セキュリティの概要

Unified Communications Manager システムにセキュリティ対策を実装すると、電話や Unified Communications Manager サーバの個人情報/ID の盗用、データ改ざん、コールシグナリング/メディアストリーム改ざんを防止できます。

Cisco IP テレフォニーネットワークでは、認証済み通信ストリームを確立および維持し、ファイルを電話に転送する前にそのファイルにデジタル署名して、Cisco Unified IP Phone 間のメディアストリームとコールシグナリングを暗号化します。

用語および略語

次の表の定義は、Cisco IP テレフォニーネットワークの認証、暗号化およびその他のセキュリティ機能を設定する際に適用されます。

表 1. 用語
用語	定義
アクセスコントロールリスト（ACL）	システム機能およびリソースにアクセスするための権限およびアクセス許可を定義するリスト。方式リストを参照してください。
認証	通信エンティティのアイデンティティを確認するプロセス。
許可	認証されたユーザ、サービス、またはアプリケーションに、要求されたアクションを実行するために必要なアクセス許可があるかどうかを指定するプロセス。Unified Communications Manager では、許可されたユーザに特定のトランク側 SIP 要求を制限するセキュリティプロセスです。
認証ヘッダー	チャレンジに対する SIP ユーザエージェントの応答。
証明書	証明書保持者名、公開キー、および証明書を発行する認証局のデジタル署名を含むメッセージ。
認証局（CA）	証明書を発行する信頼されたエンティティ：シスコまたはサードパーティのエンティティ。
認証局プロキシ機能（CAPF）	サポートするデバイスが Unified Communications Manager Administration を使用して、ローカルで有効な証明書を要求できるプロセス。
証明書信頼リスト（CTL）	CLI コマンドセット utils cli または CTL クライアントで作成され、Cisco Site Administrator Security Token（セキュリティトークン）によって署名されたファイル。電話が信頼するサーバの証明書のリストを含みます。
Challenge	ダイジェスト認証において、SIP ユーザエージェントに対しそのアイデンティティの認証を求める要求。
Cisco Site Administrator Security Token（セキュリティトークン、etoken）	秘密キーと、Cisco Certificate Authority が署名する X.509v3 証明書を含むポータブルハードウェアセキュリティモジュール。ファイル認証に使用され、CTL ファイルの署名に使用される場合があります。ハードウェアセキュリティトークンは CTL クライアントにのみ必要です。CLI コマンドセット utils ctl はハードウェアセキュリティトークンを必要としません。
デバイス認証	デバイスのアイデンティティを検証してエンティティが正当なものであることを接続の確立前に確認するプロセス。
ダイジェスト認証	デバイス認証の 1 つで、SIP ユーザエージェントのアイデンティティを設定するために（特に）共有パスワードの MD5 ハッシュを使用します。
Digest User	SIP を実行している電話または SIP トランクが送信する許可要求に含まれているユーザ名。
デジタル署名	メッセージをハッシュし、その後署名者の秘密キーを使用してメッセージを暗号化することによって生成される値。受信者は署名者の公開キーを使用してメッセージとハッシュを復号化し、同じハッシュ関数を使って別のハッシュを作成し、次に 2 つのハッシュを比較し、メッセージが一致しており内容が変更されていないことを確認します。
DSP	デジタルシグナリングプロセッサ。
DSP ファーム	H.323 または MGCP ゲートウェイの DSP で提供される IP テレフォニー会議のネットワークリソース。
暗号化	データを暗号文に変換するプロセス。情報の機密性を保持し、対象とする受信者のみがデータを読み取ることができるようにします。暗号化アルゴリズムと暗号キーが必要です。
ファイル認証	電話がダウンロードするデジタル署名ファイルを検証するプロセス。ファイルの作成後にファイルの改ざんが発生していないことを確認するため、電話で署名が検証されます。
H.323	インターネットの標準規格の 1 つで、一連の共通コーデック、コール設定とネゴシエーション手順、および基本的なデータ転送方法を定義します。
ハッシュ	ハッシュ関数を使用してテキスト文字列から生成される、通常は 16 進数の数値。これにより、データに対して 1 つの小さなデジタル"「フィンガープリント」"が作成されます。
Hypertext Transfer Protocol Over Secure Sockets Layer（HTTPS）	（少なくとも）HTTPS サーバのアイデンティティを確認する IETF 定義のプロトコル。暗号化を使用して、Tomcat サーバとブラウザクライアントの間で交換される情報の機密性を確保します。
イメージ認証	電話がバイナリイメージをロードする前に、そのバイナリイメージの整合性と送信元を電話が検証するプロセス。
完全性	データの改ざんがエンティティ間で実行されていないことを確認するプロセス。
IPSec	エンドツーエンドセキュリティ用にセキュアな H.225、H.245、RAS シグナリングチャネルを提供する転送方式。
ローカルで有効な証明書（LSC）	CAPF が発行するデジタル X.509v3 証明書。電話または JTAPI/TAPI/CTI アプリケーションにインストールされます。
製造元でインストールされる証明書（MIC）	Cisco 認証局が署名し、サポートされている電話に Cisco Manufacturing によってインストールされるデジタル X.509v3 証明書。LSC が電話にインストールされると、CAPF の認証メカニズムとして使用されます。
中間者攻撃	Unified Communications Manager と電話との間で流れる情報を攻撃者が監視して改変できるようにするプロセス。
マルチポイントコントロールユニット（MCU）	複数の H.323 エンドポイントを接続し、複数のユーザが IP ベースのビデオ会議に参加できるようにする柔軟なシステム。
MD5	暗号化で使用されるハッシュ関数。
メディア暗号化	暗号化手順によってメディアの機密性を保護するプロセス。メディア暗号化は IETF RFC 3711 で定義された Secure Real-Time Protocol（SRTP）を使用します。
メッセージ/データの改ざん	攻撃者が送信中にメッセージを変更しようとするイベント。コールの途中終了も含まれます。
方式リスト	許可プロセス中に SIP トランクに着信する可能性のある特定のカテゴリのメッセージを制限するツール。ランク側アプリケーションやデバイスで可能な SIP nonINVITE 方式を定義します。メソッド ACL とも呼ばれます。
混合モード	セキュア/非セキュアプロファイルおよび RTP/SRTP メディアを持つデバイスが Unified Communications Manager に接続できるようにするために設定する Unified Communications Manager のセキュリティモード。
ナンス	サーバが各ダイジェスト認証要求に対して生成する一意のランダムな数値。MD5 ハッシュの生成に使用されます。
非セキュアモード	非セキュアプロファイルおよび RTP メディアを持つデバイスが Unified Communications Manager に接続できるようにするために設定する Unified Communications Manager のセキュリティモード。
非セキュアコール	少なくとも 1 つのデバイスが認証も暗号化もされていないコール。
非セキュアなデバイス	UDP または TCP シグナリングと非セキュアメディアを使用するデバイス。
PKI	保護された公開キー配布、証明書と認証局など、公開キーの暗号化に必要な一連の要素からなる公開キーインフラストラクチャ。
公開/秘密キー	暗号化に使用されるキー。公開キーは幅広く使用可能ですが、秘密キーはそれぞれの所有者により保持されます。非対称暗号化では両方のキーが使用されます。
リプレイアタック	攻撃者が実際のデバイスになりすまして、電話またはプロキシサーバを特定する情報をキャプチャし情報を再生するイベント。たとえば、プロキシサーバの秘密キーのなりすましなど。
RTP	リアルタイム転送プロトコル
Simple Certificate Enrollment Protocol（SCEP）	X.509 証明書を発行する認証局との通信に使用されるプロトコル。
セキュアなコール	すべてのデバイスが認証され、シグナリングとメディア（音声ストリーム）が暗号化されているコール。
シグナリング認証	伝送中にシグナリングパケットに改ざんがなかったことを検証する TLS プロセス。
シグナリング暗号化	デバイスと Unified Communications Manager サーバの間で送信されるすべてのシグナリングメッセージの機密を保護するために暗号化手法を使用するプロセス。
SIP レルム	Unified Communications Manager がチャレンジに応答するために使用する文字列（名前）。
SRTP	Secure Real-Time Transport Protocol。ネットワーク上の音声会話のセキュリティを確保し、リプレイアタックからの保護を提供するプロトコル。
SSL	インターネットでの電子メールなどのデータ通信を保護する暗号化プロトコル。後継の TLS と同等の機能を持ちます。
トランスポートレイヤセキュリティ（TLS）	インターネットでの電子メールなどのデータ通信を保護する暗号化プロトコルで、機能としては SSL と同等です。
信頼リスト	デジタル署名なしの証明書リスト。
信頼ストア	Unified Communications Manager などのアプリケーションが明示的に信頼する X.509 証明書のリポジトリ。
X.509	PKI 証明書インポート用の ITU-T 暗号化規格であり、証明書の形式が含まれます。

システム要件

認証または暗号化に関するシステム要件は次のとおりです。

管理者パスワードは、クラスタ内の各サーバで異なる必要があります。
Cisco CTL クライアントで使用されたユーザ名とパスワード（Unified Communications Manager サーバへのログイン用）は [Unified Communications Manager Administration] のユーザ名およびパスワード（[Unified Communications Manager Administration] へのログインに使用するユーザ名とパスワード）と一致する必要があります。
ボイスメールポートのセキュリティを設定する前に、この Cisco Unified Communications Manager リリースをサポートするバージョンの Cisco Unity または Unity Connection システムをインストールしていることを確認します。

