この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
目次
セキュリティ機能を使用すると、なりすましやデータ改ざんの脅威から電話機を保護できます。 セキュリティ機能は、電話機と Cisco Unified Communications Manager サーバ間に認証された通信ストリームを確立し、これを維持するとともに、電話機がデジタル署名されたファイルのみ使用することを確認します。
Cisco Unified Communications Manager Release 8.5(1) 以降にはデフォルトでセキュリティ機能が搭載されており、CTL クライアントを実行しなくても、Cisco IP Phone に次のセキュリティ機能が提供されます。
(注) |
シグナリングおよびメディア機能を保護するには、引き続き、CTL クライアントを実行し、ハードウェア eToken を使用する必要があります。 |
Cisco Unified Communications Manager システムにセキュリティを実装すると、電話機や Cisco Unified Communications Manager サーバの ID 盗用、データの改ざん、およびコール シグナリングとメディア ストリームの改ざんを防止できます。
これらの脅威を軽減するため、Cisco Unified IP テレフォニー ネットワークは、電話機とサーバの間にセキュアな(暗号化された)通信ストリームを確立し、維持します。ファイルはデジタル署名してから電話機に転送し、Cisco IP Phone 間では、メディア ストリームとコール シグナリングを暗号化します。
認証局プロキシ関数(CAPF)に関連付けられた必要なタスクの実行後、ローカルで有効な証明書(LSC)が電話機にインストールされます。 LSC は Cisco Unified Communications Manager の管理ページで設定できます。詳細については、『Cisco Unified Communications Manager Security Guide』を参照してください。 あるいは、電話機の [セキュリティのセットアップ(Security Setup)] メニューから LSC のインストールを開始することもできます。 このメニューでは、LSC の更新および削除も実行できます。
Cisco IP Phones 8811、8841、8851、8851NR、8861 では、電話セキュリティ プロファイルを使用します。このプロファイルでは、デバイスがセキュアかどうかが定義されています。 電話セキュリティ プロファイルの電話機への適用については、『Cisco Unified Communications Manager Security Guide』を参照してください。
Cisco Unified CM の管理でセキュリティ関連の設定を行うと、電話機の設定ファイルに重要な情報が保存されます。 設定ファイルのプライバシーを確保するには、そのファイルを暗号化用に設定する必要があります。 詳細については、『Cisco Unified Communications Manager Security Guide』の「Configuring Encrypted Phone Configuration Files」の章を参照してください。
次の表に、電話機でサポートされるセキュリティ機能の概要を示します。 これらの機能と、Cisco Unified Communications Manager および Cisco IP Phone のセキュリティの詳細については、『Cisco Unified Communications Manager Security Guide』を参照してください。
電話機の現在のセキュリティ設定を確認するには、 を押し、 を選択します。
機能 |
説明 |
---|---|
イメージ認証 |
署名付きのバイナリ ファイル(拡張子 .sgn)によって、ファームウェア イメージが電話機へのロード前に改ざんされることを防止します。 イメージが改ざんされると、電話機は認証プロセスに失敗し、新しいイメージを拒否します。 |
イメージの暗号化 |
暗号化バイナリ ファイル(拡張子 .sebn)によって、ファームウェア イメージが電話機へのロード前に改ざんされることを防止します。 イメージが改ざんされると、電話機は認証プロセスに失敗し、新しいイメージを拒否します。 |
カスタマー サイト証明書のインストール |
各 Cisco IP Phone は、デバイス認証に一意の証明書を必要とします。 電話機には Manufacturing Installed Certificate(MIC; 製造元でインストールされる証明書)が含まれますが、追加のセキュリティについては、Cisco Unified Communications Manager の管理ページで、Certificate Authority Proxy Function(CAPF; 認証局プロキシ関数)を使用して証明書のインストールを指定できます。 あるいは、電話機の [セキュリティ設定(Security Configuration)] メニューからローカルで有効な証明書(LSC)をインストールします。 |
デバイス認証 |
Cisco Unified Communications Manager サーバと電話機間で、一方のエンティティが他方のエンティティの証明書を受け入れるときに行われます。 電話機と Cisco Unified Communications Manager の間でセキュアな接続を確立するかどうかを判別し、必要に応じて TLS プロトコルを使用してエンティティ間にセキュアなシグナリング パスを作成します。 Cisco Unified Communications Manager では、認証できない電話機は登録されません。 |
ファイル認証 |
電話機がダウンロードするデジタル署名ファイルを検証します。 ファイルの作成後、ファイルの改ざんが発生しないように、電話機でシグニチャを検証します。 認証できないファイルは、電話機のフラッシュ メモリに書き込まれません。 電話機はこのようなファイルを拒否し、処理を続行しません。 |
ファイルの暗号化 |
暗号化により、ファイルの機密性の高い情報が電話機に転送される間に漏えいしないように保護されます。 さらに、電話機でも、ファイルが作成後に改ざんされていないことを、署名を確認することで確認します。 認証できないファイルは、電話機のフラッシュ メモリに書き込まれません。 電話機はこのようなファイルを拒否し、処理を続行しません。 |
シグナリング認証 |
TLS プロトコルを使用して、シグナリング パケットが転送中に改ざんされていないことを検証します。 |
製造元でインストールされる証明書 |
各 Cisco IP Phone には、固有の製造元でインストールされる証明書(MIC)が内蔵されており、デバイス認証に使用されます。 MIC は、個々の電話機を識別するために長期的に割り当てられた証明を提供し、Cisco Unified Communications Manager はこれを使用して電話機を認証します。 |
メディアの暗号化 |
SRTP を使用して、サポートされるデバイス間のメディア ストリームがセキュアであること、および意図したデバイスのみがデータを受信し、読み取ることを保証します。 デバイスのメディア マスターのキー ペアの作成、デバイスへのキーの配布、キーが転送される間のキーの配布のセキュリティの確保などが含まれます。 |
CAPF(Certificate Authority Proxy Function) |
電話機に非常に高い処理負荷がかかる、証明書生成手順の一部を実装します。また、キーの生成および証明書のインストールのために電話機と対話します。 電話機の代わりに、お客様指定の認証局に証明書を要求するよう CAPF を設定できます。または、ローカルで証明書を生成するように CAPF を設定することもできます。 |
セキュリティ プロファイル |
電話機がセキュリティ保護、認証、または暗号化の対象になるかどうかを定義します。 この表の他の項目は、セキュリティ機能について説明しています。 これらの機能と、Cisco Unified Communications Manager および Cisco IP Phone のセキュリティの詳細については、『Cisco Unified Communications Manager Security Guide』を参照してください。 |
暗号化された設定ファイル |
電話機の設定ファイルのプライバシーを確保できるようにします。 |
電話機の Web サーバの無効化(オプション) |
セキュリティ上の目的で、電話機の Web ページ(ここには電話機のさまざまな処理の統計情報が表示される)とセルフ ケア ポータルへのアクセスを防止できます。 詳細については、電話機の Web ページへのアクセスの制御を参照してください。 |
電話機のセキュリティ強化 |
Cisco Unified Communications Manager の管理ページから制御する追加セキュリティ オプション。 |
802.1X 認証(802.1X Authentication) |
Cisco IP Phone は 802.1X 認証を使用して、ネットワークへのアクセスの要求およびネットワーク アクセスができます。 詳細については、802.1X 認証(802.1X Authentication)を参照してください。 |
SRST 向けのセキュアな SIP フェールオーバー |
セキュリティ目的で Survivable Remote Site Telephony(SRST)リファレンスを設定してから、Cisco Unified Communications Manager の管理ページで従属デバイスをリセットすると、TFTP サーバは電話機の cnf.xml ファイルに SRST 証明書を追加し、そのファイルを電話機に送信します。 その後、セキュアな電話機は TLS 接続を使用して、SRST 対応ルータと相互に対話します。 |
シグナリング暗号化 |
