。
イメージが改ざんされると、電話機は認証プロセスに失敗し、新しいイメージを拒否します。
|
イメージの暗号化
|
暗号化バイナリ ファイル(拡張子 .sebn)によって、ファームウェア イメージが電話機へのロード前に改ざんされることを防止します。
イメージが改ざんされると、電話機は認証プロセスに失敗し、新しいイメージを拒否します。
|
カスタマー サイト証明書のインストール
|
各 Cisco IP 電話は、デバイス認証に一意の証明書を必要とします。電話機には Manufacturing Installed Certificate(MIC; 製造元でインストールされる証明書)が含まれますが、追加のセキュリティについては、Cisco
Unified Communications Manager の管理ページで、Certificate Authority Proxy Function(CAPF; 認証局プロキシ関数)を使用して証明書のインストールを指定できます。あるいは、電話機の
[セキュリティ設定(Security Configuration)] メニューからローカルで有効な証明書(LSC)をインストールします。
|
デバイス認証(Device authentication)
|
Cisco Unified Communications Manager サーバと電話機間で、一方のエンティティが他方のエンティティの証明書を受け入れるときに行われます。電話機と Cisco Unified Communications Manager
の間でセキュアな接続を確立するかどうかを判別し、必要に応じて TLS プロトコルを使用してエンティティ間にセキュアなシグナリング パスを作成します。Cisco Unified Communications Manager では、認証できない電話機は登録されません。
|
ファイル認証(File authentication)
|
電話機がダウンロードするデジタル署名ファイルを検証します。ファイルの作成後、ファイルの改ざんが発生しないように、電話機でシグニチャを検証します。認証できないファイルは、電話機のフラッシュ メモリに書き込まれません。電話機はこのようなファイルを拒否し、処理を続行しません。
|
ファイルの暗号化
|
暗号化により、ファイルの機密性の高い情報が電話機に転送される間に漏えいしないように保護されます。さらに、電話機でも、ファイルが作成後に改ざんされていないことを、署名を確認することで確認します。認証できないファイルは、電話機のフラッシュ メモリに書き込まれません。電話機はこのようなファイルを拒否し、処理を続行しません。
|
シグナリング認証
|
TLS プロトコルを使用して、シグナリング パケットが転送中に改ざんされていないことを検証します。
|
Manufacturing Installed Certificate(製造元でインストールされる証明書)
|
各 Cisco IP 電話には、固有の製造元でインストールされる証明書(MIC)が内蔵されており、デバイス認証に使用されます。MIC は、個々の電話機を識別するために長期的に割り当てられた証明を提供し、Cisco Unified Communications
Manager はこれを使用して電話機を認証します。
|
メディア暗号化
|
SRTP を使用して、サポート対象デバイス間のメディア ストリームがセキュアであること、および意図したデバイスのみがデータを受信し、読み取ることを保証します。デバイスのメディア マスターのキー ペアの作成、デバイスへのキーの配布、キーが転送される間のキーの配布のセキュリティの確保などが含まれます。
|
CAPF(Certificate Authority Proxy Function)
|
電話機に非常に高い処理負荷がかかる、証明書生成手順の一部を実装します。また、キーの生成および証明書のインストールのために電話機と対話します。電話機の代わりに、お客様指定の認証局に証明書を要求するよう CAPF を設定できます。または、ローカルで証明書を生成するように
CAPF を設定することもできます。
|
セキュリティ プロファイル
|
電話機がセキュリティ保護、認証、または暗号化の対象になるかどうかを定義します。この表の他の項目は、セキュリティ機能について説明しています。
|
暗号化された設定ファイル(Encrypted configuration files)
|
電話機の設定ファイルのプライバシーを確保できるようにします。
|
電話機の Web サーバの無効化(オプション)
|
セキュリティ上の目的で、電話機の Web ページ(ここには電話機のさまざまな処理の統計情報が表示される)とセルフ ケア ポータルへのアクセスを防止できます。
|
電話のセキュリティ強化(Phone hardening)
|
Cisco Unified Communications Manager の管理ページから制御する追加セキュリティ オプションです。
- PC ポートの無効化
- Gratuitous ARP(GARP)の無効化
- PC ボイス VLAN アクセスの無効化
- [設定(Setting)] メニューへのアクセスの無効化。または、[設定(Preferences)] メニューにアクセスすること、音量の変更を保存することのみ可能な、限定的なアクセスの提供
- 電話機の Web ページへのアクセスの無効化
- Bluetooth アクセサリ ポートの無効化
-
TLS 暗号の制限
|
802.1X 認証
|
Cisco IP 電話は 802.1X 認証を使用して、ネットワークへのアクセスの要求およびネットワーク アクセスができます。詳細については、「802.1X 認証」を参照してください。
|
SRST 向けのセキュアな SIP フェールオーバー
|
セキュリティ目的で Survivable Remote Site Telephony(SRST)リファレンスを設定してから、Cisco Unified Communications Manager の管理ページで従属デバイスをリセットすると、TFTP
サーバは電話機の cnf.xml ファイルに SRST 証明書を追加し、そのファイルを電話機に送信します。その後、セキュアな電話機は TLS 接続を使用して、SRST 対応ルータと相互に対話します。
|
シグナリング暗号化
|
デバイスと Cisco Unified Communications Manager サーバの間で送信されるすべての SIP シグナリング メッセージが暗号化されるようにします。
|
信頼リストの更新アラーム
|
電話機で信頼リストが更新されると、Cisco Unified Communications Manager は更新の成功または失敗を示すアラームを受信します。詳細については、以下の表を参照してください。
|
AES 256 暗号化(AES 256 Encryption)
|
Cisco Unified Communications Manager リリース 10.5(2)以降の 以降に接続している電話機は、シグナリングとメディア暗号化に関する TLS および SIP の AES 256 暗号化をサポートします。これにより電話機は、SHA-2(Secure
Hash Algorithm)標準および Federal Information Processing Standard(FIPS)に準拠する AES-256 ベースの暗号を使用して TLS 1.2 接続を開始し、サポートすることができます。暗号は次のとおりです。
- TLS 接続用:
- TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
- TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
- sRTP 用:
- AEAD_AES_256_GCM
- AEAD_AES_128_GCM
詳細については、Cisco Unified Communications Manager のマニュアルを参照してください。
|
楕円曲線デジタル署名アルゴリズム(ECDSA)証明書
|
コモン クライテリア(共通基準、CC)認証の一部として、バージョン 11.0 の ECDSA 証明書が Cisco Unified Communications Manager によって追加されました。これはバージョン CUCM 11.5 およびそれ以降からのすべての
Voice Operating System(VOS)製品に影響を与えます。
|