機能一覧

Unified Communications Manager システムは、コールセキュリティに対してトランスポート層からアプリケーション層にかけてのマルチレイヤアプローチを採用しています。

Transport Layer Security には、シグナリングの認証と暗号化のための TLS および IPSec が含まれ、音声ドメインへのアクセスの制御と防止が実現されます。SRTP によってメディアの認証と暗号化が付加され、音声会話と他のメディアのプライバシーと機密性が保護されます。

次の表は、機能のサポート状況と設定状況に応じて SCCP コールセッション中に Unified Communications Manager に実装可能な認証と暗号化機能の概要を示します。

表 2. SCCP コールのセキュリティ機能

セキュリティ機能

回線側

トランク側

転送/接続/整合性

セキュア TLS ポート

IPSec 関連付け

デバイス認証

Unified Communications Manager や CAPF による TLS 証明書交換

IPSec 証明書交換または事前共有キー

シグナリング認証/暗号化

TLS モード：認証済みまたは暗号化済み

IPSec（認証ヘッダー、暗号化（ESP）、または両方）

メディア暗号化

SRTP

許可

プレゼンス要求

（注）

デバイスでサポートされる機能はデバイスタイプによって異なります。

次の表に、機能のサポート状況と設定状況に応じて SIP コールセッション中に Unified Communications Manager に実装可能な認証と暗号化機能の概要を示します。

表 3. SIP コールのセキュリティ機能

セキュリティ機能

回線側

トランク側

転送/接続/整合性

セキュア TLS ポート

デバイス認証

Unified Communications Manager や CAPF による TLS 証明書交換

IPSec 証明書交換または事前共有キー

ダイジェスト認証

各 SIP デバイスが一意のダイジェストユーザクレデンシャルを使用します。

SIP トランクユーザエージェントは一意のダイジェストクレデンシャルを使用します。

シグナリング認証/暗号化

TLS モード：認証済みまたは暗号化済み（Cisco Unified IP Phone 7942/7962 を除く）。

TLS モード：認証済みまたは暗号化済みモード

メディア暗号化

SRTP

許可

プレゼンス要求

方式リスト

（注）

デバイスでサポートされる機能はデバイスタイプによって異なります。

セキュリティアイコン

Unified Communications Manager は、コールに参加する Unified Communications Manager サーバおよびデバイスのセキュリティレベルに応じてコールのセキュリティステータスを提供します。

セキュリティアイコンをサポートする電話には、コールのセキュリティレベルが表示されます。

電話は、シグナリングセキュリティレベルが「認証済み」のコールに対してはシールドアイコンを表示します。シールドは Cisco IP デバイス間のセキュアな接続を示します。これは、デバイスのシグナリングが認証済みまたは暗号化されていることを意味します。
電話は、暗号化されたメディアのコールに対してはロックアイコンを表示します。これは、デバイスが暗号化シグナリングと暗号化メディアを使用していることを意味します。

（注）

一部の電話モデルでは、ロックアイコンのみが表示されます。

コールのセキュリティステータスは、ポイントツーポイント、クラスタ間およびクラスタ内、マルチホップコールで変わることがあります。SCCP 回線、SIP 回線、および H.323 シグナリングでは、参加エンドポイントへのコールセキュリティステータスの変更の通知がサポートされています。セキュリティアイコンに関連する制約については、セキュリティアイコンおよび暗号化に関するトピックを参照してください。

コールの音声とビデオ部分がコールのセキュリティステータスのベースとなります。コールは、音声とビデオ部分の両方がセキュアである場合に限り、安全とみなされます。次の表で、セキュリティアイコンが表示されるかどうかと、どのアイコンが表示されるかを決定するルールについて説明します。

表 4. セキュリティアイコンの表示規則
コールのメディアタイプとデバイスタイプ	シールドおよびロックアイコンの両方を表示する電話	ロックアイコンのみを表示する電話
セキュアな音声のみ	ロック	ロック
セキュアな音声と非セキュアなビデオ	シールド	なし
セキュアな音声とセキュアなビデオ	ロック	ロック
非セキュアな音声のみの認証済みデバイス	シールド	なし
非セキュアな音声とビデオがある認証済みデバイス	シールド	なし
非セキュアな音声のみの非認証デバイス	なし	なし
非セキュアな音声とビデオがある非認証デバイス	なし	なし

（注）

「Override BFCP Application Encryption Status When Designating Call Security Status」サービスパラメータは、パラメータ値が [True] で音声がセキュアであると、ロックアイコンを表示します。この状態は、他のすべてのメディアチャネルのセキュリティステータスを無視します。デフォルトパラメータ値は [False] です。

電話会議と割り込みコールでは、セキュリティアイコンは会議のセキュリティステータスを表示します。

連携動作と制限事項

ここでは、連携動作と制限事項について説明します。

セキュアな会議機能に関する連携動作と制限事項の詳細については、関連項目を参照してください。

連携動作

このセクションでは、Unified Communications Manager アプリケーションと Cisco のセキュリティ機能の連携動作について説明します。

プレゼンス

SIP を実行している電話やトランクにプレゼンスグループ認証を追加するには、プレゼンスグループを設定して、プレゼンス要求を認証済みユーザに限定します。

プレゼンスグループ設定の詳細については、『Feature Configuration Guide for Cisco Unified Communications Manager』を参照してください。

SIP トランクでプレゼンス要求を許可するには、SIP トランクでのプレゼンス要求を許可するよう Unified Communications Manager を設定します。また必要な場合には、リモートデバイスやアプリケーションからの着信プレゼンス要求の受け入れと認証を行うよう Unified Communications Manager を設定します。

SIP トランク

SIP で開始された転送機能、および SIP トランクでの Web 転送やクリックツーダイヤルといったその他転送関連の高度な機能を使用するには、着信 Out-of-Dialog REFER 要求を受け入れるよう SIP トランクセキュリティプロファイルを設定します。

イベントレポートのサポート（MWI サポートなど）を提供する場合、および（ボイスメッセージサーバなどからの）コールごとの MTP 割り当てを減少させる場合は、Unsolicited NOTIFY SIP 要求を受け入れるよう SIP トランクセキュリティプロファイルを設定します。

Unified Communications Manager が、SIP トランクの外部コールを外部デバイスまたは外部パーティに転送できるようにするには（在席転送の場合など）、REFERS および INVITES の Replaces ヘッダー付き SIP 要求を受け入れるよう、SIP トランクセキュリティプロファイルを設定します。

エクステンションモビリティ

エクステンションモビリティの場合、ユーザのログインとログアウトの際に SIP ダイジェストクレデンシャルが変化します。異なるユーザには異なるクレデンシャルが設定されるためです。

CTI

CAPF プロファイルを設定した場合（各 Unified Communications Manager Assistant ノードに 1 つ）、Unified Communications Manager Assistant は CTI へのセキュアな接続をサポートします（Transport Layer Security 接続）。

CTI/JTAPI/TAPI アプリケーションのインスタンスが複数実行されている場合、CTI TLS をサポートするには、CTI Manager と JTAPI/TSP/CTI アプリケーション間のシグナリングおよびメディア通信ストリームを保護するために、すべてのアプリケーションインスタンスに一意のインスタンス ID（IID）を設定する必要があります。

デバイスセキュリティモードが認証済みまたは暗号化済みの場合、Cisco Unity-CM TSP は Unified Communications Manager TLS ポートを介して Unified Communications Manager に接続します。セキュリティモードが非セキュアの場合、Cisco Unity TSP は CTI Manager ポートを介して Unified Communications Manager に接続します。

機能制限

ここでは、シスコのセキュリティ機能に適用される制限事項について説明します。

認証および暗号化

認証機能および暗号化機能をインストールして設定する前に、次の制限事項を考慮してください。

シグナリング暗号化またはメディア暗号化は、デバイス認証なしでは実装できません。デバイス認証をインストールするには、Cisco CTL Provider サービスを有効にしてから、Cisco CTL クライアントをインストールして設定します。
混合モードを設定している場合、Unified Communications Manager ではネットワークアドレス変換（NAT）がサポートされません。

メディアストリームのファイアウォールトラバーサルを許可するために、ファイアウォールで UDP を有効にできます。UDP を有効にすると、ファイアウォールの信頼できる側にあるメディアソースが、ファイアウォールを介してメディアパケットを送信することにより、ファイアウォールを通過する双方向のメディアフローを開くことができます。

ヒント

ハードウェア DSP リソースはこのタイプの接続を開始できないため、ファイアウォールの外側に置く必要があります。

シグナリング暗号化では、NAT トラバーサルがサポートされません。NAT を使用する代わりに、LAN 拡張 VPN の使用を検討してください。

割り込みと暗号化

割り込みと暗号化には次の制約事項が適用されます。

帯域幅の要件のため、Cisco IP Phone 7942 と 7962 は、アクティブな暗号化されたコールでの暗号化されたデバイスからの割り込みをサポートしません。割り込みの試行は失敗します。発信側の電話では、割り込みが失敗したことを示すトーンが再生されます。
リリース 8.2 以前のリリースを実行中の暗号化された Cisco IP Phone は、認証済み参加者または非セキュア参加者としてのみアクティブな通話に割り込みできます。
発信者がセキュアな SCCP コールに割り込む場合、システムはターゲットデバイスで内部トーン再生メカニズムを使用し、ステータスはセキュアのままになります。
発信者がセキュアな SIP コールに割り込む場合、システムは保留トーンを再生し、トーンの間 Unified Communications Manager がコールを非セキュアとして分類します。