デバイスと Cisco Unified Communications Manager サーバの間で送信されるすべての SIP シグナリング メッセージが暗号化されるようにします。 |
信頼リストの更新アラーム |
電話機で信頼リストが更新されると、Cisco Unified Communications Manager は更新の成功または失敗を示すアラームを受信します。 詳細については、以下の表を参照してください。 |
AES 256 暗号化 |
Cisco Unified Communications Manager リリース 10.5(2) 以降に接続している電話機は、シグナリングとメディア暗号化に関する TLS および SIP の AES 256 暗号化をサポートします。 これにより電話機は、SHA-2 (Secure Hash Algorithm)標準および Federal Information Processing Standard(FIPS)に準拠する AES-256 ベースの暗号を使用して TLS 1.2 接続を開始し、サポートすることができます。 新しい暗号は次のとおりです。 詳細については、Cisco Unified Communications Manager のマニュアルを参照してください。 |
コードおよびメッセージ | 説明 |
---|---|
1 - TL_SUCCESS |
新しい CTL や ITL を受信 |
2 - CTL_INITIAL_SUCCESS |
新しい CTL を受信、既存の TL なし |
3 - ITL_INITIAL_SUCCESS |
新しい ITL を受信、既存の TL なし |
4 - TL_INITIAL_SUCCESS |
新しい CTL および ITL を受信、既存の TL なし |
5 - TL_FAILED_OLD_CTL |
新しい CTL への更新に失敗したが、以前の TL あり |
6 - TL_FAILED_NO_TL |
新しい TL への更新に失敗、古い TL なし |
7 - TL_FAILED |
一般的な障害 |
8 - TL_FAILED_OLD_ITL |
新しい ITL への更新に失敗したが、以前の TL あり |
9 - TL_FAILED_OLD_TL |
新しい TL への更新に失敗したが、以前の TL あり |
[セキュリティのセットアップ(Security Setup)] メニューには、さまざまなセキュリティ設定に関する情報が表示されます。 メニューでは、[信頼リスト(Trust List)] メニューにもアクセスでき、CTL ファイルまたは ITL ファイルが電話機にインストールされているかどうかを示します。
次の表に、[セキュリティのセットアップ(Security Setup)] メニューのオプションを示します。
オプション |
説明 |
変更の手順 |
---|---|---|
セキュリティ モード(Security Mode) |
電話機に設定されているセキュリティ モードを表示します。 |
Cisco Unified CM の管理で、 を選択します。 この設定は [電話の設定(Phone Configuration)] ウィンドウの [プロトコル固有情報(Protocol Specific Information)] の部分に表示されます。 |
LSC |
セキュリティ機能で使用される、ローカルで有効な証明書が電話機にインストールされている([はい(Yes)])かインストールされていない([いいえ(No)])かを示します。 |
電話機の LSC を管理する方法については、『Cisco Unified Communications Manager Security Guide』の「Using the Certificate Authority Proxy Function」の章を参照してください。 |
信頼リスト(Trust List) |
[信頼リスト(Trust List)] は、CTL ファイル、ITL ファイル、および署名済み設定ファイル用のサブメニューを備えています。 [CTL ファイル(CTL File)] サブメニューは、CTL ファイルの内容を表示します。 [ITL ファイル(ITL File)] サブメニューは、ITL ファイルの内容を表示します。 [信頼リスト(Trust List)] メニューには、次の情報が表示されます。
|
詳細については、ローカルで有効な証明書のセットアップを参照してください。 |
802.1X 認証(802.1X Authentication) |
この電話機に 802.1X 認証を有効にできます。 |
802.1X 認証(802.1X Authentication)を参照してください。 |
次の点を調べて、対象の Cisco Unified Communications Manager および認証局プロキシ関数(CAPF)のセキュリティ設定が完了していることを確認してください。
これらの設定の詳細については、『Cisco Unified Communications Manager Security Guide』の「Configuring the Cisco CTL Client」の章を参照してください。
電話機にセキュリティを実装している場合は、電話スクリーンに表示されるアイコンによって、セキュアな電話コールや暗号化された電話コールを識別できます。 また、コールの開始時にセキュリティ トーンが再生される場合は、接続された電話機がセキュアであり保護されているかどうかも判断できます。
セキュアなコールでは、すべてのコール シグナリングとメディア ストリームが暗号化されます。 セキュアなコールは高度なレベルのセキュリティを提供し、コールに整合性とプライバシーを提供します。 処理中のコールが暗号化されているときは、電話スクリーンのコール時間タイマーの右側にあるコール進捗アイコンが、次のアイコン に変化します。
(注) |
コールが PSTN などの非 IP コール レッグを経由してルーティングされる場合、コールが IP ネットワーク内で暗号化されており、鍵のアイコンが関連付けられていても、そのコールはセキュアではないことがあります。 |
セキュアなコールではコールの開始時にセキュリティ トーンが再生され、接続先の電話機もセキュアな音声を送受信していることを示します。 セキュアでない電話機にコールが接続されると、セキュリティ トーンは再生されません。
(注) |
セキュアなコールは、2 台の電話機間でのみサポートされます。 電話会議や共有回線などの一部の機能は、セキュアなコールが設定されているときは使用できません。 |
Cisco Unified Communications Manager で電話機をセキュア(暗号化および信頼された)として設定した場合、その電話機には「保護」ステータスを割り当てることができます。 その後、必要に応じて、保護された電話機は、コールの初めに通知トーンを再生するように設定できます。
セキュアな会議コールを開始し、参加者のセキュリティ レベルをモニタすることができます。 セキュアな電話会議は、次のプロセスに従って確立されます。
ユーザがセキュアな電話機で会議を開始します。
Cisco Unified Communications Manager が、コールにセキュアな会議ブリッジを割り当てます。
参加者が追加されると、Cisco Unified Communications Manager は、各電話機のセキュリティ モードを検証し、セキュアな会議のレベルを維持します。
電話機に会議コールのセキュリティ レベルが表示されます。 セキュアな会議では、電話機の画面の [会議(Conference)] の右側にセキュア アイコン が表示されます。
(注) |
セキュアなコールは、2 台の電話機の間でサポートされます。 保護された電話機では、セキュアなコールが設定されている場合、会議コール、シェアド ライン、エクステンション モビリティなどの一部の機能を使用できません。 |
次の表は、発信側の電話機のセキュリティ レベル、参加者のセキュリティ レベル、およびセキュアな会議ブリッジの可用性に応じた、会議のセキュリティ レベルの変更に関する情報を示しています。
発信側の電話機のセキュリティ レベル |
使用される機能 |
参加者のセキュリティ レベル |
アクションの結果 |
---|---|---|---|
非セキュア(Nonsecure) |
会議 |
セキュア(Secure) |
非セキュアな会議ブリッジ 非セキュアな会議 |
セキュア(Secure) |
会議 |
少なくとも 1 台のメンバーが非セキュア。 |
セキュアな会議ブリッジ 非セキュアな会議 |
セキュア(Secure) |
会議 |
セキュア(Secure) |
セキュアな会議ブリッジ セキュアな暗号化レベルの会議 |
非セキュア(Nonsecure) |
ミートミー |
最小限のセキュリティ レベルが暗号化。 |
発信側は「セキュリティ レベルを満たしていません。コールを拒否します(Does not meet Security Level, call rejected)」というメッセージを受け取る。 |
セキュア(Secure) |
ミートミー |
最小限のセキュリティ レベルは非セキュア |
セキュアな会議ブリッジ 会議はすべてのコールを受け入れる。 |
ユーザの電話機および相手側の電話機でセキュアなコールが設定されている場合にセキュアなコールが確立されます。 相手側の電話機は、同じ Cisco IP ネットワーク内にあっても、Cisco IP ネットワーク以外のネットワークにあってもかまいません。 セキュアなコールは 2 台の電話機間でのみ形成できます。 セキュアな会議ブリッジのセットアップ後、電話会議ではセキュアなコールがサポートされます。
ユーザがセキュアな電話機(セキュリティ モードで保護された電話機)でコールを開始します。
電話スクリーンにセキュア アイコン が表示されます。 このアイコンは、この電話機がセキュアなコール用に設定されていることを示しますが、接続する他の電話機もセキュアであるという意味ではありません。
そのコールが別のセキュアな電話機に接続された場合は、ユーザにセキュリティ トーンが聞こえ、通話の両端が暗号化および保護されていることを示します。 コールが非セキュアな電話機に接続された場合は、ユーザにはセキュリティ トーンが聞こえません。
