セキュリティ機能は、電話機の ID やデータへの脅威などの脅威を防止します。 セキュリティ機能は、電話機と Cisco Unified Communications Manager サーバ間に認証された通信ストリームを確立し、これを維持するとともに、電話機がデジタル署名されたファイルのみ使用することを確認します。

Cisco Unified Communications Manager リリース 8.5(1) 以降のはデフォルトでセキュリティ機能が搭載されており、CTL クライアントを実行しなくても、Cisco IP 電話 に次のセキュリティ機能が提供されます。

• 電話機の設定ファイルの署名

• 電話機の設定ファイルの暗号化

• HTTPS with Tomcat および他の Web サービスの利用

Cisco Unified Communications Manager システムにセキュリティを実装すると、電話機や Cisco Unified Communications Manager サーバの ID 盗用、データの改ざん、およびコール シグナリングとメディア ストリームの改ざんを防止できます。

これらの脅威を軽減するため、Cisco Unified IP テレフォニー ネットワークは、電話機とサーバの間にセキュアな（暗号化された）通信ストリームを確立し、維持します。ファイルはデジタル署名してから電話機に転送し、Cisco IP 電話 間では、メディア ストリームとコール シグナリングを暗号化します。

認証局プロキシ関数（CAPF）に関連付けられた必要なタスクの実行後、ローカルで有効な証明書（LSC）が電話機にインストールされます。 LSC は Cisco Unified Communications Manager Administration で設定できます。詳細については、『Cisco Unified Communications Manager セキュリティガイド』を参照してください。 あるいは、携帯電話のセキュリティ設定メニューから LSC のインストールを開始することもできます。 このメニューでは、LSC の更新および削除も実行できます。

電話機では電話セキュリティ プロファイルを使用します。この中では、デバイスがセキュリティ保護の対象になるかどうかを定義します。 電話へセキュリティ プロファイルを適用する方法の詳細は、該当する Cisco Unified Communications Manager リリースのマニュアルを参照してください。

Cisco Unified Communications Manager Administration でセキュリティ関連の設定を行うと、電話機の設定ファイルに重要な情報が保存されます。 設定ファイルのプライバシーを確保するには、そのファイルを暗号化用に設定する必要があります。 詳細については、該当する Cisco Unified Communications Manager リリースのマニュアルを参照してください。

この携帯電話は連邦情報処理標準 (FIPS) に準拠しています。 正常に機能するには、FIPS モードで 2048 ビット以上のキー サイズが必要です。 証明書が 2048 ビット未満の場合、電話機は Cisco Unified Communications Manager に登録されず、「電話機を登録できませんでした。 [証明書のキー サイズは FIPS に準拠していません（Cert key size is not FIPS compliant）]が表示されます。

電話機に LSC がある場合、FIPS を有効にする前に、LSC キー サイズを 2048 ビット以上に更新しておく必要があります。

次の表に、電話機でサポート対象セキュリティ機能の概要を示します。 詳細については、お使いの Cisco Unified Communications Manager リリースのマニュアルを参照してください。

セキュリティモードを表示するには、 設定 に移動して ネットワークとサービス > セキュリティ設定。

次の表に、信頼リストの更新アラームのメッセージとその意味を示します。 詳細については、Cisco Unified Communications Manager のマニュアルを参照してください。

[セキュリティのセットアップ（Security Setup）] メニューには、さまざまなセキュリティ設定に関する情報が表示されます。 メニューでは、[信頼リスト（Trust List）] メニューにもアクセスでき、CTL ファイルまたは ITL ファイルが電話機にインストールされているかどうかを示します。

次の表に、[セキュリティのセットアップ（Security Setup）] メニューのオプションを示します。

Cisco IP Phones は 802.1X 認証をサポートします。

Cisco IP 電話 と Cisco Catalyst スイッチは、従来 Cisco Discovery Protocol（CDP）を使用して互いを識別し、VLAN 割り当てやインライン所要電力などのパラメータを決定します。 CDP では、ローカルに接続されたワークステーションは識別されません。 Cisco IP 電話は、EAPOL パススルー メカニズムを提供します。 このメカニズムを使用すると、Cisco IP 電話に接続されたワークステーションは、LAN スイッチにある 802.1X オーセンティケータに EAPOL メッセージを渡すことができます。 パススルー メカニズムにより、IP フォンはネットワークにアクセスする前にデータ エンドポイントを認証する際 LAN スイッチとして動作しません。

