Cisco RES : Comment utiliser TLS pour sécuriser les réponses RES non chiffrées

Introduction

Ce document décrit comment utiliser la sécurité de la couche de transport (TLS) pour sécuriser les réponses du service CRES (Cisco Registered Envelope Service), qui permet à un utilisateur de ne pas avoir à les décrypter, en association avec l'appliance de sécurité de la messagerie Cisco (ESA).

Cisco RES : Comment utiliser TLS pour sécuriser les réponses RES non chiffrées

Par défaut, les réponses à un e-mail sécurisé sont cryptées par Cisco RES et envoyées à votre passerelle de messagerie. Ils passent ensuite à vos serveurs de messagerie cryptés pour que l'utilisateur final puisse s'ouvrir avec ses informations d'identification Cisco RES.

Afin d'éviter que l'utilisateur n'ait besoin de s'authentifier auprès de Cisco RES pour ouvrir la réponse sécurisée, Cisco RES fournit sous forme « non chiffrée » les passerelles de messagerie qui prennent en charge TLS. Dans la plupart des cas, la passerelle de messagerie est l'ESA, et cet article s'applique.

Cependant, s'il existe une autre passerelle de messagerie qui se trouve devant l'ESA, par exemple un filtre de courrier indésirable externe, il n'est pas nécessaire de configurer le certificat/TLS/flux de courrier sur votre ESA. Dans ce cas, vous pouvez ignorer les étapes 1 à 3 dans la section Solution de ce document. Pour les réponses non chiffrées qui fonctionnent dans cet environnement, le filtre de courrier indésirable externe (passerelle de messagerie) est l'appareil qui doit prendre en charge TLS. S'ils prennent en charge TLS, vous pouvez demander à Cisco RES de le confirmer et de vous configurer pour les réponses « non chiffrées » afin de sécuriser les e-mails.

Cadre de stratégie de l'expéditeur

Afin d'éviter les échecs de vérification du Sender Policy Framework (SPF), vous devez ajouter mx:res.cisco.com, mxnat1.res.cisco.com et mxnat3.res.cisco.com à votre enregistrement SPF.  Vous pouvez également inclure spfc.spf.cisco.com dans votre enregistrement SPF. 

Exemple :

➜ ~ dig txt spfc._spf.cisco.com +short
"v=spf1 mx:res.cisco.com mx:sco.cisco.com ~all"

L'emplacement et la manière dont vous ajoutez Cisco RES à votre enregistrement SPF dépendent de la manière dont votre système de noms de domaine (DNS) est mis en oeuvre avec la topologie de votre réseau.  Veuillez contacter votre administrateur DNS pour plus d'informations.

Si DNS n'est pas configuré pour inclure Cisco RES, lorsque des réponses sécurisées de composition et de sécurité sont générées et livrées via les serveurs de clés hébergés, l'adresse IP sortante ne correspond pas aux adresses IP répertoriées à la fin du destinataire, ce qui entraîne un échec de vérification SPF.

Noms d’hôte et adresses IP

Remarque : le nom d'hôte et les adresses IP peuvent être modifiés en fonction de la maintenance du service/réseau ou de la croissance du service/réseau.  Tous les noms d’hôte et les adresses IP ne sont pas utilisés pour le service.  Ils sont fournis ici à titre de référence.

Solution

1. Obtenir et installer un certificat signé et un certificat intermédiaire sur le SEEE.

   Remarque : il est important que vous obteniez le certificat intermédiaire auprès de votre autorité de signature, car le certificat de démonstration fourni sur l'appliance entraîne l'échec du processus de vérification CRES.

2. Créer une stratégie de flux de courrier :
   1. Dans l'interface utilisateur graphique, sélectionnez Politiques de messagerie > Politiques de flux de messagerie > Ajouter une stratégie....
   2. Entrez un nom et conservez tous les autres éléments par défaut, à l'exception des fonctions de sécurité : TLS. Définissez cette valeur sur Obligatoire.
3. Créer un groupe d'expéditeurs :
   1. Dans l'interface utilisateur graphique, sélectionnez Politiques de messagerie > Vue d'ensemble de HAT > Ajouter un groupe d'expéditeurs....
   2. Entrez un nom et définissez le numéro de commande sur #1.  Vous pouvez également saisir un commentaire facultatif. Sélectionnez la stratégie de flux de courrier que vous avez créée à l'étape 2. Laissez tout le reste vide.
   3. Cliquez sur Soumettre et ajouter des expéditeurs ».
4. Dans le champ Expéditeur, saisissez les plages IP et les noms d'hôte suivants :

   .res.cisco.com
   .cres.iphmx.com
   208.90.57.0/26 (current CRES IP network range)
   204.15.81.0/26 (old CRES IP network range)

5. Envoyez et validez les modifications.

6. Une fois que vous êtes sûr que l'ESA est prêt pour TLS à partir des serveurs Cisco RES, suivez les étapes de Comment puis-je tester si mon domaine prend en charge TLS avec Cisco RES? afin de demander aux serveurs Cisco RES de commencer à utiliser TLS.

Informations connexes

• Cisco RES : Adresses IP et noms d'hôte pour les serveurs clés
• Cisco Email Security Appliance - Guides de l'utilisateur final
• Support et documentation techniques - Cisco Systems