(注) |
セキュアなコールは、2 台の電話機の間でサポートされます。 保護された電話機では、セキュアなコールが設定されている場合、会議コール、シェアド ライン、エクステンション モビリティなどの一部の機能を使用できません。 |
保護された電話機だけで、セキュアまたは非セキュアなインディケーション トーンが再生されます。 保護されていない電話機ではトーンは聞こえません。 コール中にコール全体のステータスが変化すると、それに従って通知トーンも変化し、保護された電話機は対応するトーンを再生します。
このような状況にない場合、保護された電話機はトーンを再生しません。
[セキュア インディケーション トーンの再生(Play Secure Indication Tone)] オプションが無効になっている場合、トーンは再生されません。
(注) |
セキュアなコールは、2 台の電話機の間でサポートされます。 保護された電話機では、セキュアなコールが設定されている場合、会議コール、シェアド ライン、エクステンション モビリティなどの一部の機能を使用できません。 |
Cisco Unified Communications Manager は、会議の確立時に電話機のセキュリティ ステータスを確認し、会議のセキュリティ表示を変更するか、またはコールの確立をブロックしてシステムの整合性とセキュリティを維持します。
電話機に暗号化が設定されていない場合、その電話機を使用して暗号化されたコールに割り込むことはできません。 この場合、割り込みに失敗すると、割り込みが開始された電話機でリオーダー トーン(速いビジー音)が聞こえます。
割り込みの開始側の電話機に暗号化が設定されている場合、割り込みの開始側は暗号化された電話機からセキュアでないコールに割り込むことができます。 割り込みが発生すると、Cisco Unified Communications Manager はそのコールをセキュアでないコールに分類します。
割り込みの開始側の電話機に暗号化が設定されている場合、割り込みの開始側は暗号化されたコールに割り込むことができ、電話機はそのコールが暗号化されていることを示します。
通信圏内にあるすべての WLAN デバイスは他の WLAN トラフィックをすべて受信できるため、WLAN 内の音声通信の保護は重要です。 侵入者による音声トラフィックの操作や傍受を防止するため、Cisco SAFE セキュリティ アーキテクチャは、Cisco IP Phone と Cisco Aironet AP をサポートします。 ネットワーク内のセキュリティの詳細については、http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html を参照してください。
Cisco Wireless IP テレフォニー ソリューションは、ワイヤレス Cisco IP Phone がサポートする次の認証方式を使用して、不正ログインおよび改ざんされた通信を防ぐワイヤレス ネットワーク セキュリティを提供します。
オープン認証:オープン システムでは、任意のワイヤレス デバイスが認証を要求できます。 要求を受けた AP は、任意のリクエスタまたはユーザのリスト上にあるリクエスタだけに認証を与える場合があります。 ワイヤレス デバイスと AP との間の通信は暗号化されない可能性もあります。暗号化される場合、デバイスは有線と同等のプライバシー(WEP)キーを使用してセキュリティを提供できます。 WEP を使用しているデバイスは、WEP を使用している AP での認証だけを試みます。
Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling(EAP-FAST)認証:このクライアント サーバのセキュリティ アーキテクチャは、AP と、Cisco Access Control Server(ACS)などの RADIUS サーバとの間の Transport Level Security(TLS)トンネル内の EAP トランザクションを暗号化します。
TLS トンネルでは、クライアント(電話機)と RADIUS サーバの間の認証に Protected Access Credential(PAC)が使用されます。 サーバは Authority ID(AID)をクライアント(電話機)に送信します。それを受けてクライアントは適切な PAC を選択します。 クライアント(電話機)は PAC-Opaque を RADIUS サーバに返します。 サーバは、そのマスターキーで PAC を復号します。 これで両方のエンドポイントに同じ PAC キーが含まれ、TLS トンネルが構築されます。 EAP-FAST では、自動 PAC プロビジョニングがサポートされていますが、RADIUS サーバ上で有効にする必要があります。
(注) |
Cisco ACS での PAC の有効期限は、デフォルトで 1 週間です。 電話機に期限切れの PAC が存在する場合、電話機が新しい PAC を取得するまでの間は、RADIUS サーバでの認証に比較的長い時間がかかります。 PAC プロビジョニングの遅延を回避するには、ACS サーバまたは RADIUS サーバで PAC の有効期間を 90 日以上に設定します。 |
Protected Extensible Authentication Protocol(PEAP):クライアント(電話機)と RADIUS サーバ間の、シスコ独自のパスワードベースの相互認証方式です。 Cisco IP Phone は、ワイヤレス ネットワークでの認証に PEAP を使用できます。 PEAP-MSCHAPV2 のみサポートされます。 PEAP-GTC はサポートされていません。
次の認証方式では、RADIUS サーバを使用して認証キーを管理します。
WPA/WPA2: 一意の認証キーを生成するために RADIUS サーバの情報を使用します。 これらのキーは、中央集中型の RADIUS サーバで生成されるため、WPA/WPA2 は、AP および電話機に格納されている WPA 事前共有キーよりも高いセキュリティを提供します。
Cisco Centralized Key Management(CCKM):RADIUS サーバとワイヤレス ドメイン サーバ(WDS)の情報を使用して、キーの管理および認証をします。 WDS は、高速でセキュアな再認証用に、CCKM 対応クライアント デバイスのセキュリティ クレデンシャルのキャッシュを作成します。 Cisco IP Phone 8800 シリーズは 802.11r (FT)をサポートしています。
WPA/WPA2 および CCKM では、暗号化キーは電話機に入力されず、AP と電話機の間で自動的に生成されます。 ただし認証で使用する EAP ユーザ名とパスワードは、各電話機に入力する必要があります。
音声トラフィックの安全性を確保するため、Cisco IP Phone では、暗号化方式として WEP、TKIP、および Advanced Encryption Standards(AES)をサポートします。 暗号化にこれらのメカニズムを使用すると、AP と Cisco IP Phone との間で、シグナリング SIP パケットと音声リアルタイム トランスポート プロトコル(RTP)パケットの両方が暗号化されます。
ワイヤレス ネットワークで WEP を使用すると、オープン認証または共有キー認証を使用することにより、AP で認証が行われます。 正常に接続させるには、電話機で設定された WEP キーと AP で設定された WEP キーが一致する必要があります。 Cisco IP Phone は、40 ビット暗号化または 128 ビット暗号化を使用し、電話機および AP で静的なままの WEP キーをサポートしています。
EAP と CCKM の認証では、暗号化に WEP キーを使用できます。 RADIUS サーバは WEP キーを管理し、すべての音声パケットの暗号化を認証した後で一意のキーを AP に渡します。そのため、次の WEP キーを各認証で変更できます。
WPA と CCKM は、WEP にいくつかの改良が加えられた TKIP 暗号化を使用します。 TKIP は、パケットごとのキーの暗号化、および暗号化が強化されたより長い初期ベクトル(IV)を提供します。 さらに、メッセージ完全性チェック(MIC)は、暗号化されたパケットが変更されていないことを確認します。 TKIP は、侵入者が WEP を使用して WEP キーを解読する可能性を排除します。
WPA2 認証に使用される暗号化方式。 この暗号化の国内規格は、暗号化と復号化に同じキーを持つ対称型アルゴリズムを使用します。 AES は、128 ビットサイズの暗号ブロック連鎖(CBC)暗号化を使用し、最小のキー サイズとして 128、192、および 256 ビットのキーをサポートします。 Cisco IP Phone は 256 ビットのキー サイズをサポートします。
(注) |
Cisco IP Phone は、CMIC による Cisco Key Integrity Protocol(CKIP)をサポートしません。 |
認証方式と暗号化方式は、ワイヤレス LAN 内で設定されます。 VLAN は、ネットワーク内および AP 上で設定され、認証と暗号化の異なる組み合わせを指定します。 SSID は、VLAN と VLAN の特定の認証および暗号化方式に関連付けられます。 ワイヤレス クライアント デバイスを正常に認証するには、認証および暗号化方式で使用する SSID と同じ SSID を AP と Cisco IP Phone に設定する必要があります。
一部の認証方式では、特定のタイプの暗号化が必要です。 オープン認証では、セキュリティを高めるために、暗号化で静的 WEP を使用できます。 ただし、共有キー認証を使用している場合は、暗号化に静的 WEP を設定し、電話機で WEP キーを設定する必要があります。
(注) |
|
次の表に、Cisco IP Phone がサポートしている、Cisco Aironet AP で設定される認証方式と暗号化方式のリストを示します。 表には、AP の設定に対応する電話機のネットワーク設定オプションを示します。
Cisco IP Phone の設定 |
AP の設定 |