Cisco IP 電話はまた、プロキシ EAPOL ログオフ メカニズムも提供します。 ローカルに接続された PC が IP フォンから切断された場合でも、LAN スイッチと IP フォン間のリンクは維持されるので、LAN スイッチは物理リンクの障害を認識しません。 ネットワークの完全性が脅かされるのを避けるため、IP フォンはダウンストリーム PC の代わりに EAPOL ログオフ メッセージをスイッチに送ります。これは、LAN スイッチにダウンストリーム PC の認証エントリをクリアさせます。

802.1X 認証のサポートには、次のようなコンポーネントが必要です。

• Cisco IP 電話: 電話機は、ネットワークへのアクセス要求を開始します。 Cisco IP Phones には、802.1x サプリカントが含まれています。 このサプリカントを使用して、ネットワーク管理者は IP 電話と LAN スイッチ ポートの接続を制御できます。 電話機に含まれる 802.1X サプリカントの現在のリリースでは、ネットワーク認証に EAP-FAST オプションと EAP-TLS オプションが使用されています。

• 認証サーバ: 認証サーバとスイッチの両方に、電話機を認証する共有秘密を設定する必要があります。

• スイッチ：スイッチは 802.1X をサポートする必要があるため、オーセンティケーターとして機能し、電話と認証サーバー間でメッセージを送受信します。 この交換が完了した後、スイッチはネットワークへの電話機のアクセスを許可または拒否します。

802.1X を設定するには、次の手順を実行する必要があります。

• 電話機で 802.1X 認証をイネーブルにする前に、他のコンポーネントを設定します。

• PC ポートの設定：802.1X 標準では VLAN が考慮されないため、特定のスイッチ ポートに対してデバイスを 1 つだけ認証することを推奨します。 ただし、一部のスイッチはマルチドメイン認証をサポートしています。 スイッチの設定により、PC を電話機の PC ポートに接続できるかどうかが決定されます。

  • 有効：複数ドメインの認証をサポートするスイッチを使用している場合、PC ポートを有効化し、そのポートに PC を接続できます。 この場合、スイッチと接続先 PC 間の認証情報の交換をモニタするために、Cisco IP Phones はプロキシ EAPOL ログオフをサポートします。

    Cisco Catalyst スイッチでの IEEE 802.1X サポートの詳細については、次の URL にある Cisco Catalyst スイッチのコンフィギュレーション ガイドを参照してください。

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • 無効：スイッチが同一ポート上の複数の 802.1X 対応デバイスをサポートしていない場合、802.1X 認証を有効化するときに PC ポートを無効にする必要があります。 このポートを無効にしないで PC を接続しようとすると、スイッチは電話機と PC の両方に対してネットワーク アクセスを拒否します。

• ボイス VLAN の設定：802.1X 標準では VLAN が考慮されないため、この設定をスイッチのサポートに基づいて行うようにしてください。
  • 有効：複数ドメインの認証をサポートするスイッチを使用している場合は、ボイス VLAN を引き続き使用できます。
  • 無効：スイッチで複数ドメインの認証がサポートされていない場合は、ボイス VLAN を無効にし、ポートをネイティブ VLAN に割り当てることを検討してください。
• （Cisco デスクフォン 9800 シリーズのみ）

  Cisco Desk Phone 9800 シリーズの PID プレフィックスは、他の Cisco 電話機のプレフィックスとは異なります。 携帯電話が 802.1X 認証を通過できるようにするには、 Radius·ユーザ名 パラメータを追加して、Cisco Desk Phone 9800 シリーズを追加します。

  例えば、電話機 9841 の PID は DP-9841 です。 Radius·ユーザ名 に DP から始める または DP を含む。 次の両方のセクションで設定できます。

  • ポリシー > 条件 > 図書館の条件

  • ポリシー > ポリシーセット > 承認ポリシー > 承認ルール 1

電話機にセキュリティを実装している場合は、電話スクリーンに表示されるアイコンによって、セキュアな電話コールや暗号化された電話コールを識別できます。 また、コールの開始時にセキュリティ トーンが再生される場合は、接続された電話機がセキュアであり保護されているかどうかも判断できます。

セキュアなコールでは、すべてのコール シグナリングとメディア ストリームが暗号化されます。 セキュアなコールは高度なレベルのセキュリティを提供し、コールに整合性とプライバシーを提供します。 通話が暗号化されている場合、セキュアアイコンが表示されます。 ライン上で。 安全な電話のために、認証済みアイコンも表示できます または暗号化されたアイコン 電話メニュー（設定 > このデバイスについて）で、接続されたサーバの横に表示されます。

