Cisco Unity 向け Cisco Unified Communications Manager SCCP インテグレーション ガイド リリース 8.x
Cisco Unity ボイス メッセージ ポートの Cisco Unified Communications Manager 認証および暗号化
Cisco Unity ボイス メッセージ ポートの Cisco Unified Communications Manager 認証および暗号化
発行日;2012/01/30 | 英語版ドキュメント(2010/02/01 版) | ドキュメントご利用ガイド | ダウンロード ; この章pdf , ドキュメント全体pdf (PDF - 2MB) | フィードバック

目次

Cisco Unity ボイス メッセージ ポートの Cisco Unified Communications Manager 認証および暗号化

のセキュリティ機能

機能の概要

要件

内の [CUCM/CCM クラスタ セキュリティ モード(CUCM/CCM Cluster Security Mode)] の設定

Cisco Unity ボイス メッセージ ポートの Cisco Unified Communications Manager 認証および暗号化

Cisco Unity と Cisco Unified Communications Manager との間の接続は、Cisco Unity システムが攻撃を受けやすい箇所の 1 つです。次のような脅威が発生する可能性があります。

中間者攻撃(Cisco Unified CM と Cisco Unity ボイス メッセージ ポートとの間を流れる情報を攻撃者が監視して改変するプロセス)

ネットワーク トラフィックのスニフィング(攻撃者がソフトウェアを使用し、Cisco Unified CM が管理する Cisco Unified CM、Cisco Unity ボイス メッセージ ポート、および IP Phone の間を流れる電話通話やシグナリング情報を取り込むプロセス)

Cisco Unity ボイス メッセージ ポートと Cisco Unified CM 間のコール シグナリングの改変

Cisco Unity ボイス メッセージ ポートと、電話機またはゲートウェイなどのエンドポイント間のメディア ストリームの改変

Cisco Unity ボイス メッセージ ポートの ID 盗用(Cisco Unity 以外のデバイスが Cisco Unified CM に対する Cisco Unity ボイス メッセージ ポートであるものとして提示されるプロセス)

Cisco Unified CM サーバの ID 盗用(Cisco Unified CM 以外のサーバが Cisco Unity ボイス メッセージ ポートに対する Cisco Unified CM サーバであるものとして提示されるプロセス)

Cisco Unified CM のセキュリティ機能

Cisco Unified CM 4.1(3) 以降では、これらの脅威に対して Cisco Unity との接続のセキュリティを保護できます。Cisco Unity が利用できる Cisco Unified CM のセキュリティ機能を 表 A-1 に示します。

 

表 A-1 Cisco Unity が使用する Cisco Unified CM のセキュリティ機能

セキュリティ機能
説明

シグナリング認証

Transport Layer Security(TLS; トランスポート層セキュリティ)プロトコルを使用して、シグナリング パケットが転送中に改ざんされていないことを検証するプロセス。シグナリング認証は Cisco Certificate Trust List(CTL; 証明書信頼リスト)ファイルの作成に依存します。

脅威に対する効果: この機能によって、次の脅威から保護されます。

Cisco Unified CM と Cisco Unity ボイス メッセージ ポートの間の情報フローを改変する中間者攻撃

コール シグナリングの改変

Cisco Unity ボイス メッセージ ポートの ID 盗用

Cisco Unified CM サーバの ID 盗用

デバイス認証

デバイスの ID を検証して、そのエンティティ自体が示す ID と一致していることを確認するプロセス。このプロセスは、各デバイスが他のデバイスの証明書を受け入れるときに、Cisco Unified CM と Cisco Unity ボイス メッセージ ポートの間で行われます。証明書が受け入れられると、デバイス間に安全な接続が確立されます。デバイス認証は Cisco Certificate Trust List(CTL; 証明書信頼リスト)ファイルの作成に依存します。

