Cisco WebEx 解决方案安全性概述
白皮书
释放实时协作的力量 Cisco WebEx 解决方案 安全性概述
网迅（中国）软件有限公司
中国上海市徐汇区天钥桥路 333 号腾飞大厦 29 层 邮编：200030
电话：800.819.3239 传真：+86.(0)21.6121.3690www.webex.com.cn2
Cisco WebEx 解决方案安全性概述白皮书
目录
简介
3WebEx Collaboration Cloud 基础结构 4安全的 Cisco WebEx 会议体验 5 会议站点配置 5 会议安排的安全选项 7 开始和加入 WebEx 会议 8 加密技术 9 传输层安全性 10 防火墙兼容性 10 会议后数据存储 10 单点登录
10
第三方鉴定：经由独立审计验证 Cisco WebEx 的安全性
12
3
Cisco WebEx 解决方案安全性概述白皮书
简介
通过实时协作来连接全球员工和虚拟团队的做法在寻求竞争优势的组织中蔚然成风。全球已有很多并且越来越多的商业和政府机构依赖 Cisco WebEx 的软件服务化（SaaS)解决方案来简化销售、营销、培训、项目管理和支持的业务流程。Cisco 将安全性视为设计、部署和维护 WebEx 网络、平台和应用程序的头等大事。所以，您可以立即放心地您将 WebEx 的解决方案融入到现有的业务流程中，甚至是在那些对安全性有着最苛刻要求的环境中。
了解 WebEx 应用程序的安全功能和底层通信基础结构（Cisco WebEx Collaboration Cloud）对于您做出购买决定意义重大。了解以下各项的详细安全信息：
• WebEx Collaboration Cloud 基础结构• 安全的 WebEx 会议体验» 会议站点配置» 会议安排的安全选项» 开始和加入 WebEx 会议» 加密技术» 传输层安全性» 防火墙兼容性» 会议后数据存储» 单点登录
• 第三方鉴定：经由独立审计验证 Cisco WebEx 的安全性
“Cisco WebEx 会议”和“Cisco WebEx 会议会话”这两个术语是指在所有 Cisco WebEx 产品中使用的集成音频会议、VoIP，以及单点和多点视频会议。Cisco WebEx 的产品包括：• Cisco WebEx Meeting Center• Cisco WebEx Training Center• Cisco WebEx Event Center
• Cisco WebEx Support Center（包括 Cisco WebEx Remote Support 和 Cisco WebEx Remote Access）
除非特别指出，此文档中描述的安全功能同等适用于上述提到的所有 WebEx 应用程序和服务。
Cisco WebEx 解决方案安全性概述白皮书
Cisco WebEx 会议角色
4
WebEx 会议中 4 个关键的角色是主持人、候补主持人、发言人和与会者。主持人
主持人安排并开始 WebEx 会议。主持人控制会议体验，并且作为初始发言人，还可以将发言人特权授予与会者。主持人可以启动音频会议部分，还可以锁定会议和驱逐与会者。候补主持人
由主持人指定候补主持人。候补主持人可以代替主持人开始一个已安排的 WebEx 会议。候补主持人拥有和主持人一样的特权，在主持人不在时可以控制整个会议。发言人
发言人可共享演示、特定应用程序或整个桌面。发言人可控制注释工具，并可授予和撤销单个与会者对共享的应用程序和桌面的远程控制权。与会者
与会者的权限最小，通常只是查看会话内容。
WebEx Collaboration Cloud 基础结构
WebEx Collaboration Cloud 是专为实时网络通信构建的通信基础结构。其数据中心被战略性地布置在互联网各大主要接入点附近，流量通过专用的高带宽光纤路由全球传输。
Cisco WebEx Collaboration Clould
交换体系结构
WebEx 部署了独特的全球分布式高速会议交换机专用网络。由发言人计算机传送至与会者计算机的会话数据通过 WebEx Collaboration Cloud 进行交换，不会永久保存。WebEx Collaboration Cloud 实现了一个具有独特安全性、极高扩展性及高可用性的会议基础结构，且不受自建服务器解决方案的物理限制。
5
Cisco WebEx 解决方案安全性概述白皮书
数据中心
WebEx 会议会话使用部署在全球各个数据中心的交换设备。Cisco WebEx 拥有并运作在 WebEx Collaboration Cloud 中使用的所有基础结构。目前这个网络包含了加利福尼亚州（加州圣何塞和山景城）、科罗拉多州、弗吉尼亚州、英国、澳大利亚，日本和印度的数据中心。Cisco WebEx 人员 24ⅹ7 全天候工作，为用户提供所需的后勤安全、运作和变更管理方面的支持。
