Como todos os dispositivos de WLAN que estão no intervalo podem receber todo o tráfego da WLAN, proteger a comunicação por voz é algo essencial nessas redes. Para garantir que intrusos não manipulem nem interceptem o tráfego de voz, a arquitetura do Cisco SAFE Security oferece suporte para os APs do Telefone IP Cisco e do Cisco Aironet. Para obter mais informações sobre a segurança em redes, consulte http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

A solução de telefonia IP sem fio da Cisco fornece segurança de rede sem fio que impede inícios de sessão não autorizados e comunicações comprometidas usando os seguintes métodos de autenticação aceitos pelo Telefone IP sem fio Cisco:

• Autenticação aberta: qualquer dispositivo sem fio pode solicitar autenticação em um sistema aberto. O AP que recebe a solicitação pode conceder autenticação para qualquer solicitante ou apenas para solicitantes encontrados em uma lista de usuários. A comunicação entre o dispositivo sem fio e o AP pode não estar criptografada ou os dispositivos podem usar chaves WEP para fornecer segurança. Os dispositivos que usam WEP só tentam se autenticar com um ponto de acesso que está usando WEP.

• Autenticação EAP-FAST: essa arquitetura de segurança de cliente-servidor criptografa transações EAP dentro de um túnel TLS entre o AP e o servidor RADIUS, como o Cisco Access Control Server (ACS).

  O túnel TLS usa credenciais de acesso protegido (PACs) para autenticação entre o cliente (telefone) e o servidor RADIUS. O servidor envia um ID de autoridade (AID) para o cliente (telefone), que por sua vez seleciona a PAC apropriada. O cliente (telefone) retorna uma PAC-Opaque para o servidor RADIUS. O servidor descriptografa a PAC com a chave mestre. Agora s dois pontos de extremidade contêm a chave PAC, e um túnel TLS é criado. O EAP-FAST oferece suporte para provisionamento automático de PAC, mas você precisa ativá-lo no servidor RADIUS.

  Observação

  No Cisco ACS, por padrão, a PAC expira em uma semana. Se a PAC do telefone tiver expirado, a autenticação no servidor RADIUS será mais demorada enquanto o telefone obtém uma nova PAC. Para evitar atrasos no provisionamento da PAC, defina o período de expiração para 90 dias ou mais no servidor ACS ou RADIUS.

• Autenticação Extensible Authentication Protocol-Transport Layer Security (EAP-TLS): o EAP-TLS exige um certificado de cliente para autenticação e acesso à rede. Para EAP-TLS com fio, o certificado de cliente pode ser o MIC ou LSC do telefone. O LSC é o certificado de autenticação de cliente recomendado para EAP-TLS com fio.

• Protocolo de autenticação extensível protegido (PEAP): esquema de autenticação mútua baseada em senha e proprietário da Cisco entre o cliente (telefone) e um servidor RADIUS. O Telefone IP Cisco pode usar PEAP para autenticação na rede sem fio. Os métodos de autenticação PEAP MSCHAPV2 e PEAP-GTC têm suporte.

Os seguintes esquemas de autenticação usam o servidor RADIUS para gerenciar chaves de autenticação:

• WPA/WPA2: usa informações do servidor RADIUS para gerar chaves exclusivas para autenticação. Como essas chaves são geradas no servidor RADIUS centralizado, o WPA/WPA2 oferece que mais segurança do que as chaves pré-compartilhadas WPA que são armazenadas no AP e no telefone.

• Roaming rápido e seguro: usa informações do servidor RADIUS e de um servidor de domínio sem fio (WDS) para gerenciar e autenticar as chaves. O WDS cria um cache de credenciais de segurança para dispositivos cliente ativados para o CCKM, para uma nova autenticação rápida e segura. O Telefone IP Cisco série 8800 oferece suporte para 802.11r (FT). 11r (FT) e CCKM são compatíveis para permitir roaming rápido e seguro. Mas a Cisco recomenda altamente a utilização do método pelo ar 802.11r (FT).

Com o WPA/WPA2 e o CCKM, as chaves de criptografia não são inseridas no telefone, mas derivadas automaticamente entre o AP e o telefone. Porém, o nome do usuário EAP e a senha que são usados para autenticação devem ser inseridos em cada telefone.