（注）

リリース 8.3 以降を実行中の、非セキュアまたは認証済み Cisco IP Phone は、暗号化されたコールに割り込むことができます。会議のセキュリティステータスは、セキュリティアイコンによって表示されます。

ワイドバンドコーデックと暗号化

以下の情報は、暗号化向けに設定され、ワイドバンドコーデック地域が割り当てられている Cisco Unified IP Phone 7962 および 7942 に適用されます。TLS/SRTP 向けに設定された Cisco Unified IP Phone 7962 および 7942 にのみ適用されます。

暗号化されたコールを確立するため、Unified Communications Manager はワイドバンドコーデックを無視して、電話のコーデックリストからサポートされる別のコーデックを選択します。コールに参加する他のデバイスが暗号化向けに設定されていない場合、Unified Communications Manager はワイドバンドコーデックを使用して、認証済または非セキュアコールを確立することがあります。

メディアリソースと暗号化

Unified Communications Manager は、メディアリソースが使用されないセキュアな Cisco Unified IP Phone（SCCP または SIP）、セキュアな CTI デバイス/ルートポイント、セキュアな Cisco MGCP IOS ゲートウェイ、セキュアな SIP トランク、セキュアな H.323 ゲートウェイ、セキュアな会議ブリッジ、およびセキュアな H.323/H.245/H.225 トランクの間での認証済みコールと暗号化コールをサポートしています。次の状況では Unified Communications Manager はメディア暗号化を提供しません。

トランスコーダに関連するコール
メディアターミネーションポイントに関連するコール

（注）

MTP 暗号化は、非パススルー MTP でのみサポートされていません。

電話のサポートと暗号化

SCCP を実行している次の Cisco Unified IP Phone は暗号化をサポートします。6901、6911、6921、6941、6945、6961、7906G、7911G、7921G、7925G、7925G-EX、7926G、7931G、7941G、7941G-GE、7942G、7945G、7961G、7961G-GE、7962G、7965G、7970G、7971G、7975G、8941、8945、および 9961。

SIP を実行している次の Cisco Unified IP Phone は暗号化をサポートします。6901、6911、6921、6941、6945、6961、7811、7821、7841、7861、7832、79 06G、7911G、7941G、7941G-GE、7942G、7961G、7961G-GE、7962G、7965G、7970G、7971G、7975G、8811、8821、8821-EX、8832、8841、8845、8851、8851NR、8865、8865NR、8941、8945、8961、9971、および 9971。

詳細は、暗号化とこのバージョンの Unified Communications Manager をサポートする『System Configuration Guide for Cisco Unified Communications Manager』を参照してください。

警告

セキュリティ機能を最大限に活用するため、Cisco IP Phone をファームウェアリリース 8.3 に更新することが推奨されます。リリース 8.3 はこの Unified Communications Manager リリースの暗号化機能をサポートします。以前のリリースを実行している暗号化済みの電話は、これらの機能を完全にサポートしてはいません。これらの電話は、認証済みまたは非セキュアな参加者として、セキュアな会議と割り込みコールにのみ参加することができます。

以前のリリースの Unified Communications Manager でファームウェアリリース 8.3 を実行している Cisco IP Phone は、会議または割り込みコールにおいて、会議のセキュリティステータスではなく、電話の接続のセキュリティステータスを表示します。また、会議リストなどのセキュアな会議機能をサポートしません。

電話のサポートと暗号化された設定ファイル

すべての電話が暗号化された設定ファイルをサポートするわけではありません。暗号化された設定ファイルをサポートするが、署名を検証しない電話もあります。暗号化された設定ファイルをサポートするすべての電話には、完全に暗号化された設定ファイルを受信するために Unified Communications Manager リリース 5.0 以降と互換性があるファームウェアが必要です。

セキュリティアイコンおよび暗号化

セキュリティアイコンおよび暗号化には次の制約事項が適用されます。

コールの転送やコール保留時などのタスクを実行するときに、暗号化ロックアイコンが電話に表示されない場合があります。MOH など、これらのタスクに関連付けられたメディアストリームが暗号化されていない場合、ステータスが暗号化から非セキュアに変わります。
Unified Communications Manager は、H.323 トランクを通過中のコールに対してはシールドアイコンを表示しません。
PSTN に関連するコールでは、セキュリティアイコンはコールの IP ドメイン部分のみのセキュリティステータスを示します。
TLS 転送タイプを使用する場合、SIP トランクが報告するセキュリティステータスは暗号化または非認証です。SRTP がネゴシエートされると、セキュリティステータスは暗号化になります。SRTP がネゴシエートされていない場合は、非認証のままになります。これにより、Unified Communications Manager のコール制御は、SIP トランクに関連するコールの全体的なセキュリティレベルを特定できます。

SIP トランクは、ミートミー会議または C 割り込みなどの発生時に参加者が認証されると、認証済みの状態をトランク経由で報告します。（SIP トランクは引き続き TLS/SRTP を使用します。）
セキュアなモニタリングと録音のため、SIP トランクは SIP 回線によって現在使用されているように SIP トランクのセキュリティアイコンの状態を送信するときに既存の Call Info ヘッダーメカニズムを使用します。これにより、SIP トランクのピアがコールの全体的なセキュリティステータスをモニタできるようになります。
一部の電話モデルでは、ロックアイコンしか表示されず、シールドアイコンが表示されません。

クラスタセキュリティモードとデバイスセキュリティモード

（注）

デバイスセキュリティモードは、Cisco IP Phone または SIP トランクのセキュリティ機能を設定します。クラスタセキュリティモードは、スタンドアロンサーバまたはクラスタのセキュリティ機能を設定します。

クラスタセキュリティモードが非セキュアになると、デバイスセキュリティモードは電話の設定ファイルで非セキュアになります。このような状況では、デバイスセキュリティモードに認証済みまたは暗号化済みが指定されていた場合でも、電話と SRST 対応ゲートウェイまたは Unified Communications Manager との間に非セキュアな接続が作成されます。[SRST Allowed] チェックボックスなど、デバイスセキュリティモード以外のセキュリティ関連の設定は無視されます。[Unified Communications Manager Administration] でセキュリティ設定が削除されることはありませんが、セキュリティは実現されません。

電話が SRST 対応ゲートウェイへのセキュアな接続を試行するのは、クラスタセキュリティモードが混合モードであり、電話設定ファイルのデバイスセキュリティモードが認証済みまたは暗号化済みに設定され、[Trunk Configuration] ウィンドウで [SRST Allowed?] チェックボックスがオンであり、かつ電話設定ファイルに有効な SRST 証明書が存在する場合のみです。

ダイジェスト認証と暗号化

Unified Communications Manager では、SIP コールが 2 つ以上の独立したコールレッグとして定義されます。2 つの SIP デバイス間での標準の 2 者間通話の場合、2 つのコールレッグが存在します。1 つのレッグは発信元 SIP ユーザエージェントと Unified Communications Manager の間（発信元コールレッグ）、もう 1 つのレッグは Unified Communications Manager と接続先 SIP ユーザエージェントとの間です（終端コールレッグ）。各コールレッグが個別のダイアログを表します。ダイジェスト認証はポイントツーポイントプロセスであるため、各コールレッグでのダイジェスト認証は他のコールレッグから独立しています。SRTP 機能は、ユーザエージェント間でネゴシエートされる機能に応じて、コールレッグごとに変更できます。

パケットキャプチャと暗号化

SRTP 暗号化を実装すると、サードパーティのスニフィングツールが機能しません。適切な認証で承認された管理者は [Unified Communications Manager Administration] で設定を変更してパケットキャプチャを開始できます（パケットキャプチャをサポートしているデバイスの場合）。このリリースに対応した『Troubleshooting Guide for Cisco Unified Communications Manager』を参照し、Unified Communications Manager でのパケットキャプチャの設定に関する情報をご確認ください。

ベストプラクティス

セキュリティの設定時には、次のベストプラクティスを強く推奨します。

必ず安全なラボ環境でインストール作業および設定作業を実行してから、広範囲のネットワークに展開します。
リモートロケーションにあるゲートウェイおよびその他のアプリケーションサーバに対して IPSec を使用します。

警告	IPSec を使用しない場合、セッション暗号キーがクリアテキストで転送されます。

電話料金の詐欺行為を防止するためには、『System Configuration Guide for Cisco Unified Communications Manager』で説明されている会議の機能拡張を設定します。同様に、コールの外部転送を制限する設定作業を実行します。この作業の実行方法については、『Feature Configuration Guide for Cisco Unified Communications Manager』を参照してください。

デバイスのリセット、サーバとクラスタのリブート、サービスの再起動

ここでは、Cisco Unified Serviceability でどのようなときにデバイスのリセット、サーバ/クラスタのリブート、サービスの再起動が必要になるかについて説明します。