セキュアなコールではコールの開始時にセキュリティ トーンが再生され、接続先の電話機もセキュアな音声を送受信していることを示します。 セキュアでない電話機にコールが接続されると、セキュリティ トーンは再生されません。

電話が Cisco Unified Communications Manager でセキュア（暗号化され、信頼済み）として設定されている場合は、 保護された 状態。 その後、必要に応じて、保護された電話機は、コールの初めに通知トーンを再生するように設定できます。

• [保護されたデバイス（Protected Device）]：セキュアな電話機のステータスを保護に変更するには、Cisco Unified Communications Manager の管理ページの [電話の設定（Phone Configuration）] ウィンドウにある [保護されたデバイス（Protected Device）] チェックボックスをオンにします（[デバイス（Device）] > [電話（Phone）]）。

• [セキュア インディケーション トーンの再生（Play Secure Indication Tone）]：保護された電話機で、セキュアまたは非セキュアな通知トーンの再生を有効にするには、[セキュア インディケーション トーンの再生（Play Secure Indication Tone）] 設定を [はい（True）] に設定します。 デフォルトでは、[セキュア インディケーション トーンの再生（Play Secure Indication Tone）] は [いいえ（False）] に設定されます。 このオプションは、Cisco Unified Communications Manager の管理（[システム（System）] > [サービス パラメータ（Service Parameters）]）で設定します。 サーバを選択してから、Unified Communications Manager サービスを選択します。 [サービス パラメータ設定（Service Parameter Configuration）] ウィンドウで、[機能 - セキュア トーン（Feature - Secure Tone）] 領域内にあるオプションを選択します。 デフォルトは False です。

通信圏内にあるすべての WLAN デバイスは他の WLAN トラフィックをすべて受信できるため、WLAN 内の音声通信の保護は重要です。 侵入者が音声トラフィックを操作したり傍受したりできないようにするために、Cisco SAFE セキュリティ アーキテクチャが電話機をサポートします。 ネットワーク内のセキュリティの詳細については、http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html を参照してください。

Cisco ワイヤレス IP テレフォニー ソリューションは、電話機がサポートする次の認証方法を使用して、不正なサインインや通信の侵害を防ぐワイヤレス ネットワーク セキュリティを提供します。

• オープン認証：オープン システムでは、任意のワイヤレス デバイスが認証を要求できます。 要求を受けた AP は、任意のリクエスタまたはユーザのリスト上にあるリクエスタだけに認証を与える場合があります。 ワイヤレス デバイスとアクセス ポイント (AP) 間の通信は暗号化されていない可能性があります。

• 拡張認証プロトコル - セキュア トンネリングによる柔軟な認証 (EAP-FAST) 認証: このクライアント/サーバ セキュリティ アーキテクチャは、AP と Identity Services Engine (ISE) などの RADIUS サーバ間のトランスポート レベル セキュリティ (TLS) トンネル内で EAP トランザクションを暗号化します。

  TLS トンネルでは、クライアント（電話機）と RADIUS サーバの間の認証に Protected Access Credential（PAC）が使用されます。 サーバは Authority ID（AID）をクライアント（電話機）に送信します。それを受けてクライアントは適切な PAC を選択します。 クライアント（電話機）は PAC-Opaque を RADIUS サーバに返します。 サーバは、プライマリキーで PAC を復号します。 これで両方のエンドポイントに同じ PAC キーが含まれ、TLS トンネルが構築されます。 EAP-FAST では、自動 PAC プロビジョニングがサポートされていますが、RADIUS サーバ上で有効にする必要があります。

  ISE では、デフォルトでは PAC は 1 週間で期限切れになります。 電話機に期限切れの PAC が存在する場合、電話機が新しい PAC を取得するまでの間は、RADIUS サーバでの認証に比較的長い時間がかかります。 PAC プロビジョニングの遅延を回避するには、ISE または RADIUS サーバで PAC の有効期限を 90 日以上に設定します。

• 拡張認証プロトコル - トランスポート層セキュリティ（EAP-TLS）認証：EAP-TLS では、認証とネットワークアクセスにクライアント証明書が必要です。 ワイヤレス EAP-TLS の場合、クライアント証明書は MIC, LSC, またはユーザがインストールした証明書にすることができます。

• Protected Extensible Authentication Protocol（PEAP）：クライアント（電話機）と RADIUS サーバ間の、シスコ独自のパスワードベースの相互認証方式です。 電話機は、ワイヤレス ネットワークでの認証に PEAP を使用できます。 PEAP-MSCHAPV2 と PEAP-GTC の両方の認証メカニズムがサポートされます。