Para garantir que o tráfego de voz esteja seguro, o Telefone IP Cisco oferece suporte para WEP, TKIP e padrões de criptografia avançada (AES) para criptografia. Quando esses mecanismos são usados para criptografia, tanto os pacotes SIP de sinalização quanto os pacotes RTP (Real-Time Transport Protocol) de voz são criptografados entre o AP e o Telefone IP Cisco.

WEP

Com o uso do WEP na rede sem fio, a autenticação acontece no AP usando a autenticação de chave aberta ou de chave compartilhada. A chave WEP configurada no telefone deve corresponder à chave WEP que está configurada no AP para que as conexões sejam bem-sucedidas. O Telefone IP Cisco oferece suporte para chaves WEP que usam criptografia de 40 bits ou uma criptografia de 128 bits e permanecem estáticas no telefone e no AP.

A autenticação EAP e do CCKM pode usar chaves WEP para criptografia. O servidor RADIUS gerencia a chave WEP e passa uma chave exclusiva para o AP depois da autenticação para criptografar todos os pacotes de voz; consequentemente, essas chaves WEP podem mudar a cada autenticação.

TKIP

WPA e CCKM usam criptografia TKIP, que tem diversas melhorias em relação ao WEP. TKIP fornece vetores de inicialização (IVs) mais longos e criptografia de chave por pacote que reforçam a criptografia. Além disso, uma verificação de integridade das mensagens (MIC) garante que os pacotes criptografados não estejam sendo alterados. O TKIP remove a capacidade de previsão do WEP que ajuda os invasores a decifrar a chave WEP.

AES

Um método de criptografia usado para autenticação WPA2. Esse padrão nacional de criptografia usa um algoritmo simétrico que tem a mesma chave para criptografia e descriptografia. O AES usa criptografia CBC de 128 bits, que suporta tamanhos de chave de pelo menos 128, 192 e 256 bits. O Telefone IP Cisco suporta um tamanho de chave de 256 bits.

Observação

O Telefone IP Cisco não oferece suporte para o protocolo de integridade de chave Cisco (CKIP) com CMIC.

Esquemas de autenticação e criptografia são configuradas na LAN sem fio. As VLANs configuradas na rede e nos APs e especificam diferentes combinações de autenticação e criptografia. Um SSID é associado a uma VLAN e ao esquema de autenticação e criptografia específico. Para que os dispositivos cliente sem fio sejam autenticados corretamente, você deve configurar os mesmos SSIDs com os esquemas de autenticação e criptografia deles nos APs e no Telefone IP Cisco.

Alguns esquemas de autenticação exigem tipos específicos de criptografia. Com a autenticação aberta, você pode usar WEP estático para criptografia para aumentar a segurança. Mas se você estiver usando autenticação de chave compartilhada, deve configurar o WEP estático para criptografia e uma chave WEP no telefone.

Observação

Quando você usa uma chave pré-compartilhada WPA ou WPA2, a chave pré-compartilhada deve ser definida de forma estática no telefone. Essas chaves devem coincidir com as chaves que estão no AP. O Telefone IP Cisco não oferece suporte para negociação automática de EAP; para usar o modo EAP-FAST, você deve especificá-lo.

A tabela a seguir mostra uma lista de esquemas de autenticação e criptografia configurados nos APs do Cisco Aironet que são suportados pelo Telefone IP Cisco. A tabela mostra a opção de configuração de rede para o telefone que corresponde à configuração do AP.

Para obter mais informações sobre como configurar esquemas de autenticação e criptografia em APs, consulte o Cisco Aironet Configuration Guide do seu modelo e versão no seguinte URL:

http://www.cisco.com/cisco/web/psa/configure.html?mode=prod&level0=278875243

Se a sua rede sem fio usar a criptografia WEP e você definir o Modo de autenticação como Abrir + WEP, você deverá inserir uma chave WEP ASCII ou hexadecimal.

As chaves WEP para o telefone deverão corresponder às chaves WEP atribuídas ao ponto de acesso. O Telefone IP Cisco e os pontos de acesso Cisco Aironet dão suporte a chaves de criptografia de 40 e de 128 bits.

Exporte o certificado CA raiz de servidor do ACS. Para obter mais informações, consulte a documentação de CA ou RADIUS.