次の注意事項を考慮してください。

[Cisco Unified Communications Manager Administration] で単一のデバイスに別のセキュリティプロファイルを適用した後は、そのデバイスをリセットします。
電話のセキュリティ強化作業を実施した場合、デバイスをリセットします。
混合モードから非セキュアモード（またはその逆）にクラスタのセキュリティモードを変更した後は、デバイスをリセットします。
Cisco CTL クライアントの設定後、または CTL ファイルの更新後は、すべてのデバイスを再起動します。
CAPF エンタープライズパラメータを更新した後は、デバイスをリセットします。
TLS 接続ポートを更新した後は、Cisco CTL Provider サービスを再起動します。
混合モードから非セキュアモード（またはその逆）にクラスタのセキュリティモードを変更した後は、Cisco CallManager サービスを再起動します。
関連する CAPF サービスパラメータを更新した後は、Cisco Certificate Authority Proxy Function サービスを再起動します。
Cisco CTL クライアントの設定後、または CTL ファイルの更新後は、Cisco Unified Serviceability 内の Cisco CallManager サービスおよび Cisco TFTP サービスをすべて再起動します。クラスタ内でこれらのサービスを実行するすべてのサーバで、この作業を実行します。
CTL Provider サービスを開始または停止した後は、Cisco CallManager サービスおよび Cisco TFTP サービスをすべて再起動します。
セキュア SRST リファレンスの設定後は、従属デバイスをリセットします。
Smart Card サービスを [Started] および [Automatic] に設定した場合、Cisco CTL クライアントをインストールした PC をリブートします。
アプリケーションユーザ CAPF プロファイルに関連付けられたセキュリティ関連のサービスパラメータを設定した後は、Cisco IP Manager Assistant サービス、Cisco WebDialer Web サービスおよび Cisco Extended Functions サービスを再起動します。

Cisco CallManager サービスの再起動については、『Cisco Unified Serviceability Administration Guide』を参照してください。

電話の設定を更新した後に単一のデバイスをリセットするには、電話セキュリティプロファイルの適用に関連したトピックを参照してください。

デバイスのリセット、サーバとクラスタのリブート、サービスのリセット

この項では、デバイスのリセット、Cisco Unified Serviceability でのサービスの再起動、またはサーバ/クラスタのリブートが必要となる場合について説明します。

クラスタのすべてのデバイスをリセットするには、次の手順を実行します。

始める前に

作業を進める前にデバイスのリセット、サーバとクラスタのリブートとサービスの再起動に関するガイドラインを参照してください。

手順

ステップ 1	[Unified Communications Manager Administration] で、[System] > [Cisco Unified CM] を選択します。 [Find/List] ウィンドウが表示されます。
ステップ 2	[Find] をクリックします。設定されている Unified Communications Manager サーバの一覧が表示されます。
ステップ 3	デバイスをリセットする Unified Communications Manager を選択します。
ステップ 4	[Reset] をクリックします。
ステップ 5	クラスタ内の各サーバでステップ 2とステップ 4を実行します。

割り込みによるメディア暗号化の設定

暗号化が設定されている Cisco Unified IP Phone 7962 および 7942 に割り込みを設定しようとすると、次のメッセージが表示されます。

注目	Cisco Unified IP Phone のモデル 7962 および 7942 に暗号化を設定する場合、暗号化されたコールに参加している間、それらの暗号化されたデバイスは割り込みリクエストを受け付けることができません。コールが暗号化されていると、割り込みの試行は失敗します。

[Unified Communications Manager Administration] で以下の作業を行うと、メッセージが表示されます。

CTL クライアントの [Cluster Security Mode] パラメータを更新する。
[Service Parameter] ウィンドウの [Builtin Bridge Enable] パラメータを更新する。

暗号化されたセキュリティプロファイルが Cisco Unified IP Phone 7962 および 7942 に設定され、[Built In Bridge] 設定で [Default]（または [Default] と同等の設定）を選択した場合には、このメッセージは [Phone Configuration] ウィンドウに表示されません。ただし同じ制限が適用されます。

ヒント

変更を有効にするには、従属する Cisco IP デバイスをリセットする必要があります。

詳細については、割り込みと暗号化に関連する項目を参照してください。

CTL クライアント、SSL、CAPF、およびセキュリティトークンのインストール

認証サポートを実現するために、次のいずれかのオプションを選択できます。

[Unified Communications Manager Administration] から Cisco CTL クライアントをインストールします。Cisco CTL クライアントオプションの場合、少なくとも 2 つのセキュリティトークンを入手する必要があります。
CLI コマンドセット utils ctl を使用します。この場合、セキュリティトークンは不要です。このオプションの詳細については、『Command Line Interface Guide for Cisco Unified Communications Solutions』を参照してください。

Unified Communications Manager をインストールすると、メディアおよびシグナリングの暗号化機能が自動的にインストールされます。

Unified Communications Manager によって、Unified Communications Manager 仮想ディレクトリ用のセキュアソケットレイヤ（SSL）が自動的にインストールされます。

Cisco Certificate Authority Proxy Function（CAPF）では、[Unified Communications Manager Administration] の一部として自動的にインストールされます。

TLS および IPSec

転送セキュリティはデータのコーディング、パッキング、および送信を扱います。Unified Communications Manager は次のセキュアなトランスポートプロトコルを提供しています。

Transport Layer Security（TLS）はセキュアポートと証明書交換を使用して、2 つのシステム間またはデバイス間でセキュアで信頼できるデータ転送を実現します。TLS は音声ドメインへのアクセスを防ぐために、Unified Communications Manager 制御システム、デバイス、およびプロセス間の接続を保護および制御します。Unified Communications Manager は TLS を使用して SCCP を実行する電話へのセキュアな SCCP コール、および SIP を実行する電話またはトランクへの SIP コールを保護します。
IP Security（IPSec）は、Unified Communications Manager とゲートウェイ間のセキュアで信頼できるデータ転送を実現します。IPSec は、 Cisco IOS MGCP および H.323 ゲートウェイにシグナリング認証および暗号化を実装します。

セキュア RTP（SRTP）サポートするデバイスにおいて、TLS および IPSec 転送サービスに次のセキュリティレベルの SRTP を追加できます。SRTP はメディアストリーム（音声パケット）を認証および暗号化し、Cisco Unified IP Phone の TDM またはアナログ音声ゲートウェイポートから発信または終了した音声会話が、音声ドメインへのアクセスを得ている可能性のある盗聴者から保護します。SRTP は、リプレイアタックに対する保護を追加します。

Cisco Unified Communications Manager 9.0 以降はデュアルモードスマートフォンの TLS/SRTP サポートを提供しています。TLS は携帯電話については IP Phone と同じセキュアで信頼できるデータ転送モードを設定し、SRTP は音声会話を暗号化します。

証明書

証明書は、クライアントとサーバのアイデンティティを保護します。ルート証明書がインストールされた後、証明書はルート信頼ストアに追加され、デバイスとアプリケーションユーザとの間を含め、ユーザとホストの間の接続を保護します。

管理者はサーバ証明書のフィンガープリントの参照、自己署名証明書の再生性、および信頼証明書の削除を Cisco Unified Communications Operating System GUI で実行できます。

管理者は、自己署名証明書の再生成と参照を CLI（コマンドラインインターフェイス）でも実行できます。

CallManager 信頼ストアの更新と証明書の管理の詳細については、この Unified Communications Manager リリースに対応した『Administration Guide for Cisco Unified Communications Manager』を参照してください。

（注）

Unified Communications Manager でサポートされている証明書の形式は PEM（.pem）および DER（.der）だけです。
DER あるいは PEM の証明書のサポートされる最大サイズは 4096 ビットです。

（注）

2 つの証明書をアップロードする場合は、それらの共通名と有効期間は同じであるものの、シリアル番号と署名アルゴリズムは異なるものであることを確認してください。

たとえば、Cisco Unified Communications Manager tomcat-trust には、シリアル番号が 27:20:41:0 c: 5b:08:69:80:42:62:4f:13:bd:16:06:6a、アルゴリズムが SHA1 のルート CA が存在します。シリアル番号が 7b:35:33:71:0b:7 c: 08:b2:47:b3:aa:f9:5 c: 0 d: ca:e4、アルゴリズムが SHA256 の証明書をアップロードしようとすると、証明書の管理処理は次のように実行されます。

受信した証明書の妥当性が検証されます。
Tomcat 信頼フォルダから、共通名が同じである証明書が検索されます。
Tomcat 信頼フォルダの既存の証明書のシリアル番号と、アップロードしている受信証明書のシリアル番号がチェックされます。それらのシリアル番号が異なる場合は、両方の証明書の有効期限開始日を確認します。アップロードしている証明書の有効期限開始タイムスタンプが、既存の証明書の有効期限開始タイムスタンプよりも後である場合、Tomcat 信頼フォルダの中の既存の証明書が新しく受信した証明書で置き換えられます。そうでない場合、新しい証明書はアップロードされません。

SHA1 と SHA256 のアルゴリズムでは、件名または共通名が同じであれば、同じエンティティに属していることを意味しています。Unified Communications Manager のフレームワークでは、Unified Communications Manager サーバでそれらの 2 つのアルゴリズムを同時にサポートすることはしません。特定の信頼フォルダ内では、署名アルゴリズムが何であれ、いずれかのエンティティに属する 1 つの証明書のみがサポートされます。

電話の証明書タイプ

シスコは次の証明書タイプを電話で使用します。

製造元でインストールされる証明書（MIC）：Cisco Manufacturing はこの証明書をサポートされている電話に自動的にインストールします。製造元でインストールされる証明書は LSC インストールの Cisco Certificate Authority Proxy Function（CAPF）を認証します。製造元でインストールされる証明書を上書きしたり、削除することはできません。
ローカルで有効な証明書（LSC）：このタイプの証明書は Cisco Certificate Authority Proxy Function（CAPF）に関連する必要な作業の実行後に、電話にインストールされます。デバイスセキュリティモードを認証または暗号化に設定した後で、LSC は Unified Communications Manager と電話の間の接続を保護します。