|||
---|---|---|---|---|
セキュリティ モード(Security Mode) |
セキュリティ |
キー管理(Key Management) |
暗号化(Encryption) |
高速ローミング |
なし |
なし |
なし |
なし |
該当なし |
WEP |
静的 WEP |
静的 |
WEP |
該当なし |
PSK |
PSK |
WPA |
TKIP |
なし |
WPA2 |
AES |
FT |
||
EAP-FAST |
EAP-FAST |
802.1x |
WEP |
CCKM |
WPA |
TKIP |
CCKM |
||
WPA2 |
AES |
FT、CCKM |
||
PEAP-MSCHAPV2 |
PEAP-MSCHAPV2 |
802.1x |
WEP |
CCKM |
WPA |
TKIP |
CCKM |
||
WPA2 |
AES |
FT、CCKM |
シスコの WLAN セキュリティの詳細については、http://www.cisco.com/en/US/products/hw/wireless/ps430/prod_brochure09186a00801f7d0b.html を参照してください。
認証方式と暗号化方式を AP に設定する方法の詳細については、次の URL で入手可能なご使用のモデルおよびリリースの『Cisco Aironet Configuration Guide』を参照してください。
http://www.cisco.com/cisco/web/psa/configure.html?mode=prod&level0=278875243
Cisco IP Phone は 802.1X 認証をサポートします。
Cisco IP Phone と Cisco Catalyst スイッチは、従来 Cisco Discovery Protocol(CDP)を使用して互いを識別し、VLAN 割り当てやインライン所要電力などのパラメータを決定します。 CDP では、ローカルに接続されたワークステーションは識別されません。 Cisco IP Phone は、EAPOL パススルー メカニズムを提供します。 このメカニズムを使用すると、Cisco IP Phone に接続されたワークステーションは、LAN スイッチにある 802.1X オーセンティケータに EAPOL メッセージを渡すことができます。 パススルー メカニズムにより、IP フォンはネットワークにアクセスする前にデータ エンドポイントを認証する際 LAN スイッチとして動作しません。
Cisco IP Phone はまた、プロキシ EAPOL ログオフ メカニズムも提供します。 ローカルに接続された PC が IP フォンから切断された場合でも、LAN スイッチと IP フォン間のリンクは維持されるので、LAN スイッチは物理リンクの障害を認識しません。 ネットワークの完全性が脅かされるのを避けるため、IP フォンはダウンストリーム PC の代わりに EAPOL ログオフ メッセージをスイッチに送ります。これは、LAN スイッチにダウンストリーム PC の認証エントリをクリアさせます。
802.1X 認証のサポートには、次のようなコンポーネントが必要です。
Cisco IP Phone: 電話機は、ネットワークへのアクセス要求を開始します。 Cisco IP Phone には、802.1x サプリカントが含まれています。 このサプリカントを使用して、ネットワーク管理者は IP 電話と LAN スイッチ ポートの接続を制御できます。 電話機に含まれる 802.1X サプリカントの現在のリリースでは、ネットワーク認証に EAP-FAST オプションと EAP-TLS オプションが使用されています。
Cisco Secure Access Control Server(ACS)(またはその他のサードパーティ製認証サーバ):認証サーバと電話機の両方に、電話機を認証するための共有秘密が設定されている必要があります。
Cisco Catalyst スイッチ(またはその他のサードパーティ製スイッチ):スイッチは、オーセンティケータとして機能し、電話機と認証サーバの間でメッセージを渡すことができるように、802.1X をサポートしている必要があります。 この交換が完了した後、スイッチはネットワークへの電話機のアクセスを許可または拒否します。
802.1X を設定するには、次の手順を実行する必要があります。
電話機で 802.1X 認証をイネーブルにする前に、他のコンポーネントを設定します。
PC ポートの設定:802.1X 標準では VLAN が考慮されないため、特定のスイッチ ポートに対してデバイスを 1 つだけ認証することを推奨します。 ただし、複数ドメインの認証をサポートしているスイッチもあります(Cisco Catalyst スイッチなど)。 スイッチの設定により、PC を電話機の PC ポートに接続できるかどうかが決定されます。
有効:複数ドメインの認証をサポートするスイッチを使用している場合、PC ポートを有効化し、そのポートに PC を接続できます。 この場合、スイッチと接続先 PC 間の認証情報の交換をモニタするために、Cisco IP Phone はプロキシ EAPOL ログオフをサポートします。 Cisco Catalyst スイッチでの IEEE 802.1X サポートの詳細については、次の URL にある Cisco Catalyst スイッチのコンフィギュレーション ガイドを参照してください。
無効:スイッチで同じポート上の複数の 802.1X 準拠デバイスがサポートされていない場合は、802.1X 認証を有効にするときに PC ポートを無効にするようにしてください。 このポートを無効にしないで PC を接続しようとすると、スイッチは電話機と PC の両方に対してネットワーク アクセスを拒否します。
次の手順に従って、802.1X 認証の設定にアクセスできます。
ステップ 1 | [アプリケーション(Applications)] を押します。 |
ステップ 2 | を選択します。 |
ステップ 3 | [802.1X 認証(802.1X Authentication)] オプションの説明に従ってオプションを設定します。 |
ステップ 4 | メニューを終了するには、[終了(Exit)] を押します。 |
次の表では、802.1X 認証オプションについて説明します。
オプション |
説明 |
変更の手順 |
---|---|---|
デバイス認証(Device Authentication) |
802.1X 認証が有効かどうかを示します。 |
[デバイス認証(Device Authentication)] フィールドの設定を参照してください。 |
トランザクション ステータス(Transaction Status) |
[状態(State)]:802.1x 認証の状態を表示します。
[プロトコル(Protocol)]:802.1x 認証に使用される EAP 方式を表示します(EAP-FAST または EAP-TLS である場合があります)。 |
表示専用。 変更不可。 |
ステップ 1 | [アプリケーション(Applications)] を押します。 |
ステップ 2 | を選択します。 |
ステップ 3 | [デバイス認証(Device Authentication)] オプションを設定します。 |
ステップ 4 | [適用(Apply)] を押します。 |
目次
サポート対象のセキュリティ機能
セキュリティ機能を使用すると、なりすましやデータ改ざんの脅威から電話機を保護できます。 セキュリティ機能は、電話機と Cisco Unified Communications Manager サーバ間に認証された通信ストリームを確立し、これを維持するとともに、電話機がデジタル署名されたファイルのみ使用することを確認します。
Cisco Unified Communications Manager Release 8.5(1) 以降にはデフォルトでセキュリティ機能が搭載されており、CTL クライアントを実行しなくても、Cisco IP Phone に次のセキュリティ機能が提供されます。
(注)
シグナリングおよびメディア機能を保護するには、引き続き、CTL クライアントを実行し、ハードウェア eToken を使用する必要があります。
Cisco Unified Communications Manager システムにセキュリティを実装すると、電話機や Cisco Unified Communications Manager サーバの ID 盗用、データの改ざん、およびコール シグナリングとメディア ストリームの改ざんを防止できます。
これらの脅威を軽減するため、Cisco Unified IP テレフォニー ネットワークは、電話機とサーバの間にセキュアな(暗号化された)通信ストリームを確立し、維持します。ファイルはデジタル署名してから電話機に転送し、Cisco IP Phone 間では、メディア ストリームとコール シグナリングを暗号化します。
認証局プロキシ関数(CAPF)に関連付けられた必要なタスクの実行後、ローカルで有効な証明書(LSC)が電話機にインストールされます。 LSC は Cisco Unified Communications Manager の管理ページで設定できます。詳細については、『Cisco Unified Communications Manager Security Guide』を参照してください。 あるいは、電話機の [セキュリティのセットアップ(Security Setup)] メニューから LSC のインストールを開始することもできます。 このメニューでは、LSC の更新および削除も実行できます。
Cisco IP Phones 8811、8841、8851、8851NR、8861 では、電話セキュリティ プロファイルを使用します。このプロファイルでは、デバイスがセキュアかどうかが定義されています。 電話セキュリティ プロファイルの電話機への適用については、『Cisco Unified Communications Manager Security Guide』を参照してください。