脅威に対する効果: この機能によって、次の脅威から保護されます。

Cisco Unified CM と Cisco Unity ボイス メッセージ ポートの間の情報フローを改変する中間者攻撃

メディア ストリームの改変

Cisco Unity ボイス メッセージ ポートの ID 盗用

Cisco Unified CM サーバの ID 盗用

シグナリング暗号化

暗号化の方法を使用して、Cisco Unity ボイス メッセージ ポートと Cisco Unified CM の間で送信されるすべての SCCP シグナリング メッセージの機密を(暗号化によって)保護するプロセス。シグナリング暗号化によって、相手に関連する情報、相手が入力した DTMF 番号、通話の状態、メディア暗号キーなどの情報が意図しないアクセスや不正なアクセスから保護されることが保証されます。

脅威に対する効果: この機能によって、次の脅威から保護されます。

Cisco Unified CM と Cisco Unity ボイス メッセージ ポートの間の情報フローを監視する中間者攻撃

Cisco Unified CM と Cisco Unity ボイス メッセージ ポートの間のシグナリング情報フローを監視するネットワーク トラフィック スニフィング

メディアの暗号化

暗号化手順を使用してメディアの機密を保持するプロセス。このプロセスでは、IETF RFC 3711 で定義されている Secure Real Time Protocol(SRTP)を使用して、目的の受信者だけが Cisco Unity ボイス メッセージ ポートとエンドポイント(電話機やゲートウェイなど)の間のメディア ストリームを解釈できることを保証します。サポートされるのは、オーディオ ストリームだけです。メディア暗号化には、デバイスのメディア マスターのキー ペアの作成、Cisco Unity とエンドポイントへのキーの配布、キーが転送される間のキーの配布のセキュリティの確保などが含まれます。Cisco Unity とエンドポイントは、そのキーを使用してメディア ストリームの暗号化と復号化を行います。

脅威に対する効果: この機能によって、次の脅威から保護されます。

Cisco Unified CM と Cisco Unity ボイス メッセージ ポートの間のメディア ストリームを傍受する中間者攻撃

Cisco Unified CM が管理する Cisco Unified CM、Cisco Unity ボイス メッセージ ポート、および IP Phone の間を流れる電話通話を盗聴するネットワーク トラフィックのスニフィング

メディア暗号化には、最小限の要件として認証とシグナリング暗号化が必要です。つまり、デバイスが認証とシグナリング暗号化をサポートしていない場合、メディア暗号化を行うことはできません。


) Cisco Unified CM の認証と暗号化は Cisco Unity への通話だけを保護します。メッセージ ストアに録音されたメッセージは Cisco Unified CM の認証と暗号化機能で保護されませんが、Cisco Unity の個人情報の安全が図られるメッセージ機能(Exchange がメッセージ ストアの場合にだけ使用可能)によって保護できます。Cisco Unity の個人情報の安全が図られるメッセージ機能の詳細については、『Security Guide for Cisco Unity』の「Securing Subscriber Messages」の章の「Secure Messaging」の項を参照してください。このガイドの Exchange バージョンは http://www.cisco.com/en/US/products/sw/voicesw/ps2237/prod_maintenance_guides_list.html から入手できます。


機能の概要

Cisco Unity と Cisco Unified CM の間のセキュリティ機能(認証および暗号化)には、次のものが必要です。

セキュア クラスタ用に Cisco Unity Telephony Integration Manager(UTIM; テレフォニー連動マネージャ)に入力されたすべての Cisco Unified CM サーバを一覧表示する Cisco Unified CM CTL ファイル。

認証または暗号化(あるいはその両方)を使用する各 Cisco Unity サーバの Cisco Unity サーバ ルート証明書。ルート証明書は作成された時点から 20 年間有効です。

Cisco Unity サーバ ルート証明書をルートとし、ボイス メッセージ ポートが Cisco Unified CM サーバへの登録時に提示する、Cisco Unity ボイス メッセージ ポートのデバイス証明書。

Cisco Unity ボイス メッセージ ポートの認証および暗号化プロセスは、次のように実行されます。

1. 各 Cisco Unity ボイス メッセージ ポートは TFTP サーバに接続し、CTL ファイルをダウンロードし、すべての Cisco Unified CM サーバの証明書を抽出します。