数据中心的安全人员
Cisco WebEx 建立了专属的安全部门，由 Cisco WebEx Technology Group 的 CIO 和 Cisco 的 CSO 直接领导。这个团队为 WebEx 的产品、服务以及业务运营推荐并实施安全步骤。团队成员已通过的认证有：GIAC 认证鉴识分析师、CISSP、GIAC 认证入侵分析师、ISSMP 和 CISM。WebEx Technology Group 不断从领先的服务商和行业专家处接受有关企业安全性的全面培训，以保持其在安全创新方面的领先地位并达到安全认证的标准。
安全的 Cisco WebEx 会议体验
会议站点配置
“WebEx 站点管理”模块为定制的 WebEx 站点管理并执行安全策略。该级别上的设定项决定了主持人和发言人在安排会议方面的特权。例如，您可以通过自定义会话配置针对每个站点或用户禁用发言人共享应用程序或传输文件的功能，从而符合业务目标和安全要求。“WebEx 站点管理”模块管理以下安全功能：账户管理
• 当登录失败的次数达到设定值后锁定账户。• 在指定的时间间隔后自动解锁先前锁定的账户。• 当账户无活动的时间达到指定的长度之后自动停用账户。特定的用户账户管理操作
• 要求用户在下一次登录时更改密码。• 锁定和解锁账户。• 激活和停用账户。
Cisco WebEx 解决方案安全性概述白皮书
创建账户
• 新建账户要求邮件确认。• 新建账户请求需要安全文本。• 允许自行注册（申请）新账户。• 配置自行注册新账户的规则。账户密码
• 执行严格的账户密码标准。6
• 配置临时密码的有效天数。
• 要求主持人以固定的时间间隔（可配置）更改账户密码。• 要求所有主持人在下一次登录时更改账户密码。严格的账户密码标准• 最短长度。• 字母大小写混合。• 最少数字个数。• 最少字母个数。• 最少特殊字符数。
• 不允许某个字符重复 3 次或以上。• 不允许重新使用最近几次用过的密码。
• 不允许使用动态文字（站点名称、主持人姓名、用户名）。• 不允许使用定制的列表中的密码（如：password）。• 更改密码的最短时间间隔。严格的会议密码标准• 要求每个会议都设密码。• 最短长度。• 字母大小写混合。• 最少数字个数。• 最少字母个数。• 最少特殊字符数。
• 不允许某个字符重复 3 次或以上。
• 不允许使用动态文字（站点名称、主持人姓名、用户名）。• 不允许使用列表（可定制）中的密码（如：password）。
7
Cisco WebEx 解决方案安全性概述白皮书
个人会议室（可通过个性化的链接地址和密码访问）可以帮助主持人罗列出已安排的会议和正在进行的会议、开始和加入会议，以及和与会者共享文件。可以使用“站点管理”为个人会议室设置安全功能。• 更改个人会议室链接地址。• 配置个人会议室中文件的共享选项。• 配置个人会议室中文件的密码要求
其他可通过“WebEx 站点管理”启用的安全功能：
• 允许任何主持人或与会者存储其姓名和邮件地址，以便加入后续会议。• 允许主持人将录制文件重新分配给其他主持人。
• 受限的网站访问 - 站点管理员可以要求对所有来访的主持人和与会者进行身份验证。要获得站点上的会议访问权必须通过身份验证，甚至访问任何站点信息（如公开的会议）也必须通过身份验证。• 要求对 Cisco WebEx Remote Access 使用严格的密码• 要求不公开所有的会议。
您可以向您的 WebEx Customer Success 代表咨询其他的配置。• 要求批准“忘记密码？”请求。
• 要求站点管理员重设账户密码，而不是代表用户重新输入密码。• 使用单向散列的方式来存储密码。
会议安排的安全选项
给予每个主持人指定会议访问安全性的能力，设定范围由站点管理级别上配置的参数决定（无法改写）。
• 将会议安排为不公开，这样它不会显示在可见的日历上。• 允许与会者在主持人加入之前加入会议。• 允许与会者在主持人加入之前加入音频。• 在会议中显示电话会议的信息。
• 如果只有一个与会者，在指定时间后自动结束会议。• 在会议邮件中包括主持人密钥。• 要求与会者加入会议时输入邮件地址。
Cisco WebEx 解决方案安全性概述白皮书
公开或不公开会议
8
主持人可以选择在定制的 WebEx 站点的公开会议日历上列出会议。他们也可以将该会议安排为不公开会议，这样该会议就不会出现在会议日历上。如果是不公开会议，主持人就必须告知与会者该会议的存在。。可采取以下方式：通过邮件邀请来发送链接；要求与会者在“加入会议”页上输入提供的会议号。内部或外部会议
主持人可以将与会者限制为在定制的 WebEx 站点上拥有账户的用户，此条件可通过用户是否可以在站点上登录并加入会议来验证。会议密码