Cisco Unified CM の管理でセキュリティ関連の設定を行うと、電話機の設定ファイルに重要な情報が保存されます。 設定ファイルのプライバシーを確保するには、そのファイルを暗号化用に設定する必要があります。 詳細については、『Cisco Unified Communications Manager Security Guide』の「Configuring Encrypted Phone Configuration Files」の章を参照してください。
次の表に、電話機でサポートされるセキュリティ機能の概要を示します。 これらの機能と、Cisco Unified Communications Manager および Cisco IP Phone のセキュリティの詳細については、『Cisco Unified Communications Manager Security Guide』を参照してください。
電話機の現在のセキュリティ設定を確認するには、 を押し、 を選択します。
表 1 セキュリティ機能の概要 機能
説明
イメージ認証
署名付きのバイナリ ファイル(拡張子 .sgn)によって、ファームウェア イメージが電話機へのロード前に改ざんされることを防止します。
イメージが改ざんされると、電話機は認証プロセスに失敗し、新しいイメージを拒否します。
イメージの暗号化
暗号化バイナリ ファイル(拡張子 .sebn)によって、ファームウェア イメージが電話機へのロード前に改ざんされることを防止します。
イメージが改ざんされると、電話機は認証プロセスに失敗し、新しいイメージを拒否します。
カスタマー サイト証明書のインストール
各 Cisco IP Phone は、デバイス認証に一意の証明書を必要とします。 電話機には Manufacturing Installed Certificate(MIC; 製造元でインストールされる証明書)が含まれますが、追加のセキュリティについては、Cisco Unified Communications Manager の管理ページで、Certificate Authority Proxy Function(CAPF; 認証局プロキシ関数)を使用して証明書のインストールを指定できます。 あるいは、電話機の [セキュリティ設定(Security Configuration)] メニューからローカルで有効な証明書(LSC)をインストールします。
デバイス認証
Cisco Unified Communications Manager サーバと電話機間で、一方のエンティティが他方のエンティティの証明書を受け入れるときに行われます。 電話機と Cisco Unified Communications Manager の間でセキュアな接続を確立するかどうかを判別し、必要に応じて TLS プロトコルを使用してエンティティ間にセキュアなシグナリング パスを作成します。 Cisco Unified Communications Manager では、認証できない電話機は登録されません。
ファイル認証
電話機がダウンロードするデジタル署名ファイルを検証します。 ファイルの作成後、ファイルの改ざんが発生しないように、電話機でシグニチャを検証します。 認証できないファイルは、電話機のフラッシュ メモリに書き込まれません。 電話機はこのようなファイルを拒否し、処理を続行しません。
ファイルの暗号化
暗号化により、ファイルの機密性の高い情報が電話機に転送される間に漏えいしないように保護されます。 さらに、電話機でも、ファイルが作成後に改ざんされていないことを、署名を確認することで確認します。 認証できないファイルは、電話機のフラッシュ メモリに書き込まれません。 電話機はこのようなファイルを拒否し、処理を続行しません。
シグナリング認証
TLS プロトコルを使用して、シグナリング パケットが転送中に改ざんされていないことを検証します。
製造元でインストールされる証明書
各 Cisco IP Phone には、固有の製造元でインストールされる証明書(MIC)が内蔵されており、デバイス認証に使用されます。 MIC は、個々の電話機を識別するために長期的に割り当てられた証明を提供し、Cisco Unified Communications Manager はこれを使用して電話機を認証します。
メディアの暗号化
SRTP を使用して、サポートされるデバイス間のメディア ストリームがセキュアであること、および意図したデバイスのみがデータを受信し、読み取ることを保証します。 デバイスのメディア マスターのキー ペアの作成、デバイスへのキーの配布、キーが転送される間のキーの配布のセキュリティの確保などが含まれます。
CAPF(Certificate Authority Proxy Function)
電話機に非常に高い処理負荷がかかる、証明書生成手順の一部を実装します。また、キーの生成および証明書のインストールのために電話機と対話します。 電話機の代わりに、お客様指定の認証局に証明書を要求するよう CAPF を設定できます。または、ローカルで証明書を生成するように CAPF を設定することもできます。
セキュリティ プロファイル
電話機がセキュリティ保護、認証、または暗号化の対象になるかどうかを定義します。 この表の他の項目は、セキュリティ機能について説明しています。 これらの機能と、Cisco Unified Communications Manager および Cisco IP Phone のセキュリティの詳細については、『Cisco Unified Communications Manager Security Guide』を参照してください。
暗号化された設定ファイル
電話機の設定ファイルのプライバシーを確保できるようにします。
電話機の Web サーバの無効化(オプション)
セキュリティ上の目的で、電話機の Web ページ(ここには電話機のさまざまな処理の統計情報が表示される)とセルフ ケア ポータルへのアクセスを防止できます。 詳細については、電話機の Web ページへのアクセスの制御を参照してください。
電話機のセキュリティ強化
Cisco Unified Communications Manager の管理ページから制御する追加セキュリティ オプション。
802.1X 認証(802.1X Authentication)
Cisco IP Phone は 802.1X 認証を使用して、ネットワークへのアクセスの要求およびネットワーク アクセスができます。 詳細については、802.1X 認証(802.1X Authentication)を参照してください。
SRST 向けのセキュアな SIP フェールオーバー
セキュリティ目的で Survivable Remote Site Telephony(SRST)リファレンスを設定してから、Cisco Unified Communications Manager の管理ページで従属デバイスをリセットすると、TFTP サーバは電話機の cnf.xml ファイルに SRST 証明書を追加し、そのファイルを電話機に送信します。 その後、セキュアな電話機は TLS 接続を使用して、SRST 対応ルータと相互に対話します。
シグナリング暗号化
デバイスと Cisco Unified Communications Manager サーバの間で送信されるすべての SIP シグナリング メッセージが暗号化されるようにします。
信頼リストの更新アラーム
電話機で信頼リストが更新されると、Cisco Unified Communications Manager は更新の成功または失敗を示すアラームを受信します。 詳細については、以下の表を参照してください。
AES 256 暗号化
Cisco Unified Communications Manager リリース 10.5(2) 以降に接続している電話機は、シグナリングとメディア暗号化に関する TLS および SIP の AES 256 暗号化をサポートします。 これにより電話機は、SHA-2 (Secure Hash Algorithm)標準および Federal Information Processing Standard(FIPS)に準拠する AES-256 ベースの暗号を使用して TLS 1.2 接続を開始し、サポートすることができます。 新しい暗号は次のとおりです。
詳細については、Cisco Unified Communications Manager のマニュアルを参照してください。
次の表に、信頼リストの更新アラームのメッセージとその意味を示します。 詳細については、Cisco Unified Communications Manager のマニュアルを参照してください。
表 2 信頼リストの更新アラームのメッセージコードおよびメッセージ 説明 1 - TL_SUCCESS
新しい CTL や ITL を受信
2 - CTL_INITIAL_SUCCESS
新しい CTL を受信、既存の TL なし
3 - ITL_INITIAL_SUCCESS
新しい ITL を受信、既存の TL なし
4 - TL_INITIAL_SUCCESS
新しい CTL および ITL を受信、既存の TL なし
5 - TL_FAILED_OLD_CTL
新しい CTL への更新に失敗したが、以前の TL あり
6 - TL_FAILED_NO_TL
新しい TL への更新に失敗、古い TL なし
7 - TL_FAILED
一般的な障害
8 - TL_FAILED_OLD_ITL
新しい ITL への更新に失敗したが、以前の TL あり
9 - TL_FAILED_OLD_TL
新しい TL への更新に失敗したが、以前の TL あり
[セキュリティのセットアップ(Security Setup)] メニューには、さまざまなセキュリティ設定に関する情報が表示されます。 メニューでは、[信頼リスト(Trust List)] メニューにもアクセスでき、CTL ファイルまたは ITL ファイルが電話機にインストールされているかどうかを示します。
次の表に、[セキュリティのセットアップ(Security Setup)] メニューのオプションを示します。
表 3 [セキュリティのセットアップ(Security Setup)] メニュー オプション
説明
変更の手順
セキュリティ モード(Security Mode)
