فهم شهادات ECDSA في حل UCCX

المقدمة

يصف هذا المستند كيفية تكوين حل Cisco Unified Contact Center Express (UCCX) لاستخدام شهادات خوارزمية التوقيع الرقمي للمنحنى البيضاوي (ECDSA).

المتطلبات الأساسية

المتطلبات

قبل المتابعة بخطوات التكوين الموضحة في هذا المستند، تأكد من حصولك على حق الوصول إلى صفحة إدارة نظام التشغيل (OS) لهذه التطبيقات:

• UCCX
• SocialMiner
• برنامج Cisco Unified Communications Manager (CUCM)
• تكوين شهادة حل UCCX - http://www.cisco.com/c/en/us/support/docs/customer-collaboration/unified-contact-center-express/118855-configure-uccx-00.html

يجب أن يكون للمسؤول أيضا حق الوصول إلى مخزن الشهادات على أجهزة الكمبيوتر الخاصة بعميل الوكيل والمشرف.

المكونات المستخدمة

لا يقتصر هذا المستند على إصدارات برامج ومكونات مادية معينة.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

كجزء من اعتماد المعايير المشتركة (CC)، أضاف Cisco Unified Communications Manager شهادات ECDSA في الإصدار 11.0. ويؤثر هذا على جميع منتجات نظام التشغيل الصوتي (VOS) مثل UCCX و SocialMiner و MediaSense، وما إلى ذلك من الإصدار 11.5.

يمكن العثور على مزيد من التفاصيل حول خوارزمية التوقيع الرقمي للمنحنى البيضاوي هنا: https://www.maximintegrated.com/en/app-notes/index.mvp/id/5767

فيما يتعلق بحل UCCX، عند الترقية إلى 11.5، يتم منحك شهادة إضافية لم تكن موجودة سابقا. هذه هي شهادة Tomcat-ECDSA.

وقد تم توثيق ذلك أيضا في رسالة ما قبل الإفراج: https://www.cisco.com/c/en/us/support/docs/customer-collaboration/unified-contact-center-express/200651-UCCX-Version-11-5-Prerelease-Field-Commu.html?cachemode=refresh

  

تجربة الوكيل

بعد الترقية إلى 11.5، قد يطلب من الوكيل قبول الشهادات على سطح مكتب Finesse استنادا إلى ما إذا كانت الشهادة موقعة ذاتيا أو موقعة من قبل المرجع المصدق (CA).

تجربة المستخدم بعد الترقية إلى 11.5

وذلك لأن سطح مكتب Finesse تم الآن تقديم شهادة ECDSA التي لم يتم تقديمها مسبقا.

الإجراء

الترقية المسبقة للشهادات الموقعة من CA

  

الترقية المسبقة للشهادات الموقعة ذاتيا

التكوين

أفضل ممارسة موصى بها لهذه الشهادة

الشهادات الموقعة ل UCCX و SocialMiner

إذا كنت تستخدم شهادات CA الموقعة، يجب أن تكون شهادة ECDSA هذه موقعة من مرجع مصدق (CA) مع شهادات أخرى

ملاحظة: إذا قام CA بتوقيع شهادة ECDSA هذه مع RSA، فلن يتم تقديم هذه الشهادة إلى العميل. لتحقيق الأمان المحسن، تعد شهادات ECDSA المقدمة إلى العميل أفضل الممارسات الموصى بها.

ملاحظة: إذا تم توقيع شهادة ECDSA على SocialMiner من قبل CA مع RSA، فإنها تتسبب في حدوث مشاكل في البريد الإلكتروني والدردشة. وثقت هذا في خلل CSCvb58580 ومبرد cop يتوفر. يضمن هذا البروتوكول عدم تقديم شهادات ECDSA إلى العملاء. إذا كان لديك CA قادر على توقيع شهادات ECDSA مع RSA فقط، فلا تستخدم هذه الشهادة.أستخدم الشرطي حتى لا يتم تقديم شهادة ECDSA ويكون لديك بيئة RSA فقط. 

إذا كنت تستخدم شهادات CA الموقعة ولم تكن لديك بعد الترقية شهادة ECDSA موقعة ومحملة، فسيجرب الوكلاء رسالة لقبول الشهادة الإضافية. عند النقر فوق موافق، يتم إعادة توجيهها إلى موقع الويب. ومع ذلك، يفشل هذا بسبب فرض الأمان من جانب المستعرض نظرا لأن شهادة ECDSA موقعة ذاتيا وشهادات الويب الأخرى الخاصة بك موقعة بواسطة CA. ينظر إلى هذا التواصل على أنه خطر أمني. 

أكمل هذه الخطوات على كل عقدة من ناشر UCCX ومشترك و SocialMiner، بعد الترقية إلى UCCX و SocialMiner في الإصدار 11. 5:

1. انتقل إلى صفحة إدارة نظام التشغيل واختر التأمين > إدارة الشهادات.
   