主持人可以设定会议密码，并可选择是否将密码包含在会议邀请邮件中。注册
• 通过注册功能来限制会议访问。主持人生成一个“访问控制列表”，该列表只允许那些已经注册并明确被主持人批准的受邀者加入会议。• 通过选择不发送会议邀请邮件，更好地控制对会议访问信息的分发。• 在 WBS27 版本的 WebEx Training Center 和 WebEx Event Center 中可通过阻止重复使用注册标识来保障会议安全。任何试图重复使用已使用的注册标识的与会者将被阻止加入会议。
此外，主持人可以通过限制访问和驱逐参加者来维护会议安全。通过任意组合这些会议安排选项优化 WebEx 会议，为您的安全策略提供支持。
开始和加入 WebEx 会议
在主持人的用户标识和密码通过定制 WebEx 站点的验证后，WebEx 会议开始。主持人拥有会议的初始控制权，也是初始发言人。主持人可以对任何与会者授予或撤销主持人或发言人权限、驱逐选定的与会者或者在任何时间终止会话。
主持人可以指定一个候补主持人来开始和控制会议，以防自己不能出席会议或者失去与会议的连接。这样可避免将主持人角色分配给意想不到的或未经授权的与会者，从而使会议更加安全。
9
Cisco WebEx 解决方案安全性概述白皮书
您可以配置定制的 WebEx 站点，以允许与会者在主持人之前加入会议（包括音频会议），并将提前加入者可用的功能限制为聊天和音频。当与会者第一次加入 WebEx 会议时，WebEx 应用程序会自动下载一组完整的文件到与会者的计算机中。VeriSign 为这些下载文件颁发数字签名的安全证书，从而使与会者知道这些文件来自 WebEx。在以后的会议中，WebEx 应用程序只下载包含更改或更新的文件。与会者可以使用其计算机操作系统提供的卸载功能轻松移除所有 WebEx 文件。
WebEx Collaboration Cloud 保护每一个会议会话以及在其中共享的动态数据。
加密技术
Cisco WebEx 会议是为安全地向 Cisco WebEx 会议会话中的每一个与会者传送实时多媒体内容而设计的。当发言人共享文件或演示时，将使用 Cisco 专有的技术 UCF（Universal Communications Format）进行编码并优化共享的数据。
Cisco WebEx 会议提供以下加密机制：
1) 使用 128 位安全套接字层版本 3（SSLv3）将数据从客户端传输到 WebEx Collaboration Cloud。2) 文档和演示在传输前使用 256 位高级加密标准（AES）进行端到端加密。3) 端到端（E2E）加密是 WBS26 和更高版本的 WebEx Meeting Center 中
提供的一个选项。此方式使用 AES 加密标准在主持人的计算机中随机生成一个 256 位密钥，并利用基于公钥的机制将该密钥分发给与会者，从而对会议参加者之间传输的所有会议内容实现端到端机密。4) 基于公钥基础结构（PKI）的端到端加密是 WBS27 和更高版本的 WebEx
Meeting Center 中提供的一个选项，它采用 256 位 AES 加密标准。这个机制要求与会者拥有X.509 证书来开始或加入会议。
站点管理员和主持人可以使用“会议类型”选项来选择 E2E 或 PKI。E2E 和 PKI 解决方案比单独使用 AES 提供更强的安全性（虽然 E2E 和 PKI 也使用 AES 进行有效负载加密），因为密钥只有会议主持人和与会者知道。
Cisco WebEx 解决方案安全性概述白皮书
每个 Cisco WebEx 会议连接必须通过正确的身份验证，之后才能与 WebEx Collaboration Cloud 建立连接并加入 Cisco WebEx 会议。客户端身份验证过程使用唯一的每客户、每会话 cookie 来确认每个尝试加入 Cisco WebEx 会议的与会者的身份。每个 Cisco WebEx 会议包含一组唯一的由 WebEx Collaboration Cloud 生成的会话参数。每个进行身份验证的与会者必须同时拥有会话参数和唯一会话 cookie 的访问权才能成功地加入 Cisco WebEx 会议。
传输层安全性
除了应用层防护之外，所有的会议数据均使用 128 位 SSLv3 进行传输。SSL 使用防火墙 443 端口（HTTPS 流量）而不是防火墙 80 端口（标准HTTP Internet 流量）来穿越防火墙，从而在不影响 WebEx 流量的前提下限制 80 端口的访问。
WebEx 会议的与会者使用位于应用层/表示层/会话层的逻辑连接与 WebEx Collaboration Cloud 建立连接。在与会者的计算机之间没有对等连接。
防火墙兼容性