電話機に設定されているセキュリティ モードを表示します。
Cisco Unified CM の管理で、
を選択します。 この設定は [電話の設定(Phone Configuration)] ウィンドウの [プロトコル固有情報(Protocol Specific Information)] の部分に表示されます。LSC
セキュリティ機能で使用される、ローカルで有効な証明書が電話機にインストールされている([はい(Yes)])かインストールされていない([いいえ(No)])かを示します。
電話機の LSC を管理する方法については、『Cisco Unified Communications Manager Security Guide』の「Using the Certificate Authority Proxy Function」の章を参照してください。
信頼リスト(Trust List)
[信頼リスト(Trust List)] は、CTL ファイル、ITL ファイル、および署名済み設定ファイル用のサブメニューを備えています。
[CTL ファイル(CTL File)] サブメニューは、CTL ファイルの内容を表示します。 [ITL ファイル(ITL File)] サブメニューは、ITL ファイルの内容を表示します。
[信頼リスト(Trust List)] メニューには、次の情報が表示されます。
[CTL 署名(CTL Signature)]:CTL ファイルの SHA1 ハッシュ
[Unified CM/TFTP サーバ(Unified CM/TFTP Server)]:電話機で使用される Cisco Unified Communications Manager と TFTP サーバの名前。 このサーバに証明書がインストールされている場合は、証明書アイコンが表示されます。
[CAPF サーバ(CAPF Server)]:電話機が使用する CAPF サーバの名前。 このサーバに証明書がインストールされている場合は、証明書アイコンが表示されます。
[SRST ルータ(SRST Router)]:電話機で使用可能な、信頼できる SRST ルータの IP アドレス。 このサーバに証明書がインストールされている場合は、証明書アイコンが表示されます。
詳細については、ローカルで有効な証明書のセットアップを参照してください。
802.1X 認証(802.1X Authentication)
この電話機に 802.1X 認証を有効にできます。
802.1X 認証(802.1X Authentication)を参照してください。
ローカルで有効な証明書のセットアップ
はじめる前に手順次の点を調べて、対象の Cisco Unified Communications Manager および認証局プロキシ関数(CAPF)のセキュリティ設定が完了していることを確認してください。
- CTL ファイルまたは ITL ファイルに CAPF 証明書が含まれていること。
- Cisco Unified Communications オペレーティング システムの管理ページで、CAPF 証明書がインストールされていることを確認してください。
- CAPF は実行および設定されています。
これらの設定の詳細については、『Cisco Unified Communications Manager Security Guide』の「Configuring the Cisco CTL Client」の章を参照してください。
ステップ 1 CAPF の設定時に設定された CAPF 認証コードを入手します。 ステップ 2 電話機から、アプリケーション ボタンを押し、 を選択します。
(注) Cisco Unified Communications Manager の管理ページの [電話の設定(Phone Configuration)] ウィンドウにある [設定アクセス(Settings Access)] フィールドを使用すると、[設定(Settings)] メニューへのアクセスを制御できます。 詳細については、『Cisco Unified Communications Manager Administration Guide』を参照してください。
ステップ 3 [LSC] を選択し、[選択(Select)] または [更新(Update)] を押します。 認証文字列を要求するプロンプトが電話機に表示されます。
ステップ 4 認証コードを入力し、[送信(Submit)] を押します。 CAPF の設定に応じて、電話機で LSC のインストール、更新、または削除が開始されます。 この作業の間、[セキュリティ設定(Security Configuration)] メニューの [LSC] オプション フィールドに一連のメッセージが表示されるので、進捗状況をモニタできます。 手順が完了すると、電話機に [インストール済み(Installed)] または [未インストール(Not Installed)] と表示されます。
LSC のインストール、更新、または削除プロセスは、完了するのに長時間かかることがあります。
電話機のインストール手順が成功すると、[インストール済み(Installed)] というメッセージが表示されます。 電話機に [未インストール(Not Installed)] 」と表示された場合は、認証文字列に誤りがあるか、電話機がアップグレード用に有効になっていない可能性があります。 CAPF 操作で LSC を削除し、電話機に [未インストール(Not Installed)] と表示された場合は、操作が成功したことを示しています。 CAPF サーバはエラー メッセージをログに記録します。 ログの位置を調べ、エラー メッセージの意味を理解するには、CAPF サーバのマニュアルを参照してください。
電話コールのセキュリティ
電話機にセキュリティを実装している場合は、電話スクリーンに表示されるアイコンによって、セキュアな電話コールや暗号化された電話コールを識別できます。 また、コールの開始時にセキュリティ トーンが再生される場合は、接続された電話機がセキュアであり保護されているかどうかも判断できます。
セキュアなコールでは、すべてのコール シグナリングとメディア ストリームが暗号化されます。 セキュアなコールは高度なレベルのセキュリティを提供し、コールに整合性とプライバシーを提供します。 処理中のコールが暗号化されているときは、電話スクリーンのコール時間タイマーの右側にあるコール進捗アイコンが、次のアイコン に変化します。
(注)
コールが PSTN などの非 IP コール レッグを経由してルーティングされる場合、コールが IP ネットワーク内で暗号化されており、鍵のアイコンが関連付けられていても、そのコールはセキュアではないことがあります。
セキュアなコールではコールの開始時にセキュリティ トーンが再生され、接続先の電話機もセキュアな音声を送受信していることを示します。 セキュアでない電話機にコールが接続されると、セキュリティ トーンは再生されません。
(注)
セキュアなコールは、2 台の電話機間でのみサポートされます。 電話会議や共有回線などの一部の機能は、セキュアなコールが設定されているときは使用できません。
Cisco Unified Communications Manager で電話機をセキュア(暗号化および信頼された)として設定した場合、その電話機には「保護」ステータスを割り当てることができます。 その後、必要に応じて、保護された電話機は、コールの初めに通知トーンを再生するように設定できます。
- [保護されたデバイス(Protected Device)]:セキュアな電話機のステータスを保護に変更するには、Cisco Unified Communications Manager の管理ページの [電話の設定(Phone Configuration)] ウィンドウにある [保護されたデバイス(Protected Device)] チェックボックスをオンにします( )。
- [セキュア インディケーション トーンの再生(Play Secure Indication Tone)]:保護された電話機で、セキュアまたは非セキュアな通知トーンの再生を有効にするには、[セキュア インディケーション トーンの再生(Play Secure Indication Tone)] 設定を [はい(True)] に設定します。 デフォルトでは、[セキュア インディケーション トーンの再生(Play Secure Indication Tone)] は [いいえ(False)] に設定されます。 このオプションは、Cisco Unified Communications Manager の管理( で設定します。 サーバを選択してから、Unified Communications Manager サービスを選択します。 [サービス パラメータ設定(Service Parameter Configuration)] ウィンドウで、[機能 - セキュア トーン(Feature - Secure Tone)] 領域内にあるオプションを選択します。 デフォルト設定は [いいえ(False)] です。
セキュアな会議コールの特定
セキュアな会議コールを開始し、参加者のセキュリティ レベルをモニタすることができます。 セキュアな電話会議は、次のプロセスに従って確立されます。
ユーザがセキュアな電話機で会議を開始します。
Cisco Unified Communications Manager が、コールにセキュアな会議ブリッジを割り当てます。
参加者が追加されると、Cisco Unified Communications Manager は、各電話機のセキュリティ モードを検証し、セキュアな会議のレベルを維持します。
電話機に会議コールのセキュリティ レベルが表示されます。 セキュアな会議では、電話機の画面の [会議(Conference)] の右側にセキュア アイコン が表示されます。
(注)
セキュアなコールは、2 台の電話機の間でサポートされます。 保護された電話機では、セキュアなコールが設定されている場合、会議コール、シェアド ライン、エクステンション モビリティなどの一部の機能を使用できません。
次の表は、発信側の電話機のセキュリティ レベル、参加者のセキュリティ レベル、およびセキュアな会議ブリッジの可用性に応じた、会議のセキュリティ レベルの変更に関する情報を示しています。