ヒント

製造元でインストールされる証明書（MIC）を LSC のインストールでのみ使用することが推奨されます。シスコでは Cisco Unified Communications Manager との TLS 接続の認証のために LSC をサポートしています。MIC ルート証明書は侵害される可能性があるため、TLS 認証またはその他の目的に MIC を使用するように電話を設定するお客様は、ご自身の責任で行ってください。MIC が侵害された場合シスコはその責任を負いません。

将来的な互換性の問題を回避するため、Unified Communications Manager との TLS 接続に LSC を使用するために Cisco Unified IP Phone 6900 シリーズ、7900 シリーズ、8900 シリーズ、9900 シリーズをアップグレードし、MIC ルート証明書を CallManager 信頼ストアから削除することが推奨されます。Unified Communications Manager との TLS 接続に MIC を使用する一部の電話モデルは登録できない場合があることに注意してください。

管理者は CallManager 信頼ストアから次の MIC ルート証明書を削除する必要があります。

CAP-RTP-001

CAP-RTP-002

Cisco_Manufacturing_CA

Cisco_Root_CA_2048

Cisco_Manufacturing_CA_SHA2

Cisco_Root_CA_M2

ACT2_SUDI_CA

CAPF 信頼ストアに残された MIC ルート証明書は、証明書のアップグレードに使用されます。CallManager 信頼ストアの更新および証明書の管理についての詳細は、このリリースに対応した『Administration Guide for Cisco Unified Communications Manager』を参照してください。

サーバ証明書のタイプ

Unified Communications Manager サーバでは次の自己署名（所有）証明書タイプが使用されます。

HTTPS 証明書（Tomcat）:自己署名ルート証明書は、HTTPS サーバの Unified Communications Manager インストール時に生成されます。Cisco Unity Connection は、SMTP および IMAP サービスにこの証明書を使用します。
CallManager 証明書：自己署名ルート証明書は Unified Communications Manager サーバに Unified Communications Manager をインストールするときに、自動的にインストールされます。
CAPF 証明書：Cisco CTL クライアント設定を完了すると、Unified Communications Manager のインストール時に生成されるこのルート証明書が、ご使用のサーバまたはクラスタ内のすべてのサーバにコピーされます。
IPSec 証明書（ipsec_cert）：自己署名ルート証明書は、Unified Communications Manager のインストール時に、MGCP および H.323 ゲートウェイとの IPSec 接続用に生成されます。
SRST 対応ゲートウェイの証明書：[Unified Communications Manager Administration] でのセキュアな SRST リファレンスの設定時に、Unified Communications Manager は SRST 対応ゲートウェイの証明書をゲートウェイから取得し Unified Communications Manager データベースに保存します。デバイスをリセットすると、証明書は電話の設定ファイルに追加されます。証明書はデータベースに格納されているため、証明書の管理ツールでこの証明書を管理することはできません。
TVS 証明書：信頼検証サービス（TVS）をサポートする自己署名証明書です。
Phone-SAST-trust 証明書：このカテゴリでは、システムが Cisco Unified IP Phone の VPN 証明書をインポートできます。これらの証明書は Midlet 信頼ストアに保存されます。
電話証明書信頼ストア（Phone-trust）：Unified Communications Manager はこの証明書タイプを使用して電話での HTTPS アクセスをサポートします。Cisco Unified Communications Operating System GUI を使用して証明書を Phone-trust ストアにアップロードできます。Cisco Unified IP Phone からの安全な Web アクセス（HTTPS）をサポートするため、Phone-CTL-trust にある証明書は CTL ファイルのメカニズムによって電話にダウンロードされます。電話の信頼証明書はサーバに残り、電話は TVS 経由でリクエスト可能です。

Unified Communications Manager は次のタイプの証明書を CallManager 信頼ストアにインポートします。

Cisco Unity サーバまたは Cisco Unity Connection 証明書：Cisco Unity および Cisco Unity Connection はこの自己署名ルート証明書を使用して Cisco Unity SCCP および Cisco Unity Connection SCCP のデバイス証明書に署名します。Cisco Unity では、Cisco Unity Telephony Integration Manager（UTIM）がこの証明書を管理します。Cisco Unity Connection では、Cisco Unity Connection Administration がこの証明書を管理します。
Cisco Unity および Cisco Unity Connection SCCP デバイス証明書：Cisco Unity および Cisco Unity Connection SCCP デバイスはこの署名付き証明書を使用して Unified Communications Manager との TLS 接続を確立します。
証明書の名前はボイスメールサーバ名に基づく証明書のサブジェクト名のハッシュを表しています。すべてのデバイス（またはポート）が、ルート証明書をルートとする証明書を発行します。
SIP プロキシサーバの証明書：CallManager 信頼ストアに SIP ユーザエージェントの証明書が含まれ、SIP ユーザエージェントの信頼ストアに Cisco Unified Communications Manager 証明書が含まれる場合、SIP トランク経由で接続する SIP ユーザエージェントは Unified Communications Manager に対して認証されます。

次の信頼ストアがあります。

Tomcat および Web アプリケーション用の共通信頼ストア
IPSec-trust
CAPF-trust
Userlicensing-trust
TVS-trust
Phone-SAST-trust
Phone-CTL-trust

外部 CA からの証明書のサポート

Unified Communications Manager は PKCS#10 証明書署名要求（CSR）のメカニズムを利用してサードパーティ認証局（CA）との統合をサポートします。これは Cisco Unified Communications Operating System 証明書マネージャ GUI でアクセス可能です。現在サードパーティ CA を使用しているお客様は、Cisco CallManager、CAPF、IPSec、および Tomcat 証明書を発行するために CSR のメカニズムを使用する必要があります。

（注）

マルチサーバ（SAN）CA 署名付き証明書を使用する際、マルチサーバ証明書は、パブリッシャにアップロードされる時点でクラスタに存在するノードのみに適用されます。したがって、ノードを再構築したり、クラスタに新しいノードを追加したりするたびに、新しいマルチサーバ証明書を生成して、クラスタにアップロードする必要があります。

システムを混合モードで実行すると、キーサイズが 4096 以上の CA 証明書を受け入れないエンドポイントもあります。CA 証明書を混合モードで使用するには、次のいずれかのオプションを選択してください。

証明書のキーサイズが 4096 未満の証明書の使用
自己署名証明書の使用

（注）

このリリースの Unified Communications Manager は SCEP インターフェイスをサポートしません。

サードパーティの CA 署名付き証明書をプラットフォームにアップロードした後、CTL クライアントを実行して CTL ファイルを更新する必要があります。CTL クライアントの実行後、更新のために適切なサービスを再起動します。たとえば、Unified Communications Manager 証明書を更新するときは Cisco CallManager および Cisco TFTP サービスを再起動し、CAPF 証明書を更新するときは CAPF を再起動します。

（注）

Cisco CallManager 証明書または CAPF 証明書をアップロードした後に、ITL ファイルを更新するために自動的に電話がリセットされる場合があります。

プラットフォームでの証明書署名要求（CSR）の生成については、この Unified Communications Manager リリースに対応した『Administration Guide for Cisco Unified Communications Manager』を参照してください。

認証、整合性、および許可

整合性および認証によって、次の脅威から保護されます。

TFTP によるファイル操作（整合性）
電話と Unified Communications Manager との間で行われる呼処理シグナリングの変更（認証）
表 1 で定義している中間者攻撃（認証）
電話およびサーバの ID 盗難（認証）
リプレイアタック（ダイジェスト認証）

許可では、認証されたユーザ、サービス、またはアプリケーションが実行できるアクションを指定します。1 つのセッションで複数の認証方式と許可方式を実装できます。

イメージ認証

このプロセスは、電話へのロード前にバイナリイメージ（ファームウェアロード）が改ざんされることを防止します。イメージが改ざんされると、電話の認証プロセスが失敗し、イメージは拒否されます。イメージ認証は、Unified Communications Manager インストール時に自動的にインストールされた署名付きバイナリファイルを使用して実行されます。同様に、Web からダウンロードしたファームウェアアップデートでも、署名付きバイナリイメージが提供されます。

デバイス認証

このプロセスは、通信デバイスのアイデンティティを検証し、エンティティが正当なものであることを確認します。

デバイス認証は、Unified Communications Manager サーバと、サポート対象の Cisco Unified IP Phone、SIP トランク、または JTAPI/TAPI/CTI アプリケーション（サポートされている場合）との間で発生します。これらのエンティティ間での認証済み接続は、それぞれのエンティティが相手側エンティティの証明書を受け入れた場合にのみ発生します。相互認証が、相互証明書交換のこのプロセスを表しています。

デバイス認証は、Cisco CTL ファイルの作成（Unified Communications Manager サーバノードとアプリケーションの認証時）、および Certificate Authority Proxy Function（電話と JTAPI/TAPI/CTI アプリケーションの認証時）に依存します。

ヒント

SIP トランク経由で接続される SIP ユーザは、CallManager 信頼ストアに SIP ユーザエージェント証明書が含まれ、SIP ユーザエージェントの信頼ストアに Cisco Unified Communications Manager 証明書が含まれる場合に、Cisco Unified Communications Manager で認証されます。CallManager 信頼ストアの更新の詳細については、この Unified Communications Manager リリースに対応した『Administration Guide for Cisco Unified Communications Manager』を参照してください。