2. 各 Cisco Unity ボイス メッセージ ポートは Cisco Unified CM TLS ポートへのネットワーク接続を確立します。デフォルトでは、TLS ポートは 2443 ですが、ポート番号は設定可能です。

3. 各 Cisco Unity ボイス メッセージ ポートは Cisco Unified CM サーバへの TLS 接続を確立します。その時にデバイス証明書が確認され、ボイス メッセージ ポートが認証されます。

4. 各 Cisco Unity ボイス メッセージ ポートが Cisco Unified CM サーバに登録され、ボイス メッセージ ポートがメディア暗号化も使用するかどうかを指定します。

通話の動作

Cisco Unity と Cisco Unified CM の間で通話が行われる場合、コールシグナリング メッセージとメディア ストリームは次の方法で処理されます。

両方のエンドポイントが暗号化モードに設定されている場合、コールシグナリング メッセージとメディア ストリームが暗号化されます。

一方のエンドポイントが認証モードに設定され、もう一方のエンドポイントが暗号化モードに設定されている場合、コールシグナリング メッセージが認証されます。ただし、コールシグナリング メッセージもメディア ストリームも暗号化されません。

一方のエンドポイントが非セキュア モードに設定され、もう一方のエンドポイントが暗号化モードに設定されている場合、コールシグナリング メッセージもメディア ストリームも暗号化されません。

要件

ボイス メッセージ ポート用の Cisco Unified CM セキュリティ機能には、次の要件があります。

Cisco Unified Communications Manager サーバ

適切な数のボイス メッセージ ポートが有効なライセンス。

2 つのセキュア トークンがインストールされていること。

Cisco Unified CM Administration で、[システム(System)] > [エンタープライズ パラメータ設定(Enterprise Parameters Configuration)] ページの [セキュリティ パラメータ(Security Parameters)] の下にある [クラスタ セキュリティ モード(Cluster Security Mode)] パラメータが [1] (有効)に設定されている。

詳細については、『 Cisco Unified Communications Manager Security Guide 』( http://www.cisco.com/en/US/products/sw/voicesw/ps556/prod_maintenance_guides_list.html )の「Configuring the Cisco CTL Client」の章を参照してください。

Cisco Unified サービスアビリティの [ツール(Tools)] > [Control Center - Feature Services] ページの [CM サービス(CM Services)] で、Cisco CallManager と Cisco Tftp サービスが再起動される。

デバイス セキュリティ モードの電話セキュリティ プロファイルが、Cisco Unified CM ポートおよび Cisco Unity ポートと同じセキュリティ モードに設定されている。

該当する電話機の [デバイス(Device)] > [電話(Phone)] > [電話の設定(Phone Configuration)] ページが次のように設定されている。

[プロトコル固有情報(Protocol Specific Information)] で、[デバイス セキュリティ プロファイル(Device Security Profile)] フィールドが該当する電話セキュリティ プロファイルに設定されている。

[CAPF の情報(Certification Authority Proxy Function (CAPF) Information)] の下の [証明書の操作(Certification Operation)] フィールドが [インストール/アップグレード(Install/Upgrade)] に設定されている。

Cisco Unified CM ポートが、該当する電話機および Cisco Unity ポートと同じセキュリティ モードに設定されている。

Cisco Unity ルート証明書がすべてのクラスタ内のすべての Cisco Unified CM サーバにアップロードされている。

Cisco IP Phone

個別の(物理的な)電話機が [設定(Settings)] > [セキュリティ設定(Security Configuration)] 画面で次のように設定されている。

[セキュリティ モード(Security Mode)] が Cisco Unified CM ポートおよび Cisco Unity ポートと同じセキュリティ モードに設定されている。