   
2. انقر فوق إنشاء CSR.
   
   
3. من القائمة المنسدلة قائمة الشهادات، أختر tomcat-ECDSA كاسم الشهادة وانقر على إنشاء CSR.
   
   
4. انتقل إلى الأمان > إدارة الشهادات واختر تنزيل CSR.
   
   
5. من النافذة المنبثقة، أختر tomcat-ECDSA من القائمة المنسدلة وانقر تنزيل CSR.

قم بإرسال CSR الجديد إلى المرجع المصدق التابع للجهة الخارجية أو قم بتوقيعه باستخدام مرجع مصدق داخلي يوقع على شهادات EC. سيؤدي ذلك إلى إنتاج هذه الشهادات الموقعة:

• الشهادة الجذر ل CA (إذا كنت تستخدم نفس CA لشهادات التطبيق وشهادات EC، يمكنك تخطي هذه الخطوة)
• الشهادة الموقعة من UCCX Publisher ECDSA
• الشهادة الموقعة على UCCX Subscriber ECDSA
• الشهادة الموقعة ل SocialMiner ECDSA

ملاحظة: إذا قمت بتحميل الشهادات الجذر والشهادات الوسيطة على ناشر (UCCX)، سيتم نسخها تلقائيا إلى المشترك. لا توجد حاجة لتحميل الشهادات الجذر أو الشهادات الوسيطة على الخوادم الأخرى غير الناشر في التكوين إذا تم توقيع جميع شهادات التطبيق عبر نفس سلسلة الشهادات. كما يمكنك تخطي هذا التحميل لشهادة الجذر إذا قام نفس المرجع المصدق بتوقيع شهادة EC وقد قمت بذلك بالفعل عند تكوين شهادات تطبيق UCCX.

أكمل هذه الخطوات على كل خادم تطبيق لتحميل الشهادة الجذر وشهادة EC إلى العقد:

1. انتقل إلى صفحة إدارة نظام التشغيل واختر التأمين > إدارة الشهادات.
   
   
2. انقر على تحميل الشهادة.
   
   
3. قم بتحميل الشهادة الجذر واختر tomcat-trust كنوع الشهادة.
   
   
4. انقر فوق تحميل الملف.
   
   
5. انقر على تحميل الشهادة.
   
   
6. قم بتحميل شهادة التطبيق واختر tomcat-ECDSA كنوع الشهادة.
   
   
7. انقر فوق تحميل الملف.
   
   

   ملاحظة: إذا قام مرجع مصدق مرؤوس بتوقيع الشهادة، قم بتحميل الشهادة الجذر الخاصة ب CA المرؤوس كشهادة الثقة TOMCAT بدلا من الشهادة الجذر. إذا تم إصدار شهادة وسيطة، قم بتحميل هذه الشهادة إلى مخزن التومات الموثوق به بالإضافة إلى شهادة التطبيق. يمكنك أيضا تخطي هذا التحميل لشهادة الجذر إذا قام نفس المرجع المصدق بتوقيع شهادة EC وقد قمت بذلك بالفعل عند تكوين شهادات تطبيق UCCX.

8. بمجرد اكتمال هذه العملية، قم بإعادة تشغيل هذه التطبيقات:
   
   
   • Cisco SocialMiner
   • ناشر ومشترك UCCX من Cisco

شهادات موقعة ذاتيا ل UCCX و SocialMiner

إذا كان UCCX أو SocialMiner يستخدمون شهادات موقعة ذاتيا، فيجب نصح الوكلاء بقبول تحذير الشهادة الذي يتم تقديمه في الأداة الذكية للبريد الإلكتروني للدردشة وأدوات البيانات المباشرة.

لتثبيت الشهادات الموقعة ذاتيا على جهاز العميل، أستخدم نهج المجموعة أو مدير الحزمة، أو قم بتثبيتها بشكل فردي في مستعرض كل جهاز كمبيوتر وكيل.

بالنسبة ل Internet Explorer، قم بتثبيت الشهادات الموقعة ذاتيا من جانب العميل في مخزن مراجع التصديق الجذر الموثوق فيها.

بالنسبة لبرنامج Mozilla Firefox، أكمل الخطوات التالية:

1. انتقل إلى أدوات > خيارات.
   
   
2. انقر فوق علامة التبويب خيارات متقدمة.
   
   
3. انقر على عرض الشهادات.
   
   
4. انتقل إلى علامة التبويب الخوادم.
   
   
5. انقر فوق إضافة استثناء.

1. ملاحظة: يمكنك أيضا إضافة إستثناء التأمين لتثبيت الشهادة المكافئة للعملية أعلاه. هذا تكوين لمرة واحدة على العميل.