ファイル認証

このプロセスは、設定ファイル、リングリストファイル、ロケールファイル、および CTL ファイルなど、電話によってダウンロードされる、デジタル署名されたファイルを検証します。ファイルが作成後に改ざんされていないことを確認するため、電話によって署名が検証されます。サポートされるデバイスの一覧については、"「電話モデルのサポート」"を参照してください。

クラスタを混合モードに設定すると、リングリストファイル、ローカライズファイル、default.cnf.xml、リングリスト WAV ファイルなどのスタティックファイルは TFTP サーバによって、.sgn フォーマットで署名されます。TFTP サーバは、ファイルのデータに発生した変更を検証するたびに、<device name>.cnf.xml フォーマットでファイルに署名します。

キャッシュが無効の場合、TFTP サーバは署名付きファイルをディスクに書き込みます。保存されたファイルが変更されたことが TFTP サーバによって確認された場合、TFTP サーバによってファイルが再度署名されます。ディスクの新しいファイルによって保存済みファイルが上書きされ、保存済みファイルは削除されます。電話が新しいファイルをダウンロードできるようになる前に、関連するデバイスを管理者が [Unified Communications Manager] で再起動する必要があります。

電話では、ファイルが TFTP サーバから受信されると、署名の検証によってファイルの整合性が確認されます。電話で認証済み接続を確立するには、次の条件への適合を確認します。

証明書が電話内に存在していること。
CTL ファイルが電話に存在し、そのファイルに Unified Communications Manager エントリと証明書が存在していること。
デバイスに認証または暗号化が設定されていること。

シグナリング認証

シグナリング整合性とも呼ばれるこのプロセスは、TLS プロトコルを使用して、伝送中にシグナリングパケットが改ざんされていないことを検証します。

シグナリング認証は証明書信頼リスト（CTL）ファイルの作成に依存します。

ダイジェスト認証

SIP トランクと電話のこのプロセスによって、Unified Communications Manager が Unified Communications Manager に接続されるデバイスのアイデンティティに対するチャレンジを実行できます。チャレンジが実施されると、デバイスはユーザ名とパスワードに類似したダイジェストクレデンシャルを検証用に Unified Communications Manager に提出します。提出されたクレデンシャルが、データベース内でそのデバイスに対して設定されているクレデンシャルと一致した場合、ダイジェスト認証は成功となり、Unified Communications Manager によって SIP 要求が処理されます。

（注）

クラスタセキュリティモードはダイジェスト認証に影響しないことに注意してください。

（注）

あるデバイスのダイジェスト認証を有効にすると、登録する一意のダイジェストユーザ ID とパスワードが要求されます。

電話ユーザやアプリケーションユーザには、Unified Communications Manager データベースで SIP ダイジェストクレデンシャルを設定します。

アプリケーションには、[Application User Configuration] ウィンドウでダイジェストクレデンシャルを指定します。
SIP を実行している電話には、[End User] ウィンドウでダイジェスト認証用のクレデンシャルを指定します。ユーザを設定した後にクレデンシャルを電話と関連付けるには、[Phone Configuration] ウィンドウで [Digest User]（エンドユーザ）を選択します。電話をリセットした後、クレデンシャルは TFTP サーバからその電話に提供される電話設定ファイル内に存在します。TFTP ダウンロードでダイジェストクレデンシャルがクリアテキストで送信されないようにするには、暗号化された電話設定ファイルの設定に関連するトピックを参照してください。
SIP トランクで受信したチャレンジの場合、レルムユーザ名（デバイスまたはアプリケーションユーザ）およびダイジェストクレデンシャルを指定する SIP レルムを設定します。

外部電話や SIP 実行中のトランクに対するダイジェスト認証を有効化してダイジェストクレデンシャルを設定する場合、Unified Communications Manager によってユーザ名、パスワード、レルムのハッシュを含むクレデンシャルのチェックサムが計算されます。システムでは、MD5 ハッシュの計算に、乱数であるナンス値が使用されます。値は Unified Communications Manager によって暗号化され、ユーザ名とチェックサムがデータベースに保存されます。

チャレンジを開始するために、Unified Communications Manager では SIP 401（Unauthorized）メッセージが使用されます。このメッセージのヘッダーにはナンスとレルムが含まれています。ナンス有効期間は、電話またはトランクの SIP デバイスセキュリティプロファイルで設定します。ナンス有効期間には、ナンス値が有効な時間を分単位で指定します。この時間が経過すると、その外部デバイスは Unified Communications Manager によって拒否され、新しい番号が生成されます。

（注）

Unified Communications Manager は SIP トランク経由で着信した、回線側の電話やデバイスから発信された SIP コールに対してはユーザエージェントサーバ（UAS）として動作し、SIP トランクに由来する SIP コールに対してはユーザエージェントクライアント（UAC）として動作し、回線から回線へ、またはトランクからトランクへの接続に対してはバックツーバックユーザエージェント（B2BUA）として動作します。ほとんどの環境において、Unified Communications Manager は主に SCCP と SIP エンドポイントを接続する B2BUA として動作します。（SIP ユーザエージェントは、SIP メッセージを発信したデバイスまたはアプリケーションを表します。）

ヒント

ダイジェスト認証では、整合性や機密性は提供されません。デバイスの整合性と機密性を確保するには、TLS をサポートするデバイスであれば、デバイスに TLS プロトコルを設定します。暗号化をサポートするデバイスであれば、デバイスセキュリティモードを暗号化に設定します。暗号化された電話設定ファイルをサポートするデバイスであれば、ファイルに暗号化を設定します。

電話のダイジェスト認証

電話のダイジェスト認証を有効化すると、キープアライブメッセージを除き、SIP を実行中の電話に対するすべての要求に対して Unified Communications Manager はチャレンジを実施します。Unified Communications Manager は回線側電話からのチャレンジに応答しません。

応答を受信すると、Unified Communications Manager はデータベースに保存されたユーザ名のチェックサムを、応答ヘッダー内のクレデンシャルに対して検証します。

SIP を実行中の電話は Unified Communications Manager レルムに存在します。このレルムはインストール時に [Unified Communications Manager Administration] で定義されます。電話へのチャレンジについて SIP レルムを設定するには、サービスパラメータ [SIP Station Realm] を使用します。各ダイジェストユーザには、レルムごとに 1 セットのダイジェストクレデンシャルを設定できます。

ヒント

エンドユーザのダイジェスト認証を有効にするが、ダイジェストクレデンシャルを設定しない場合、電話の登録が失敗します。クラスタモードが非セキュアであり、かつダイジェスト認証が有効化されダイジェストクレデンシャルが設定されている場合、ダイジェストクレデンシャルが電話に送信され、Unified Communications Manager は依然としてチャレンジを開始します。

トランクのダイジェスト認証

トランクのダイジェスト認証を有効化すると、Unified Communications Manager は、SIP トランクを介して接続された SIP デバイスとアプリケーションからの SIP トランク要求に対してチャレンジを実施します。システムでは、チャレンジメッセージ内で [Cluster ID] エンタープライズパラメータが使用されます。SIP トランクを介して接続する SIP ユーザエージェントは、[Unified Communications Manager] でデバイスまたはアプリケーションに設定された一意のダイジェストクレデンシャルを使用して応答します。

Unified Communications Manager が SIP トランク要求を開始した場合、SIP トランクを介して接続された SIP ユーザエージェントは Unified Communications Manager のアイデンティティにチャレンジを行えます。これらの着信チャレンジに対しては、要求されたクレデンシャルをユーザに提供するように SIP レルムを設定します。Unified Communications Manager が SIP 401（Unauthorized）または SIP 407（Proxy Authentication Required）メッセージを受信した場合、Unified Communications Manager はトランクを介して接続するレルムの暗号化パスワードおよびチャレンジメッセージに指定されているユーザ名の暗号化されたパスワードをルックアップします。Unified Communications Manager によってパスワードが復号され、ダイジェストが計算され、応答メッセージ内に表現されます。

ヒント

レルムは、xyz.com のように SIP トランクを介して接続される領域を表し、要求の送信元を判別するのに役立ちます。

SIP レルムを設定するには、SIP トランクのダイジェスト認証の関連項目を参照してください。Unified Communications Manager にチャレンジを行うことができる SIP トランクユーザエージェントごとに、Unified Communications Manager で SIP レルム、ユーザ名、パスワードを設定する必要があります。各ユーザエージェントには、レルムごとに 1 セットのダイジェストクレデンシャルを設定できます。

認証

Unified Communications Manager では、許可プロセスを使用して、SIP が実行されている電話、SIP トランク、および SIP トランクの SIP アプリケーション要求からのメッセージについて、特定のカテゴリを制限します。

SIP INVITE メッセージと in-dialog メッセージ、および SIP が実行されている電話の場合、Unified Communications Manager では、コーリングサーチスペースおよびパーティションによって許可を与えます。
電話機からの SIP SUBSCRIBE 要求の場合、Unified Communications Manager では、プレゼンスグループへのユーザアクセスに許可を与えます。
SIP トランクの場合、Unified Communications Manager では、プレゼンスサブスクリプションおよび特定の非 INVITE SIP メッセージ（Out-of-Dialog REFER、Unsolicited NOTIFY、Replaces ヘッダー付き SIP 要求など）の許可を与えます。[SIP Trunk Security Profile Configuration] ウィンドウで、許可する SIP 要求をオンにする際に、許可を指定します。