[MIC] が [インストール済み(Installed)] に設定されている。

[LCS] が [インストール済み(Installed)] に設定されている。

Cisco Unity サーバ

適切な数のボイス メッセージ ポートが有効なライセンス。

Tftp.exe ファイルが ¥Winnt¥System32 ディレクトリにある。

Cisco Unity ポートが、Cisco Unified CM ポートおよび該当する電話機と同じセキュリティ モードに設定されている。

詳細については、このガイドの該当する章を参照してください。

Cisco Unity 内の [CUCM/CCM クラスタ セキュリティ モード(CUCM/CCM Cluster Security Mode)] の設定

Cisco Unity Telephony Integration Manager(UTIM; テレフォニー連動マネージャ)の [CUCM/CCM クラスタ セキュリティ モード(CUCM/CCM Cluster Security Mode)] の設定によって、ポートがコールシグナリング メッセージを処理する方法と、メディア ストリームの暗号化が可能かどうかが決まります。 表 A-2 に、UTIM 内の [CUCM/CCM クラスタ セキュリティ モード(CUCM/CCM Cluster Security Mode)] の設定の効果について説明します。

 

表 A-2 ボイス メッセージ ポートに対する [CUCM/CCM クラスタ セキュリティ モード(CUCM/CCM Cluster Security Mode)] の設定

設定
効果

保証なし(Non-secure)

コールシグナリング メッセージがクリア(暗号化されていない)テキストとして送信され、認証された TLS ポートではなく非認証ポートを使用して Cisco Unified CM に接続されるため、コールシグナリング メッセージの完全性とプライバシーは保証されません。

また、メディア ストリームも暗号化できません。

認証(Authenticated)

コールシグナリング メッセージは認証された TLS ポートを使用して Cisco Unified CM に接続されるため、完全性が保証されます。ただし、クリア(暗号化されていない)テキストで送信されるため、コールシグナリング メッセージのプライバシーは保証されません。

また、メディア ストリームも暗号化されません。

暗号化(Encrypted)

コールシグナリング メッセージは認証された TLS ポートを使用して Cisco Unified CM に接続され、暗号化されるため、完全性とプライバシーが保証されます。

また、メディア ストリームも暗号化できます。


注意 メディア ストリームが暗号化されるようにするには、両方のエンドポイントが暗号化モードで登録されている必要があります。ただし、一方のエンドポイントが非セキュア モードまたは認証モードに設定され、もう一方のエンドポイントが暗号化モードに設定されている場合、メディア ストリームは暗号化されません。また、仲介デバイス(トランスコーダやゲートウェイなど)で暗号化が有効になっていない場合も、メディア ストリームは暗号化されません。

セキュリティの無効化と再有効化

Cisco Unity と Cisco Unified CM の間の認証および暗号化機能を有効化または無効化するには、すべての Cisco Unified CM クラスタに対して [CUCM/CCM クラスタ セキュリティ モード(CUCM/CCM Cluster Security Mode)] を [保証なし(Non-secure)] に変更し、さらに Cisco Unified CM Administration で該当する設定を変更します。

認証および暗号化を再度有効にするには、[CUCM/CCM クラスタ セキュリティ モード(CUCM/CCM Cluster Security Mode)] を [認証(Authenticated)] または [暗号化(Encrypted)] に変更します。


) 認証および暗号化を無効にした場合や再度有効にした場合、Cisco Unity サーバ ルート証明書をエクスポートしてすべての Cisco Unified CM サーバにコピーする必要はありません。


複数のクラスタに対する複数の設定

Cisco Unity が複数の Cisco Unified CM クラスタと連動されている場合、クラスタに異なる [CUCM/CCM クラスタ セキュリティ モード(CUCM/CCM Cluster Security Mode)] の設定を保持できます。たとえば、クラスタ 1 を [暗号化(Encrypted)] に設定し、クラスタ 2 を [保証なし(Non-secure)] に設定できます。

個別のボイス メッセージ ポートの設定

トラブルシューティングを行う場合は、Cisco Unity ボイス メッセージ ポートの認証および暗号化の有効と無効を個別に切り替えることができます。それ以外の場合は、[ポート(Ports)] タブのすべてのボイス メッセージ ポートの [CUCM/CCM クラスタ セキュリティ モード(CUCM/CCM Cluster Security Mode)] 設定を [サーバ(Servers)] タブの [CUCM/CCM クラスタ セキュリティ モード(CUCM/CCM Cluster Security Mode)] 設定と同じにしておくことをお勧めします。