表 4 会議コールのセキュリティの制限事項 発信側の電話機のセキュリティ レベル
使用される機能
参加者のセキュリティ レベル
アクションの結果
非セキュア(Nonsecure)
会議
セキュア(Secure)
非セキュアな会議ブリッジ
非セキュアな会議
セキュア(Secure)
会議
少なくとも 1 台のメンバーが非セキュア。
セキュアな会議ブリッジ
非セキュアな会議
セキュア(Secure)
会議
セキュア(Secure)
セキュアな会議ブリッジ
セキュアな暗号化レベルの会議
非セキュア(Nonsecure)
ミートミー
最小限のセキュリティ レベルが暗号化。
発信側は「セキュリティ レベルを満たしていません。コールを拒否します(Does not meet Security Level, call rejected)」というメッセージを受け取る。
セキュア(Secure)
ミートミー
最小限のセキュリティ レベルは非セキュア
セキュアな会議ブリッジ
会議はすべてのコールを受け入れる。
セキュアな電話コールの識別
ユーザの電話機および相手側の電話機でセキュアなコールが設定されている場合にセキュアなコールが確立されます。 相手側の電話機は、同じ Cisco IP ネットワーク内にあっても、Cisco IP ネットワーク以外のネットワークにあってもかまいません。 セキュアなコールは 2 台の電話機間でのみ形成できます。 セキュアな会議ブリッジのセットアップ後、電話会議ではセキュアなコールがサポートされます。
ユーザがセキュアな電話機(セキュリティ モードで保護された電話機)でコールを開始します。
電話スクリーンにセキュア アイコン が表示されます。 このアイコンは、この電話機がセキュアなコール用に設定されていることを示しますが、接続する他の電話機もセキュアであるという意味ではありません。
そのコールが別のセキュアな電話機に接続された場合は、ユーザにセキュリティ トーンが聞こえ、通話の両端が暗号化および保護されていることを示します。 コールが非セキュアな電話機に接続された場合は、ユーザにはセキュリティ トーンが聞こえません。
(注)
セキュアなコールは、2 台の電話機の間でサポートされます。 保護された電話機では、セキュアなコールが設定されている場合、会議コール、シェアド ライン、エクステンション モビリティなどの一部の機能を使用できません。
保護された電話機だけで、セキュアまたは非セキュアなインディケーション トーンが再生されます。 保護されていない電話機ではトーンは聞こえません。 コール中にコール全体のステータスが変化すると、それに従って通知トーンも変化し、保護された電話機は対応するトーンを再生します。
このような状況にない場合、保護された電話機はトーンを再生しません。
[セキュア インディケーション トーンの再生(Play Secure Indication Tone)] オプションが無効になっている場合、トーンは再生されません。
(注)
セキュアなコールは、2 台の電話機の間でサポートされます。 保護された電話機では、セキュアなコールが設定されている場合、会議コール、シェアド ライン、エクステンション モビリティなどの一部の機能を使用できません。
割り込みの暗号化
Cisco Unified Communications Manager は、会議の確立時に電話機のセキュリティ ステータスを確認し、会議のセキュリティ表示を変更するか、またはコールの確立をブロックしてシステムの整合性とセキュリティを維持します。
電話機に暗号化が設定されていない場合、その電話機を使用して暗号化されたコールに割り込むことはできません。 この場合、割り込みに失敗すると、割り込みが開始された電話機でリオーダー トーン(速いビジー音)が聞こえます。
割り込みの開始側の電話機に暗号化が設定されている場合、割り込みの開始側は暗号化された電話機からセキュアでないコールに割り込むことができます。 割り込みが発生すると、Cisco Unified Communications Manager はそのコールをセキュアでないコールに分類します。
割り込みの開始側の電話機に暗号化が設定されている場合、割り込みの開始側は暗号化されたコールに割り込むことができ、電話機はそのコールが暗号化されていることを示します。
WLAN セキュリティ(WLAN Security)
通信圏内にあるすべての WLAN デバイスは他の WLAN トラフィックをすべて受信できるため、WLAN 内の音声通信の保護は重要です。 侵入者による音声トラフィックの操作や傍受を防止するため、Cisco SAFE セキュリティ アーキテクチャは、Cisco IP Phone と Cisco Aironet AP をサポートします。 ネットワーク内のセキュリティの詳細については、http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html を参照してください。
Cisco Wireless IP テレフォニー ソリューションは、ワイヤレス Cisco IP Phone がサポートする次の認証方式を使用して、不正ログインおよび改ざんされた通信を防ぐワイヤレス ネットワーク セキュリティを提供します。
オープン認証:オープン システムでは、任意のワイヤレス デバイスが認証を要求できます。 要求を受けた AP は、任意のリクエスタまたはユーザのリスト上にあるリクエスタだけに認証を与える場合があります。 ワイヤレス デバイスと AP との間の通信は暗号化されない可能性もあります。暗号化される場合、デバイスは有線と同等のプライバシー(WEP)キーを使用してセキュリティを提供できます。 WEP を使用しているデバイスは、WEP を使用している AP での認証だけを試みます。
Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling(EAP-FAST)認証:このクライアント サーバのセキュリティ アーキテクチャは、AP と、Cisco Access Control Server(ACS)などの RADIUS サーバとの間の Transport Level Security(TLS)トンネル内の EAP トランザクションを暗号化します。
TLS トンネルでは、クライアント(電話機)と RADIUS サーバの間の認証に Protected Access Credential(PAC)が使用されます。 サーバは Authority ID(AID)をクライアント(電話機)に送信します。それを受けてクライアントは適切な PAC を選択します。 クライアント(電話機)は PAC-Opaque を RADIUS サーバに返します。 サーバは、そのマスターキーで PAC を復号します。 これで両方のエンドポイントに同じ PAC キーが含まれ、TLS トンネルが構築されます。 EAP-FAST では、自動 PAC プロビジョニングがサポートされていますが、RADIUS サーバ上で有効にする必要があります。
(注)
Cisco ACS での PAC の有効期限は、デフォルトで 1 週間です。 電話機に期限切れの PAC が存在する場合、電話機が新しい PAC を取得するまでの間は、RADIUS サーバでの認証に比較的長い時間がかかります。 PAC プロビジョニングの遅延を回避するには、ACS サーバまたは RADIUS サーバで PAC の有効期間を 90 日以上に設定します。
Protected Extensible Authentication Protocol(PEAP):クライアント(電話機)と RADIUS サーバ間の、シスコ独自のパスワードベースの相互認証方式です。 Cisco IP Phone は、ワイヤレス ネットワークでの認証に PEAP を使用できます。 PEAP-MSCHAPV2 のみサポートされます。 PEAP-GTC はサポートされていません。
次の認証方式では、RADIUS サーバを使用して認証キーを管理します。
WPA/WPA2: 一意の認証キーを生成するために RADIUS サーバの情報を使用します。 これらのキーは、中央集中型の RADIUS サーバで生成されるため、WPA/WPA2 は、AP および電話機に格納されている WPA 事前共有キーよりも高いセキュリティを提供します。
Cisco Centralized Key Management(CCKM):RADIUS サーバとワイヤレス ドメイン サーバ(WDS)の情報を使用して、キーの管理および認証をします。 WDS は、高速でセキュアな再認証用に、CCKM 対応クライアント デバイスのセキュリティ クレデンシャルのキャッシュを作成します。 Cisco IP Phone 8800 シリーズは 802.11r (FT)をサポートしています。
WPA/WPA2 および CCKM では、暗号化キーは電話機に入力されず、AP と電話機の間で自動的に生成されます。 ただし認証で使用する EAP ユーザ名とパスワードは、各電話機に入力する必要があります。
音声トラフィックの安全性を確保するため、Cisco IP Phone では、暗号化方式として WEP、TKIP、および Advanced Encryption Standards(AES)をサポートします。 暗号化にこれらのメカニズムを使用すると、AP と Cisco IP Phone との間で、シグナリング SIP パケットと音声リアルタイム トランスポート プロトコル(RTP)パケットの両方が暗号化されます。
- WEP
ワイヤレス ネットワークで WEP を使用すると、オープン認証または共有キー認証を使用することにより、AP で認証が行われます。 正常に接続させるには、電話機で設定された WEP キーと AP で設定された WEP キーが一致する必要があります。 Cisco IP Phone は、40 ビット暗号化または 128 ビット暗号化を使用し、電話機および AP で静的なままの WEP キーをサポートしています。
EAP と CCKM の認証では、暗号化に WEP キーを使用できます。 RADIUS サーバは WEP キーを管理し、すべての音声パケットの暗号化を認証した後で一意のキーを AP に渡します。そのため、次の WEP キーを各認証で変更できます。