الأسئلة المتداولة (FAQ)

  

لدينا شهادات CA موقعة، ونريد إستخدام شهادة ECDSA التي يجب توقيعها بواسطة EC CA. بينما ننتظر أن تكون شهادة المرجع المصدق الموقعة متوفرة، نحتاج إلى بيانات مباشرة. ماذا يمكنني أن أفعل؟

لا نريد توقيع هذه الشهادة الإضافية أو أن يقبل الوكلاء هذه الشهادة الإضافية. ماذا يمكنني أن أفعل؟

على الرغم من أن التوصية هي أن تعرض شهادات ECDSA على المستعرضات، فهناك خيار لتعطيلها. يمكنك تثبيت ملف cop على UCCX و SocialMiner يضمن تقديم شهادات RSA فقط إلى العميل. لا تزال شهادة ECDSA موجودة في مخزن المفاتيح، ولكنها لن تقدم إلى العملاء.

إذا أستخدمت هذا الشرطي لتعطيل شهادات ECDSA المقدمة إلى العملاء، هل يمكنني تمكينها مرة أخرى؟

نعم، هناك شرطي تم توفيره. وبمجرد تطبيق هذه الشهادة، يمكنك الحصول على توقيع هذه الشهادة وتحويلها إلى الخادم (الخوادم).

هل سيتم تحويل كافة الشهادات إلى ECDSA؟

حاليا لا، ولكن المزيد من تحديثات الأمان على منصة VOS في المستقبل.

متى يتم تثبيت شرطي UCCX؟

• عندما تستخدم شهادات موقعة ذاتيا ولا تريد من الوكلاء قبول شهادات إضافية
• عندما لا يمكنك الحصول على شهادة إضافية موقعة من قبل CA

متى تقوم بتركيب شرطي "إس إم"؟

• عندما تستخدم شهادات موقعة ذاتيا ولا تريد من الوكلاء قبول شهادات إضافية
• عندما لا يمكنك الحصول على شهادة إضافية موقعة من قبل CA
• عندما يكون لديك مرجع مصدق قادر على توقيع شهادات ECDSA باستخدام RSA فقط 

ما هي الشهادات التي يتم تقديمها بواسطة مثيلات خادم ويب مختلفة بشكل افتراضي؟

مجموعة الشهادات/خادم ويب	تجربة الوكيل الافتراضي بعد الترقية إلى 11.5 (دون أي شرطي)	UCCX Tomcat	خدمة الإعلامات الموحدة UCX OpenFire (Cisco Unified CCX Notification Service)	UCCX SocketIO		SocialMiner Tomcat	أوبن فاير
توقيع ذاتي من Tomcat، توقيع ذاتي من Tomcat-ECDSA	سيطلب من العملاء قبول الشهادة في الأداة الذكية Live Data وأداة الدردشة والبريد الإلكتروني الذكية	موقع ذاتيا	موقع ذاتيا	موقع ذاتيا		موقع ذاتيا	موقع ذاتيا
RSA CA وقع Tomcat، RSA CA وقع Tomcat-ECDSA	يمكن للعملاء إستخدام Finesse و Live Data، ولكن لن يتم تحميل الأداة الذكية للدردشة عبر البريد الإلكتروني ولن يتم تحميل صفحة ويب SocialMiner.*	RSA	RSA	RSA		RSA	RSA (يلزم تثبيت cop - CSCvb58580)
RSA CA موقع Tomcat، EC CA موقع Tomcat-ECDSA	يمكن للعملاء إستخدام Finesse مع كل من البيانات المباشرة والبريد الإلكتروني للدردشة*	RSA	RSA	ECDSA		RSA	ECDSA
RSA CA الموقع على Tomcat، الموقع ذاتيا Tomcat-ECDSA	وسيطلب من الوكلاء قبول شهادة إضافية في الأداة الذكية Live Data and Email-chat. فشل قبول الشهادة من الأداة الذكية Live Data، سينجح قبول الشهادة من الأداة الذكية للدردشة عبر البريد الإلكتروني.*	RSA	RSA	توقيع ذاتي (لا يمكن للعملاء القبول بسبب إجراء الأمان الذي فرضه المستعرض. ارجع إلى لقطة الشاشة أعلاه. يجب الحصول على الشهادة الموقعة من EC CA أو تثبيت الشرطي على UCCX لتعطيل شهادات ECDSA المقدمة إلى العملاء.)		RSA	موقع ذاتيا

معلومات ذات صلة

• UCCX ECDSA COP - https://software.cisco.com/download/release.html?mdfid=286309734&softwareid=280840578&release=11.5(1)&flowid=80822
• SocialMiner ECDSA Cop - https://software.cisco.com/download/release.html?mdfid=283613136&flowid=73189&release=11.5(1)&softwareid=283812550&sortparam=
• معلومات شهادة UCCX - http://www.cisco.com/c/en/us/support/docs/customer-collaboration/unified-contact-center-express/118855-configure-uccx-00.html