Clientzertifikat; Zertifikatstruktur - Cisco 7800-Serie Handbuch

Sichere HTTPS-Resynchronisierung
Sie benötigen die folgende Informationen:
•
•
•
Senden Sie die CSR (im Zip-Dateiformat) per E-Mail an den Cisco Support-Mitarbeiter oder an
Schritt 4
ciscosb-certadmin@cisco.com. Das Zertifikat wird von Cisco signiert. Cisco sendet Ihnen das Zertifikat
zu, damit Sie es auf Ihrem System installieren.

Clientzertifikat

Angreifer können nicht nur einen direkten Angriff auf das Cisco IP-Telefon ausüben, sondern auch
versuchen, einen Bereitstellungsserver über einen Standard-Webbrowser oder einen anderen
HTTPS-Client zu kontaktieren, um das Konfigurationsprofil vom Bereitstellungsserver abzurufen.
Um diese Art von Angriffen zu verhindern, verfügt jedes Cisco IP-Telefon auch über ein eindeutiges,
von Cisco signiertes Clientzertifikat, das Informationen zum Identifizieren der einzelnen Endpunkte
enthält. Jeder Serviceanbieter erhält ein Certificate Authority (CA)-Stammzertifikat, mit dem das
Clientzertifikat des Geräts authentifiziert werden kann. Dieser Authentifizierungspfad ermöglicht
es dem Bereitstellungsserver, unbefugte Konfigurationsprofilanforderungen abzulehnen.

Zertifikatstruktur

Durch diese Kombination von Serverzertifikat und Clientzertifikat wird eine sichere Kommunikation
zwischen dem Bereitstellungsserver und einem Remote-Cisco IP-Telefon gewährleistet.
zeigt die Beziehung und Position der Zertifikate, der Paare aus öffentlichen und privaten Schlüsseln und
der signierenden Stammzertifizierungsstellen zwischen Cisco Client, Bereitstellungsserver und
Zertifizierungsstelle.
Die obere Hälfte des Diagramms zeigt die Bereitstellungsserver-Stammzertifizierungsstelle, die zum
Signieren der einzelnen Bereitstellungsserverzertifikate verwendet wird. Da das entsprechende
Stammzertifikat in die Firmware eingebunden wird, kann das Cisco IP-Telefon die autorisierten
Bereitstellungsserver authentifizieren.
Multiplattform-Telefone der Cisco IP Phone 7800-Serie und 8800-Serie – Bereitstellungshandbuch
4-12
Betrefffeld: Geben Sie den allgemeinen Namen (CN) in Form eines vollqualifizierten
Domänennamens (FQDN, Fully Qualified Domain Name) ein. Während des
SSL-Authentifizierungshandshake prüft das Cisco IP-Telefon, ob das Zertifikat, das es erhält, von
dem Computer stammt, der es übermittelt hat.
Serverhost-Name: Beispiel: provserv.domain.com.
E-Mail-Adresse: Geben Sie eine E-Mail-Adresse ein, damit der Kundensupport Sie bei Bedarf
kontaktieren kann. Diese E-Mail-Adresse ist in der CSR sichtbar.
Kapitel 4 Bereitstellungsbeispiele
Abbildung 4-1