- TKIP
WPA と CCKM は、WEP にいくつかの改良が加えられた TKIP 暗号化を使用します。 TKIP は、パケットごとのキーの暗号化、および暗号化が強化されたより長い初期ベクトル(IV)を提供します。 さらに、メッセージ完全性チェック(MIC)は、暗号化されたパケットが変更されていないことを確認します。 TKIP は、侵入者が WEP を使用して WEP キーを解読する可能性を排除します。
- AES
WPA2 認証に使用される暗号化方式。 この暗号化の国内規格は、暗号化と復号化に同じキーを持つ対称型アルゴリズムを使用します。 AES は、128 ビットサイズの暗号ブロック連鎖(CBC)暗号化を使用し、最小のキー サイズとして 128、192、および 256 ビットのキーをサポートします。 Cisco IP Phone は 256 ビットのキー サイズをサポートします。
(注)
Cisco IP Phone は、CMIC による Cisco Key Integrity Protocol(CKIP)をサポートしません。
認証方式と暗号化方式は、ワイヤレス LAN 内で設定されます。 VLAN は、ネットワーク内および AP 上で設定され、認証と暗号化の異なる組み合わせを指定します。 SSID は、VLAN と VLAN の特定の認証および暗号化方式に関連付けられます。 ワイヤレス クライアント デバイスを正常に認証するには、認証および暗号化方式で使用する SSID と同じ SSID を AP と Cisco IP Phone に設定する必要があります。
一部の認証方式では、特定のタイプの暗号化が必要です。 オープン認証では、セキュリティを高めるために、暗号化で静的 WEP を使用できます。 ただし、共有キー認証を使用している場合は、暗号化に静的 WEP を設定し、電話機で WEP キーを設定する必要があります。
(注)
- WPA 事前共有キーまたは WPA2 事前共有キーを使用する場合、その事前共有キーを電話機で静的に設定する必要があります。 これらのキーは、AP に存在するキーと一致している必要があります。
Cisco IP Phone は、自動 EAP ネゴシエーションをサポートしていません。EAP-FAST モードを使用するには、EAP-FAST モードを指定する必要があります。
次の表に、Cisco IP Phone がサポートしている、Cisco Aironet AP で設定される認証方式と暗号化方式のリストを示します。 表には、AP の設定に対応する電話機のネットワーク設定オプションを示します。
表 5 認証方式と暗号化方式 Cisco IP Phone の設定
AP の設定
セキュリティ モード(Security Mode)
セキュリティ
キー管理(Key Management)
暗号化(Encryption)
高速ローミング
なし
なし
なし
なし
該当なし
WEP
静的 WEP
静的
WEP
該当なし
PSK
PSK
WPA
TKIP
なし
WPA2
AES
FT
EAP-FAST
EAP-FAST
802.1x
WEP
CCKM
WPA
TKIP
CCKM
WPA2
AES
FT、CCKM
PEAP-MSCHAPV2
PEAP-MSCHAPV2
802.1x
WEP
CCKM
WPA
TKIP
CCKM
WPA2
AES
FT、CCKM
シスコの WLAN セキュリティの詳細については、http://www.cisco.com/en/US/products/hw/wireless/ps430/prod_brochure09186a00801f7d0b.html を参照してください。
認証方式と暗号化方式を AP に設定する方法の詳細については、次の URL で入手可能なご使用のモデルおよびリリースの『Cisco Aironet Configuration Guide』を参照してください。
http://www.cisco.com/cisco/web/psa/configure.html?mode=prod&level0=278875243
802.1X 認証(802.1X Authentication)
Cisco IP Phone は 802.1X 認証をサポートします。
Cisco IP Phone と Cisco Catalyst スイッチは、従来 Cisco Discovery Protocol(CDP)を使用して互いを識別し、VLAN 割り当てやインライン所要電力などのパラメータを決定します。 CDP では、ローカルに接続されたワークステーションは識別されません。 Cisco IP Phone は、EAPOL パススルー メカニズムを提供します。 このメカニズムを使用すると、Cisco IP Phone に接続されたワークステーションは、LAN スイッチにある 802.1X オーセンティケータに EAPOL メッセージを渡すことができます。 パススルー メカニズムにより、IP フォンはネットワークにアクセスする前にデータ エンドポイントを認証する際 LAN スイッチとして動作しません。
Cisco IP Phone はまた、プロキシ EAPOL ログオフ メカニズムも提供します。 ローカルに接続された PC が IP フォンから切断された場合でも、LAN スイッチと IP フォン間のリンクは維持されるので、LAN スイッチは物理リンクの障害を認識しません。 ネットワークの完全性が脅かされるのを避けるため、IP フォンはダウンストリーム PC の代わりに EAPOL ログオフ メッセージをスイッチに送ります。これは、LAN スイッチにダウンストリーム PC の認証エントリをクリアさせます。
802.1X 認証のサポートには、次のようなコンポーネントが必要です。
Cisco IP Phone: 電話機は、ネットワークへのアクセス要求を開始します。 Cisco IP Phone には、802.1x サプリカントが含まれています。 このサプリカントを使用して、ネットワーク管理者は IP 電話と LAN スイッチ ポートの接続を制御できます。 電話機に含まれる 802.1X サプリカントの現在のリリースでは、ネットワーク認証に EAP-FAST オプションと EAP-TLS オプションが使用されています。
Cisco Secure Access Control Server(ACS)(またはその他のサードパーティ製認証サーバ):認証サーバと電話機の両方に、電話機を認証するための共有秘密が設定されている必要があります。
Cisco Catalyst スイッチ(またはその他のサードパーティ製スイッチ):スイッチは、オーセンティケータとして機能し、電話機と認証サーバの間でメッセージを渡すことができるように、802.1X をサポートしている必要があります。 この交換が完了した後、スイッチはネットワークへの電話機のアクセスを許可または拒否します。
802.1X を設定するには、次の手順を実行する必要があります。
電話機で 802.1X 認証をイネーブルにする前に、他のコンポーネントを設定します。
PC ポートの設定:802.1X 標準では VLAN が考慮されないため、特定のスイッチ ポートに対してデバイスを 1 つだけ認証することを推奨します。 ただし、複数ドメインの認証をサポートしているスイッチもあります(Cisco Catalyst スイッチなど)。 スイッチの設定により、PC を電話機の PC ポートに接続できるかどうかが決定されます。
有効:複数ドメインの認証をサポートするスイッチを使用している場合、PC ポートを有効化し、そのポートに PC を接続できます。 この場合、スイッチと接続先 PC 間の認証情報の交換をモニタするために、Cisco IP Phone はプロキシ EAPOL ログオフをサポートします。 Cisco Catalyst スイッチでの IEEE 802.1X サポートの詳細については、次の URL にある Cisco Catalyst スイッチのコンフィギュレーション ガイドを参照してください。
無効:スイッチで同じポート上の複数の 802.1X 準拠デバイスがサポートされていない場合は、802.1X 認証を有効にするときに PC ポートを無効にするようにしてください。 このポートを無効にしないで PC を接続しようとすると、スイッチは電話機と PC の両方に対してネットワーク アクセスを拒否します。
- ボイス VLAN の設定:802.1X 標準では VLAN が考慮されないため、この設定をスイッチのサポートに基づいて行うようにしてください。
- MD5 共有秘密の入力:電話機で 802.1X 認証を無効にするか、工場出荷時の状態にリセットすると、以前に設定された MD5 共有秘密は削除されます。
802.1X 認証へのアクセス
手順
ステップ 1 [アプリケーション(Applications)] を押します。 ステップ 2 を選択します。 ステップ 3 [802.1X 認証(802.1X Authentication)] オプションの説明に従ってオプションを設定します。 ステップ 4 メニューを終了するには、[終了(Exit)] を押します。
[802.1X 認証(802.1X Authentication)] オプション
次の表では、802.1X 認証オプションについて説明します。
表 6 802.1X 認証の設定 オプション
説明
変更の手順
デバイス認証(Device Authentication)
802.1X 認証が有効かどうかを示します。
[デバイス認証(Device Authentication)] フィールドの設定を参照してください。
トランザクション ステータス(Transaction Status)
[状態(State)]:802.1x 認証の状態を表示します。
[切断済み(Disconnected)]:802.1x 認証が電話機に設定されていないことを示します。
[認証済(Authenticated)]:電話が認証されたことを示します。
[保留(Held)]:認証プロセスが進行中であることを示します。
[プロトコル(Protocol)]:802.1x 認証に使用される EAP 方式を表示します(EAP-FAST または EAP-TLS である場合があります)。
表示専用。 変更不可。