• 事前共有キー (PSK): 電話機は ASCII 形式をサポートしています。 WPA/WPA2/SAE 事前共有キーを設定するときは、次の形式を使用する必要があります。

  ASCII：長さが 8～63 文字の ASCII 文字文字列（0～9、小文字および大文字の A～Z、および特殊文字）

  例: GREG123567@9ZX&W

次の認証方式では、RADIUS サーバを使用して認証キーを管理します。

• WPA/WPA2/WPA3: RADIUS サーバ情報を使用して、認証用の一意のキーを生成します。 これらのキーは集中型の RADIUS サーバで生成されるため、WPA2/WPA3 は AP と電話に保存される WPA 事前共有キーよりも高いセキュリティを提供します。

• 高速安全ローミング： RADIUS サーバとワイヤレス ドメイン サーバ（WDS）上の情報を使用してキーを管理および認証します。 WDS は、高速かつ安全な再認証のために、FT 対応クライアント デバイスのセキュリティ資格情報のキャッシュを作成します。 Cisco Desk Phone 9861 および 9871、Cisco Video Phone 8875 は 802.11r (FT) をサポートしています。 高速で安全なローミングを可能にするために、無線と DS の両方がサポートされています。 しかしシスコでは 802.11r（FT）無線方式を利用することを強く推奨します。

WPA/WPA2/WPA3 では、暗号化キーは電話機に入力されず、AP と電話機の間で自動的に導出されます。 ただし認証で使用する EAP ユーザ名とパスワードは、各電話機に入力する必要があります。

音声トラフィックの安全を確保するために、電話機は暗号化に TKIP と AES をサポートしています。 これらのメカニズムを暗号化に使用すると、シグナリング SIP パケットと音声リアルタイム トランスポート プロトコル (RTP) パケットの両方が AP と電話の間で暗号化されます。

TKIP

WPA は、WEP よりもいくつかの点で改善された TKIP 暗号化を使用します。 TKIP は、パケットごとのキーの暗号化、および暗号化が強化されたより長い初期ベクトル（IV）を提供します。 さらに、メッセージ完全性チェック（MIC）は、暗号化されたパケットが変更されていないことを確認します。 TKIP は、侵入者が WEP を使用して WEP キーを解読する可能性を排除します。

AES

WPA2/WPA3 認証に使用される暗号化方式。 この暗号化の国内規格は、暗号化と復号化に同じキーを持つ対称型アルゴリズムを使用します。 AES は、128 ビットサイズの暗号ブロック連鎖（CBC）暗号化を使用し、最小のキー サイズとして 128 ビット、192 ビット、および 256 ビットのキーをサポートします。 この電話機は 256 ビットのキー サイズをサポートしています。

認証方式と暗号化方式は、ワイヤレス LAN 内で設定されます。 VLAN は、ネットワーク内および AP 上で設定され、認証と暗号化の異なる組み合わせを指定します。 SSID は、VLAN と VLAN の特定の認証および暗号化方式に関連付けられます。 ワイヤレス クライアント デバイスを正常に認証するには、AP と電話機で同じ SSID を認証および暗号化スキームで設定する必要があります。

一部の認証方式では、特定のタイプの暗号化が必要です。

次の表の認証および暗号化スキームは、AP 構成に対応する電話機のネットワーク構成オプションを示しています。

Assured Services SIP（AS-SIP）は、Cisco IP 電話 およびサードパーティ製の電話機に非常に安全なコールフローを提供する機能とプロトコルの集まりです。 次の機能はまとめて AS-SIP と呼ばれます。

• マルチレベルの優先およびプリエンプション
• DiffServ コード ポイント（DSCP）
• トランスポート層セキュリティ（TLS）および Secure Real-Time Transport Protocol（SRTP）
• インターネット プロトコル バージョン 6（IPv6）

AS-SIP は、緊急時の通話に優先順位を付けるために、マルチレベル優先順位およびプリエンプション（MLPP）と共に使用されることがよくあります。 MLPP を使用すると、レベル 1（低）からレベル 5（高）まで、発信通話に優先レベルを割り当てることができます。 ユーザがコールを受信すると、電話機の発信者名の横に優先レベル アイコンが表示されます。

AS-SIP の設定を行うには、Cisco Unified Communications Manager で次のタスクを実行します。

• ダイジェストユーザを設定する：SIP 要求にダイジェスト認証を使用するようにエンドユーザを設定します。
• SIP 電話のセキュア ポートの設定：Cisco Unified Communications Manager は、SIP 電話からの SIP 回線登録をリッスンするためにこの TLS ポートを使用します。
• サービスの再起動：セキュアポートを設定した後、Cisco Unified Communications Manager および Cisco CTL Provider サービスを再起動します。 この手順で、AS-SIP エンドポイントおよび SIP トランクの SIP 設定を使用して SIP プロファイルを設定します。 電話機固有のパラメータはサードパーティ製 AS-SIP 電話機にダウンロードされません。 これらは Cisco Unified Manager によってのみ使用されます。 サードパーティ製電話機では同じ設定値をローカルに設定する必要があります。
• AS-SIP 用の電話セキュリティプロファイルの設定：電話セキュリティプロファイルを使用して、TLS、SRTP、ダイジェスト認証などのセキュリティ設定を割り当てることができます。
• AS-SIP エンドポイントの設定：AS-SIP サポートを使用して、Cisco IP 電話 またはサードパーティのエンドポイントを設定します。
• デバイスとエンド ユーザの関連付け - エンドポイントをユーザに関連付けます。
• AS-SIP の SIP トランクセキュリティプロファイルの設定：SIP トランクセキュリティプロファイルを使用して、TLS やダイジェスト認証などのセキュリティ機能を SIP トランクに割り当てることができます。
• AS-SIP 用の SIP トランクの設定 - AS-SIP サポートを使用して SIP トランクを設定します。
• AS-SIP 機能の設定：MLPP、TLS、V.150、IPv6 などの追加の AS-SIP 機能を設定します。

AS-SIP の設定の詳細については、『AS-SIP エンドポイントの設定』の章を参照してください。 Cisco Unified Communications Manager の機能設定ガイド。

電話機に強制承認コード (FAC) またはクライアント識別コード (CMC)、あるいはその両方が設定されている場合、ユーザーは番号をダイヤルするために必要なパスワードを入力する必要があります。

Cisco Unified Communications Manager で FAC と CMC を設定する方法の詳細については、『Cisco Unified Communications Manager リリース 12.5(1) 以降の機能設定ガイド』の「クライアント マター コードと強制承認コード」の章を参照してください。

Cisco VPN 機能は、ユーザが企業ネットワークに安全かつ信頼性の高い方法で接続できるようにしながら、ネットワーク セキュリティを維持できます。 この機能は、次のような場合に使用します。

• 電話機が信頼ネットワークの外側にある
• 電話機と Cisco Unified Communications Manager 間のネットワーク トラフィックが信頼できないネットワークと交差する

VPN を使用する場合、一般的なクライアント認証の方法には、次の 3 つがあります。

• デジタル証明書
• パスワード
• ユーザ名とパスワード

各方法にはそれぞれの利点があります。 しかし、企業のセキュリティ ポリシーで許可されているのであれば、証明書ベースの方法をお勧めします。証明書を使用すれば、ユーザの介入なしのシームレスなサインインが可能になります。 LSC 証明書と MIC 証明書の両方がサポートされます。

VPN 機能を設定するには、まずオンプレミスのプロビジョニングを行い、その後、オフプレミスにデバイスを導入できます。

証明書認証と VPN ネットワークの操作の詳細については、「 ASA での証明書認証を使用した AnyConnect VPN Phone の設定」を参照してください。

パスワード、またはユーザ名とパスワードによる方法では、サインイン資格情報の入力がユーザに求められます。 会社のセキュリティ ポリシーに従ってユーザのサインイン クレデンシャルを設定します。 ユーザ パスワードが電話機で保存されるよう [永続的パスワードを有効化（Enable Password Persistence ）] を設定することもできます。 ログイン試行に失敗するか、ユーザが手動でパスワードをクリアするか、電話がリセットされるか、または電源が切れるまで、ユーザのパスワードは保存されます。

もう 1 つの便利なツールは、「自動ネットワーク検出を有効にする」設定です。 このチェックボックスが有効になっていると、VPN クライアントは、企業ネットワークの外にいることを検出した場合に限り動作します。 デフォルトでは、この設定はディセーブルになっています。

ご使用の Cisco 電話機は、クライアントタイプとして Cisco SVC IPPhone クライアント v1.0 をサポートしています。

Unified CM で VPN を設定する方法の詳細については、『 Cisco Unified Communications Manager の機能設定ガイド』を参照してください。

Cisco VPN 機能はセキュア ソケット レイヤ (SSL) を使用してネットワーク セキュリティを保持します。