SIP トランクのアプリケーションの許可を有効にするには、[SIP Trunk Security Profile] ウィンドウで [Enable Application Level Authorization] チェックボックスと [Enable Digest Authentication] チェックボックスをオンにしてから、[Application User Configuration] ウィンドウで許可する SIP 要求のチェックボックスをオンにします。

SIP トランクの許可とアプリケーションレベルの許可（認証）の両方を有効化した場合、最初に SIP トランクの許可が実行され、次に SIP アプリケーションユーザの許可が実行されます。トランクの場合、Unified Communications Manager では、トランクのアクセスコントロールリスト（ACL）情報をダウンロードしてキャッシュします。ACL 情報は、着信 SIP 要求に適用されます。ACL で SIP 要求が許可されていない場合、コールは 403 Forbidden メッセージで失敗します。

ACL で SIP 要求が許可されている場合、Unified Communications Manager では、[SIP Trunk Security Profile] でダイジェスト認証が有効になっているかどうかを確認します。ダイジェスト認証が無効でアプリケーションレベルの認証も無効の場合、Unified Communications Manager では要求を処理します。ダイジェスト認証が有効な場合、Unified Communications Manager では、着信要求に認証ヘッダーが存在することを確認してから、ダイジェスト認証を使用して発信元アプリケーションを識別します。ヘッダーが存在しない場合、Unified Communications Manager では 401 メッセージでデバイスに対するチャレンジを行います。

アプリケーションレベルの ACL を適用する前に、Unified Communications Manager では、ダイジェスト認証で SIP トランクユーザエージェントを認証します。このため、アプリケーションレベルの許可（認証）を実行するには、事前に [SIP Trunk Security Profile] でダイジェスト認証を有効にする必要があります。

暗号化

ヒント

暗号化機能は、Unified Communications Manager をサーバにインストールするときに自動的にインストールされます。

ここでは、Unified Communications Manager のサポートする暗号化のタイプについて説明します。

シグナリング暗号化

シグナリング暗号化により、デバイスと Unified Communications Manager サーバ間で送信されるすべての SIP と SCCP シグナリングメッセージが暗号化されるようにできます。

シグナリング暗号化によって、相手に関連する情報、相手が入力した DTMF 番号、コールステータス、メディア暗号キーなどの情報が、意図しないアクセスや不正なアクセスから保護されます。

クラスタを混合モードに設定している場合、Unified Communications Manager によるネットワークアドレス変換（NAT）はサポートされません。NAT はシグナリング暗号化では動作しません。

ファイアウォールで UDP ALG を有効にし、メディアストリームによるファイアウォールトラバーサルを許可できます。UDP ALG を有効にすると、ファイアウォールの信頼できる側のメディアソースが、ファイアウォールを介してメディアパケットを送信することにより、ファイアウォールを通過する双方向のメディアフローを開くことができます。

ヒント

ハードウェア DSP リソースはこのタイプの接続を開始できないため、ファイアウォールの外側に置く必要があります。

シグナリング暗号化では、NAT トラバーサルがサポートされません。NAT を使用する代わりに、LAN 拡張 VPN の使用を検討してください。

メディア暗号化

Secure Real-Time Protocol（SRTP）を使用するメディア暗号化により、サポートされるデバイス間で対象の受信者だけがメディアストリームを解釈できるようになります。メディア暗号化には、デバイスのメディアのマスターキーペアの作成、デバイスへのキー配布、キーが転送される間のキー配布の保護などが含まれます。Unified Communications Manager では、SIP トランクに加えて、主に IOS ゲートウェイと、ゲートキーパー制御および非ゲートキーパー制御トランクの Unified Communications Manager H.323 トランク向けに SRTP がサポートされています。

（注）

Cisco Unified Communications Manager では、デバイスおよびプロトコルの違いに応じて異なる方法でメディア暗号化キーが処理されます。SCCP を実行しているすべての電話は、Unified Communications Manager からメディア暗号化キーを取得します。この場合、TLS 暗号化シグナリングチャネルによって電話へのメディア暗号化キーのダウンロードが保護されます。SIP を実行している電話は、それ自体のメディア暗号化キーを生成して保存します。Unified Communications Manager システムによって導出されたメディア暗号化キーは、暗号化されたシグナリングパス経由で、H.323 用の IPSec で保護されたリンク、および SCCP と SIP 向けの MGCP または暗号化 TLS リンクを介してゲートウェイに安全に送信されます。

デバイスが SRTP をサポートしている場合、システムは SRTP 接続を使用します。1 つ以上のデバイスが SRTP をサポートしていない場合は、システムは RTP 接続を使用します。SRTP から RTP へのフォールバックは、セキュアなデバイスからセキュアではないデバイスへの転送、トランスコーディング、保留音などの場合に発生する可能性があります。

セキュリティ対応デバイスのほとんどにおいて、認証とシグナリング暗号化は、メディアを暗号化するための最小要件です。つまり、デバイスがシグナリング暗号化と認証をサポートしていない場合、メディア暗号化は行われません。Cisco IOS ゲートウェイおよびトランクでは、認証なしのメディア暗号化がサポートされています。SRTP 機能（メディア暗号化）を有効にする場合、Cisco IOS ゲートウェイおよびトランクに IPSec を設定する必要があります。

警告

Cisco IOS MGCP ゲートウェイ、H.323 ゲートウェイおよび H.323/H.245/H.225 トランクにおいて、セキュリティ関連情報が暗号化されずに送信されないようにすることは、IPSec 設定に依存しています。したがって、ゲートウェイおよびトランクに SRTP またはシグナリング暗号化を設定する前に、IPSec を設定することを強く推奨します。Unified Communications Manager は、IPSec 接続が正しく設定されていることを確認しません。IPSec を正しく設定しないと、セキュリティ関連情報が公開される可能性があります。

SIP トランクでは、セキュリティ関連情報が暗号化されない状態で送信されることがないようにするために、TLS が使用されます。

次の例は、SCCP および MGCP コールのメディア暗号化を示します。

デバイス A とデバイス B は、メディアの暗号化と認証をサポートしており、Unified Communications Manager に登録されています。
デバイス A がデバイス B に対してコールを発信すると、Unified Communications Manager はキーマネージャ機能に対しメディアセッションマスター値のセットを 2 つ要求します。
両方のデバイスが 2 つのセットを受け取ります。 1 つはデバイス A からデバイス B へのメディアストリーム用のセット、もう 1 つはデバイス B からデバイス A へのメディアストリーム用のセットです。
デバイス A はマスター値の最初のセットを使用して、デバイス A からデバイス B へのメディアストリームの暗号化と認証のためのキーを導出します。
デバイス A はマスター値の 2 番目のセットを使用して、デバイス B からデバイス A へのメディアストリームの認証と復号のためのキーを導出します。
デバイス B はこれとは反対の操作手順でこれらのセットを使用します。
デバイスは、キーを受信した後に必要なキー導出を実行し、SRTP パケット処理が行われます。

（注）

SIP を実行している電話と H.323 トランクまたはゲートウェイは、独自の暗号パラメータを生成し、Unified Communications Manager に送信します。

電話会議のメディア暗号化については、会議リソースの保護に関連する項目を参照してください。

設定ファイルの暗号化

Unified Communications Manager は、ダイジェストクレデンシャルや管理者パスワードといった機密データを、TFTP サーバからの設定ファイルダウンロードの形で電話にプッシュします。

Unified Communications Manager において、データベース内では可逆暗号化を使用してこれらのクレデンシャルが保護されています。ダウンロードプロセス中のデータを保護するため、このオプションをサポートするすべての Cisco IP Phone において、暗号化された設定ファイルを設定することを推奨します。このオプションが有効にされると、デバイス設定ファイルだけがダウンロード用に暗号化されます。

（注）

状況によっては、機密データの電話へのダウンロードにクリアテキストを選択することもできます。たとえば、電話のトラブルシュートや自動登録などの場合が考えられます。

Unified Communications Manager は、暗号化キーを符号化してデータベースに保存します。TFTP サーバでは、対称暗号化キーを使用して設定ファイルの暗号化と復号が行われます。

電話に PKI 機能がある場合、Unified Communications Manager では電話の公開キーを使用して電話の設定ファイルを暗号化できます。
電話に PKI 機能がない場合、Unified Communications Manager と電話に一意の対称キーを設定する必要があります。

暗号化設定ファイルの設定は、[Unified Communications Manager Administration] の [Phone Security Profile] ウィンドウで有効化し、その後 [Phone Configuration] ウィンドウで電話に適用します。

NMAP スキャン操作

すべての Windows または Linux プラットフォームで脆弱性スキャンを実行するには、Network Mapper（NMAP）スキャンプログラムを実行できます。NMAP はネットワーク調査やセキュリティ監査を行う、無料のオープンソースのユーティリティです。

（注）

NMAP DP スキャンは、完了までに最大 18 時間かかります。

シンタックス

nmap -n -vv -sU -p <port_range> <ccm_ip_address>

値は次のとおりです。

-n：DNS 解決なし。検出されたアクティブ IP アドレスに対して逆引き DNS 解決を行わないよう NMAP に指示します。NMAP 組み込みパラレルスタブリゾルバを使用しても DNS の処理は遅くなる可能性があるため、このオプションを使用するとスキャン時間を削減できます。

-v：冗長性レベルを上げます。これにより、NMAP が出力する進行中のスキャンに関する情報が増えます。開いているポートは検出次第表示され、NMAP がスキャンに数分以上かかると推定した場合には完了までにかかる時間が表示されます。冗長度をさらに上げるには、このオプションを 2 回以上使用します。

-sU：UDP ポートスキャンを指定します。

-p：スキャンするポートを指定し、デフォルトをオーバーライドします。個々のポート番号と、ハイフンを使用したポート番号の範囲を使用できることにご注意ください（例：1-1023）。

ccm_ip_address：Cisco Unified Communications Manager の IP アドレス。

認証と暗号化のセットアップ

重要	この手順は CTL クライアントの暗号化オプションに適用されます。また、utils ctl CLI コマンドセットを使用して暗号化を設定することもできます。このオプションの詳細については、『Command Line Interface Guide for Cisco Unified Communications Solutions』を参照してください。

次の手順は、認証および暗号化を実装するために必要なすべての手順を示します。指定されたセキュリティ機能のために行う必要がある作業を含む章の参考資料については、関連項目を参照してください。

新規インストールで認証と暗号化を実装するには、次の表を参照してください。
ノードをセキュアクラスタに追加するには、ノードの追加方法および新しいノード用のセキュリティの設定方法を説明している『Installing Cisco Unified Communications Manager』を参照してください。

手順

ステップ 1

[Cisco Unified Serviceability] で Cisco CTL Provider サービスをアクティブにします。

クラスタの各 Unified Communications Manager サーバの Cisco CTL Provider サービスを必ずアクティブにします。

ヒント

Unified Communications Manager のアップグレード前にこのサービスをアクティブにした場合は、サービスを再度アクティブにする必要はありません。アップグレード後にサービスは自動的にアクティブになります。

ステップ 2

ローカルで有効な証明書のインストール、アップグレード、トラブルシュート、または削除を行うには、[Cisco Unified Serviceability] で Cisco Certificate Authority Proxy サービスをアクティブにします。

最初のノードでのみ Cisco Certificate Authority Proxy サービスをアクティブにします。

ワンポイントアドバイス

Cisco CTL クライアントをインストールして設定する前に、この作業を実行すれば、CAPF を使用するために CTL ファイルを更新する必要がなくなります。

ステップ 3

デフォルトのポート設定を使用しない場合は、TLS 接続用のポートを設定します。

ヒント

Unified Communications Manager のアップグレードの前にこれらの設定項目を設定した場合は、設定項目はアップグレード中に自動的に移行されます。

ステップ 4

暗号化に Cisco CTL クライアントを使用している場合は、Cisco CTL クライアント用に設定するサーバについて、少なくとも 2 つのセキュリティトークンとパスワード、ホスト名または IP アドレス、およびポート番号を入手します。

（注）

utils ctl CLI オプションの場合、ハードウェアセキュリティトークンは不要です。

ステップ 5

Cisco CTL クライアントをインストールします。

ヒント

今回のリリースの Unified Communications Manager にアップグレードした後で Cisco CTL ファイルを更新するには、今回のリリースの [Unified Communications Manager Administration] で利用可能なプラグインをインストールする必要があります。

ステップ 6

Cisco CTL クライアントを設定します。

ヒント

Unified Communications Manager のアップグレード前に Cisco CTL ファイルを作成した場合、Cisco CTL ファイルはアップグレード中に自動的に移行されます。今回のリリースの Unified Communications Manager にアップグレードした後で Cisco CTL ファイルを更新するには、Cisco CTL クライアントの最新バージョンをインストールして設定する必要があります。

ステップ 7

電話セキュリティプロファイルを設定します。

プロファイルを設定するときは、次の作業を実行します。

デバイスのセキュリティモードを設定します。

ヒント

デバイスセキュリティモードは、Unified Communications Manager のアップグレード時に自動的に移行されます。以前のリリースの認証だけをサポートしていたデバイスに暗号化を設定する場合は、[Phone Configuration] ウィンドウで暗号化のセキュリティプロファイルを選択する必要があります。

CAPF 設定を行います（SCCP および SIP を実行する一部の電話の場合）。

追加の CAPF 設定が [Phone Configuration] ウィンドウに表示されます。
SIP を実行する電話でダイジェスト認証を使用する場合は、[Enable Digest Authentication] チェックボックスをオンにします。
暗号化された設定ファイルを有効にするには（SCCP および SIP を実行する一部の電話の場合）、[Encrypted Config] チェックボックスをオンにします。
設定ファイルのダウンロードでダイジェストクレデンシャルを除外するには、[Exclude Digest Credential in Configuration File] チェックボックスをオンにします。

ステップ 8

電話に電話セキュリティプロファイルを適用します。

ステップ 9

電話に証明書を発行するように CAPF を設定します。

ヒント

今回のリリースの Unified Communications Manager へのアップグレード前に証明書の操作を実行し、CAPF をサブスクライバサーバで実行した場合、CAPF データをパブリッシャデータベースサーバにコピーしてから、クラスタを今回のリリースの Cisco Unified Communications Manager にアップグレードする必要があります。

注意	Unified Communications Manager サブスクライバサーバの CAPF データは Unified Communications Manager データベースに移行されないため、データをデータベースにコピーしなければ、データは失われます。データが失われても、CAPF ユーティリティを使用して発行したローカルで有効な証明書は電話に残ります。しかし、この証明書はもう有効でないため、今回のリリースの CAPF ユーティリティは証明書を再発行する必要があります。

次の手順は、省略可能です。

ステップ 10

サポートされている Cisco Unified IP Phone にローカルで有効な証明書がインストールされたことを確認します。

ステップ 11

SIP を実行する電話のダイジェスト認証を設定します。

ステップ 12

電話のセキュリティ強化作業を実行します。

ヒント

電話のセキュリティ強化設定を Unified Communications Manager のアップグレード前に設定した場合、デバイス設定はアップグレード中に自動的に移行されます。

ステップ 13

セキュリティ用の会議ブリッジリソースを設定します。

ステップ 14

セキュリティ用のボイスメールポートを設定します。

詳細については、このリリースの Unified Communications Manager の該当する Cisco Unity または Cisco Unity Connection 統合ガイドを参照してください。

ステップ 15

SRST リファレンスのセキュリティを設定します。

ヒント

前のリリースの Unified Communications Manager でセキュア SRST リファレンスを設定した場合、その設定は Unified Communications Manager のアップグレード中に自動的に移行されます。

ステップ 16

IPSec を設定します。

詳細については、『Administration Guide for Cisco Unified Communications Manager』を参照してください。

ステップ 17

SIP トランクセキュリティプロファイルを設定します。

ダイジェスト認証を使用する場合は、プロファイルの [Enable Digest Authentication] チェックボックスをオンにします。

トランクレベルの認証の場合、許可する SIP 要求の認証チェックボックスをオンにします。

トランクレベルの認証の後、アプリケーションレベルの許可を発生させる場合は、[Enable Application Level Authorization] チェックボックスをオンにします。

ダイジェスト認証をオンにしない限り、アプリケーションレベルの認証はオンにできません。

ステップ 18

SIP トランクセキュリティプロファイルをトランクに適用します。

ステップ 19

トランクのダイジェスト認証を設定します。

ステップ 20

SIP トランクセキュリティプロファイルで [Enable Application Level Authorization] チェックボックスをオンにした場合は、[Application User Configuration] ウィンドウの認証チェックボックスをオンにして、許可する SIP 要求を設定します。

ステップ 21

すべての電話をリセットします。

ステップ 22

すべてのサーバをリブートします。

Cisco Unified Communications Manager リリース 11.5(1)SU3 セキュリティ ガイド

偏向のない言語

翻訳について

検索結果

章のタイトル： セキュリティの概要

セキュリティの概要

用語および略語

システム要件

機能一覧

セキュリティ アイコン

連携動作と制限事項

連携動作

プレゼンス

SIP トランク

エクステンション モビリティ

CTI

機能制限

認証および暗号化

割り込みと暗号化

ワイドバンド コーデックと暗号化

メディア リソースと暗号化

電話のサポートと暗号化

電話のサポートと暗号化された設定ファイル

セキュリティ アイコンおよび暗号化

クラスタ セキュリティ モードとデバイス セキュリティ モード

ダイジェスト認証と暗号化

パケット キャプチャと暗号化

ベスト プラクティス

デバイスのリセット、サーバとクラスタのリブート、サービスの再起動

デバイスのリセット、サーバとクラスタのリブート、サービスのリセット

始める前に

手順

割り込みによるメディア暗号化の設定

CTL クライアント、SSL、CAPF、およびセキュリティ トークンのインストール

TLS および IPSec

証明書

電話の証明書タイプ

サーバ証明書のタイプ

外部 CA からの証明書のサポート

認証、整合性、および許可

イメージ認証

デバイス認証

ファイル認証

シグナリング認証

ダイジェスト認証

電話のダイジェスト認証

トランクのダイジェスト認証

認証

暗号化

シグナリング暗号化

メディア暗号化

設定ファイルの暗号化

NMAP スキャン操作

シンタックス

認証と暗号化のセットアップ

手順

詳細情報の入手先

関連するシスコのドキュメント

このドキュメントは役に立ちましたか?

シスコに問い合わせ

Cisco Unified Communications Manager リリース 11.5(1)SU3 セキュリティガイド

章のタイトル：セキュリティの概要

セキュリティアイコン

エクステンションモビリティ

ワイドバンドコーデックと暗号化

メディアリソースと暗号化

セキュリティアイコンおよび暗号化

クラスタセキュリティモードとデバイスセキュリティモード

パケットキャプチャと暗号化

ベストプラクティス

CTL クライアント、SSL、CAPF、およびセキュリティトークンのインストール