下表概述了本地部署中即时消息加密的详细信息。

服务器与客户端协商

以下服务器使用 X.509 公钥基础架构 (PKI) 证书和以下项与 Cisco Jabber 协商 TLS 加密：

• Cisco Unified Communications Manager IM and Presence

• Cisco Unified Communications Manager

在服务器与客户端协商 TLS 加密之后，客户端和服务器都会生成和交换会话密钥，以加密即时消息流量。

下表列出了 Cisco Unified Communications Manager IM and Presence Service 的 PKI 证书密钥长度。

XMPP 加密

Cisco Unified Communications Manager IM and Presence Service 使用采用 AES 算法加密的 256 位长度会话密钥，以保护 Cisco Jabber 与在线状态服务器之间的即时消息流量。

如果您需要提高服务器节点之间的流量的安全，可以在 Cisco Unified Communications Manager IM and Presence Service 上配置 XMPP 安全设置。有关安全设置的详细信息，请参阅以下内容：

• Cisco Unified Communications Manager IM and Presence Service — IM and Presence 的安全配置

即时消息记录

您可以根据监管指引记录即时消息并存档。要记录即时消息，您可以配置外部数据库，或与第三方合规性服务器集成。Cisco Unified Communications Manager IM and Presence Service 不加密您在外部数据库或第三方合规性服务器中记录的即时消息。您必须按需要配置外部数据库或第三方合规性服务器，以保护您记录的即时消息。

有关合规性的详细信息，请参阅以下内容：

• Cisco Unified Communications Manager IM and Presence Service— IM and Presence Service 的即时消息合规性

有关加密层级和加密算法（包括对称密钥算法，如 AES，或公钥算法，如 RSA）的详细信息，请参阅此链接 https://www.cisco.com/c/en/us/about/security-center/next-generation-cryptography.html 上的下一代加密 (Next Generation Encryption)。

有关 X.509 公钥基础架构证书的详细信息，请参阅此链接 https://www.ietf.org/rfc/rfc2459.txt 上的《互联网 X.509 公钥基础架构证书和 CRL 配置文件》文档。

下表概述了基于云部署中即时消息加密的详细信息：

服务器与客户端协商

以下服务器通过 Cisco Webex Messenger 服务使用 X.509 公钥基础架构 (PKI) 证书与 Cisco Jabber 协商 TLS 加密。

在服务器与客户端协商 TLS 加密之后，客户端和服务器都会生成和交换会话密钥，以加密即时消息流量。

XMPP 加密

Cisco Webex Messenger 服务使用用 AES 算法加密的 128 位会话密钥，以保护 Cisco Jabber 和 Cisco Webex Messenger 服务之间的即时消息流量安全。

您可以有选择性地启用 256 位客户端对客户端 AES 加密，以保护客户端之间的流量安全。

即时消息记录

Cisco Webex Messenger 服务可以记录即时消息，但它不会以加密格式存档这些即时消息。不过，Cisco Webex Messenger 服务使用严格的数据中心安全性（包括 SAE-16 和 ISO-27001 审核）保护记录的即时消息。

如果您启用 256 位客户端对客户端加密，则 Cisco Webex Messenger 服务无法记录即时消息。

有关加密层级和加密算法（包括对称密钥算法，如 AES，或公钥算法，如 RSA）的详细信息，请参阅此链接 https://www.cisco.com/c/en/us/about/security-center/next-generation-cryptography.html 上的下一代加密 (Next Generation Encryption)。

有关 X.509 公钥基础架构证书的详细信息，请参阅此链接 https://www.ietf.org/rfc/rfc2459.txt 上的《互联网 X.509 公钥基础架构证书和 CRL 配置文件》文档。

查看客户端显示以指示加密级别的图标。

聊天历史在参与者关闭聊天窗口和参与者注销之前得到保留。如果在参与者关闭聊天窗口后不想保留聊天历史，请将 Disable_IM_History 参数设置为 true。此参数可用于所有客户端（仅 IM 用户除外）。

对于 Cisco Jabber Mac 版本的本地部署，如果您在 Cisco Jabber Mac 版本的聊天首选项窗口中选择了将聊天存档保存到：选项，则聊天历史将存储在本地 Mac 文件系统中，可以使用 Spotlight 进行搜索。

本地聊天历史启用后，Cisco Jabber 不会对存档的即时消息进行加密。

对于桌面客户端，可以通过将存档保存到以下目录来限制对聊天历史的访问：

• Windows：%USERPROFILE%\AppData\Local\Cisco\Unified Communications\Jabber\CSF\History\uri.db

• Mac：~/Library/Application Support/Cisco/Unified Communications/Jabber/CSF/History/uri.db。

对于移动客户端，无法访问聊天历史文件。

为防止 CSR 出现问题，您应从计划提交 CSR 的公共 CA 查看格式要求。然后，您应确保在配置服务器时输入的信息符合公共 CA 所需的格式。

每个 FQDN 一个证书 — 某些公共 CA 仅对每个完全限定域名 (FQDN) 签署一个证书。

例如，要为单个 Cisco Unified Communications Manager IM and Presence Service 节点签署 HTTP 和 XMPP 证书，您可能需要将每个 CSR 提交到不同的公共 CA。

如果无法接通吊销服务器，Cisco Jabber 无法连接到 Cisco Unified Communications Manager 服务器。此外，如果证书颁发机构 (CA) 吊销证书，Cisco Jabber 不允许用户连接到该服务器。

系统不会通知用户以下结果：

• 证书不包含吊销信息。

• 无法访问吊销服务器。

作为签名过程的一部分，CA 指定证书中的服务器身份。当客户端验证证书时，它会检查：

• 受信任的颁发机构已颁发证书。

• 提供证书的服务器的身份与证书中指定的服务器的身份匹配。

注	公共 CA 通常要求将完全限定域名 (FQDN) 作为服务器标识，而不是 IP 地址。

标识符字段

客户端在服务器证书中检查标识匹配的以下标识符字段：

• XMPP 证书

  • SubjectAltName\OtherName\xmppAddr

  • SubjectAltName\OtherName\srvName

  • SubjectAltName\dnsNames

  • 主题 CN

• HTTP 证书

  • SubjectAltName\dnsNames

  • 主题 CN

提示	“主题 CN”字段可将通配符 (*) 包含为最左边的字符，例如 *.cisco.com。

防止标识不匹配

如果用户尝试连接到具有 IP 地址或主机名的服务器，并且服务器证书使用 FQDN 标识服务器，则客户端无法将该服务器标识为可信任并提示用户。

如果您的服务器证书使用 FQDN 标识服务器，则应计划在服务器的多个位置将每个服务器名称指定为 FQDN。有关详细信息，请参阅故障排除 TechNotes 中的“防止标识不匹配”部分。

如果使用多服务器 SAN，则每个 tomcat 证书的每个群集和每个 XMPP 证书的每个群集均只需将证书上传到服务一次。如果不使用多服务器 SAN，则必须将证书上传到每个 Cisco Unified Communications Manager 节点的服务。