WebEx 会议应用程序与 WebEx Collaboration Cloud 使用HTTPS（443 端口）进行通信，以建立一个可靠、安全的连接，所以您的计算机无需为启用 Cisco WebEx 会议进行特别的配置。
会议后数据存储
会议结束后，会话信息不会保留在 WebEx Collaboration Cloud 或与会者的计算机上。Cisco 只保留两种类型的会议信息：
• 事件详细记录（EDR）：Cisco 使用 EDR 来计费和生成报告。您可以通过使用主持人标识登录定制的 WebEx 站点来复查事件的详细信息。一旦通过身份验证，您还可以从 WebEx 站点下载这些数据或者通过 WebEx API 访问数据。
• 基于网络的录制文件（NBR）：如果主持人选择录制 WebEx 会议会话，那么录制文件将被存储在 WebEx Collaboration Cloud 中，您可以从定制的站点上的“我的录制文件”区域访问这些录制文件。
单点登录
Cisco 支持使用 SAML 1.1、SAML 2.0 和 WS-Fed1.0 协议进行联合身份验证，从而实现用户的单点登录。使用联合验证需要您将一个公钥 X.509 证书上传至您的定制站点。然后生成包含用户属性的 SAML 声明，并用匹配的私钥对 SAML 声明进行数字签名。WebEx 通过比对预载的公钥证书验证 SAML 声明，然后对用户进行身份验证。
10
Cisco WebEx 解决方案安全性概述白皮书
第三方鉴定：经由独立审计验证Cisco WebEx的安全性
除了严格的内部规程之外，WebEx 安全办公室还邀请多家独立的第三方来对其内部策略、流程和应用程序进行严格审计。这些审计都是为验证商业和政府应用程序的关键任务安全需求而设计的。
审计方包括：对穷尽式网络路由和应用程序进行审计的Information Security Partners，LLC（iSEC Partners）和对 SAS-70 Type II 认证（包括对 ISO 17799 实施的控制）进行审计的 PriceWaterhouseCoopers。
iSEC 网络路由
iSEC Partners 完成了一系列测试来确认 WebEx 会议的与会者与 WebEx Collaboration Cloud 之间的路由。这些测试包括对 WebEx 生产服务器的跟踪，以及对路由器、防火墙和负载平衡器等多种网络设备配置的路由确认跟踪。测试结果表明，位于美国的 WebEx 站点的通信内容不会传送到美国之外。如需获取更多信息，可向 WebEx 安全办公室索取这份报告的副本。
iSEC 源代码审查
iSEC Partners 持续进行深入的代码渗透测试和服务评估。在这些过程中，iSEC Partners 可接触到 WebEx 服务器、源代码和工程技术人员。与黑盒测试不同，这种高度的接触使得 iSEC Partners 能够：• 找出关键的应用程序和/或服务漏洞并提出解决方案。• 为体系结构方面的改进指出大体的区域。• 找出编码错误，并对编码方式的改进提供指导。
• 直接与 WebEx 工程技术人员合作，说明发现的问题，对修正工作提供指导。
如需获取更多信息，可向 WebEx 安全办公室索取这份报告的副本。
SAS-70 Type II
PriceWaterhouseCoopers LLP 根据 AICPA 建立的标准每年进行一次 SAS-70 Type II 审计。对 WebEx 内控机制的审计是基于 ISO-17799 标准。这项广受推崇并得到公认的审计证明 WebEx 服务在处理客户数据方面所实施的控制目标和控制活动（通常包括对信息技术和安全相关流程的控制）已经过深入的审核。如需获取其它有关 SAS-70 标准的信息，请访问 www.sas70.com/index2.htm。如需获取更多信息，您可以通过您的 Cisco 客户代表向 WebEx 安全办公室索取 PriceWaterhouseCoopers LLP SAS-70 报告。
11
Cisco WebEx 解决方案系统安全性概述白皮书
ISO-17799
全球销售处：
美国和加拿大
电话：+1.877.509.3239
AmericasInfo@webex.com欧洲、中东和非洲
电话：+31 (0)20 4108 700 europe@webex.com英国
电话：0800 389 9772 europe@webex.com
ISO-17799 是一项国际公认的信息安全标准，由国际标准化组织（ISO）发布，它提供有关信息安全管理最佳做法的建议。它还定义了公司安全策略、数据管理和访问控制等方面的要求。PriceWaterhouseCoopers LLP 将WebEx 安全策略和做法与 ISO-17799 Information Technology - