内容

概要

問題

原因

問題の確認

ケース 1：Expressway-CはMD5ハッシュ証明書を使用し、Expressway-Eはセキュアハッシュアルゴリズム（SHAアルゴリズム）を使用した証明書を持つ

ケース 2：Expressway-EがMD5ハッシュ証明書を使用し、Expressway-CがSHAアルゴリズムを使用する証明書を持つ

ケース 3：Expressway-EとExpressway-CはどちらもMD5ハッシュ証明書を使用する

証明書アルゴリズムの確認

解決方法

概要

このドキュメントでは、Message Digest 5(MD5)ハッシュアルゴリズム証明書が使用されている場合に、Mobile and Remote Access(MRA)で電話機を登録するときに発生する可能性のある問題について説明し、この問題の解決策を提供します。

問題

MD5シグニチャアルゴリズムを使用してExpressway-C/Video Communication Server(VCS)-Cで使用される証明書が生成されると、電話機の登録がMRAで失敗します。

原因

証明書にMD5ハッシュアルゴリズムを使用すると、攻撃者がコンテンツをスプーフィングしたり、フィッシング攻撃を実行したり、中間者攻撃を実行する可能性があります。Microsoftは昨年、MD5ハッシュアルゴリズムで証明書の使用を制限するセキュリティアドバイザリをリリースしました。Microsoftセキュリティアドバイザリ： Microsoftルート証明書プログラムのMD5ハッシュアルゴリズム廃止の更新： 2013年8月13日

Cisco Bug ID CSCuq95204は、VCSドキュメントを更新して、シスコがMD5ハッシュアルゴリズム証明書をサポートしていないことを示すために提起されました。

問題の確認

この項では、この問題が原因で登録が失敗するかどうかを確認する方法について詳しく説明します。

Jabberがエッジ/MRAインフラストラクチャ経由でソフトフォンを登録しようとすると、ExpresswayマシンがMD5ハッシュ証明書を使用すると、Jabberソフトフォンの登録が失敗します。ただし、エラーの性質は異なり、MD5ハッシュ証明書を使用するマシンによって異なります。

ケース 1：Expressway-CはMD5ハッシュ証明書を使用し、Expressway-Eはセキュアハッシュアルゴリズム（SHAアルゴリズム）を使用した証明書を持つ

Expressway-C診断ログで次のエラーが発生します。

2014-09-20T06:06:43+05:30 Expressway-C UTCTime="2014-09-20 00:36:43,837" Module=

"developer.cvs.server" Level="INFO" CodeLocation="cvs(132)" Detail="Certificate

verification failure" SubjectCommonName="Expressway-E.edge.com" Error="(SEC_ERROR_

CERT_SIGNATURE_ALGORITHM_DISABLED) The certificate was signed using a signature

algorithm that is disabled because it is not secure."

このエラーの後、「437 unsupported certificate」というメッセージがExpressway-Eに表示されます。

2014-09-20T06:06:43+05:30 Expressway-C tvcs: UTCTime="2014-09-20 00:36:43,840"

Module="network.sip" Level="DEBUG":  Action="Sent"  Local-ip="127.0.0.1"  Local-

port="22210"  Dst-ip="127.0.0.1"  Dst-port="25011"  Msg-Hash="5047300400093470988"

SIPMSG:

|SIP/2.0 437 Unsupported Certificate

Via: SIP/2.0/TCP 127.0.0.1:5060;egress-zone=DefaultZone;branch=z9hG4bKeaaf784fd792

c156da3ff2b664a2eee751464.eb53ca5fcac328dc0f61631ec583fdf4;proxy-call-id=0e01fda1-

6704-4066-bcfd-06e2f3ded8f9;received=127.0.0.1;rport=25011

Via: SIP/2.0/TLS 10.106.93.182:7001;egress-zone=TraversalserverzoneMRA;branch=z9hG

4bKc4ad3ddb1c5a24099882b10815ee247196.afc37861e975b930c7e624e1d5c6e967;proxy-call-id=

4436ec58-81a4-47a2-b4be-9f0b8b551209;received=10.106.93.182;rport=7001;ingress-zone=

TraversalclientzoneMRA;ingress-zone-id=1

Via: SIP/2.0/TCP 127.0.0.1:5060;branch=z9hG4bKaa0592c35ecf47289c8efe37792f0c5095;

received=127.0.0.1;rport=25000;ingress-zone=DefaultZone

Call-ID: 5050433d0d38b156@127.0.0.1

CSeq: 35384 SERVICE

From: <sip:serviceproxy@10.106.93.187>;tag=31976bf5fd009665

To: <sip:serviceserver@10.106.93.187>;tag=f35f010a358ec6dd

Server: TANDBERG/4130 (X8.2.1)

Content-Length: 0

ケース 2：Expressway-EがMD5ハッシュ証明書を使用し、Expressway-CがSHAアルゴリズムを使用する証明書を持つ

Expressway-E診断ログで次のエラーが発生します。

2014-11-28T20:17:38+05:30 Expressway-E UTCTime="2014-11-28 14:47:38,393" Module=

"developer.cvs.server" Level="INFO" CodeLocation="cvs(132)" Detail="Certificate

verification failure" SubjectCommonName="Expressway-C.edge.local" Error="(SEC_ERROR_

CERT_SIGNATURE_ALGORITHM_DISABLED) The certificate was signed using a signature

algorithm that is disabled because it is not secure."

このエラーの後、Jabberクライアントに「403 Forbidden」メッセージが表示されます。

2014-11-28T20:17:38+05:30 Expressway-E tvcs: UTCTime="2014-11-28 14:47:38,395"

Module="network.sip" Level="DEBUG": Action="Sent" Local-ip="10.106.93.182" Local-

port="5061" Dst-ip="10.106.93.185" Dst-port="49174" Msg-Hash="8732905073947938174"

SIPMSG:

|SIP/2.0 403 Forbidden

Via: SIP/2.0/TLS 10.106.93.185:49174;branch=z9hG4bK00006db3;received=10.106.93.185

Call-ID: 005056ad-6bf90002-000038a2-00003b0a@10.106.93.185

CSeq: 104 REGISTER

From: <sip:8002@10.106.93.187>;tag=005056ad6bf9000200007e3c-000005e2

To: <sip:8002@10.106.93.187>;tag=baa86af3aca9e844

Server: TANDBERG/4130 (X8.2.1)

Content-Length: 0

ケース 3：Expressway-EとExpressway-CはどちらもMD5ハッシュ証明書を使用する

Expressway-C診断ログで次のエラーが発生します。

2014-11-28T20:50:44+05:30 Expressway-C UTCTime="2014-11-28 15:20:44,943" Module=

"developer.cvs.server" Level="INFO" CodeLocation="cvs(132)" Detail="Certificate

verification failure" SubjectCommonName="Expressway-E.edge.com" Error="(SEC_ERROR_

CERT_SIGNATURE_ALGORITHM_DISABLED) The certificate was signed using a signature

algorithm that is disabled because it is not secure."

このエラーの後、「437 unsupported certificate」というメッセージがExpressway-Eに表示されます。

2014-11-28T20:50:44+05:30 Expressway-C tvcs: UTCTime="2014-11-28 15:20:44,945"

Module="network.sip" Level="DEBUG": Action="Sent" Local-ip="127.0.0.1" Local-

port="22210" Dst-ip="127.0.0.1" Dst-port="25753" Msg-Hash="136016498284976281"

SIPMSG:

|SIP/2.0 437 Unsupported Certificate

Via: SIP/2.0/TCP 127.0.0.1:5060;egress-zone=DefaultZone;branch=z9hG4bK22df47

ed2281a3bf3d88ece09bfbbc3a231977.0dbe343429e681275f6160e8c8af25fe;proxy-call-

id=2ee40ecc-4a1b-4073-87a6-07fbc3d7a6be;received=127.0.0.1;rport=25753

Via: SIP/2.0/TLS 10.106.93.182:7001;egress-zone=TraversalserverzoneMRA;branch=

z9hG4bK35a8b2cbb77db747c94e58bbf1d16cf1108.1c42f037f9ac98c59766cb84d0d3af10;

proxy-call-id=a8938902-2e0c-4a49-b900-a3b631920553;received=10.106.93.182;rport=

7001;ingress-zone=TraversalclientzoneMRA;ingress-zone-id=1

Via: SIP/2.0/TCP 127.0.0.1:5060;branch=z9hG4bKb2da522d9f1b5ad1bc2f415f5f01d0d2107;

received=127.0.0.1;rport=25000;ingress-zone=DefaultZone

Call-ID: 019ed17f1344e908@127.0.0.1

CSeq: 54313 SERVICE

From: <sip:serviceproxy@10.106.93.187>;tag=3426bb81de53e3b6

To: <sip:serviceserver@10.106.93.187>;tag=2128ce8a1f90cb7b

Server: TANDBERG/4130 (X8.2.1)

Content-Length: 0

証明書アルゴリズムの確認

このスクリーンショットは、使用されている証明書アルゴリズムを確認する方法を示しています。

解決方法

通常、認証局(CA)はMD5アルゴリズムを使用する証明書を提供しません。ただし、Expressway-Cの証明書がエンタープライズMicrosoft CAで生成され、Expressway-EがパブリックCAによって発行されたGoDaddyなどの証明書を使用するという混合アプローチを使用する場合があります。

エンタープライズMicrosoftルートCAがMD5アルゴリズムを使用する場合、この問題が発生します。Microsoft Windows Server 2008で稼働するCAサービスがある場合は、ルートCAを変更してSHA1アルゴリズムを使用できます。ハッシュアルゴリズムを変更するには、「ルートCAを更新する際にハッシュアルゴリズムを変更できます。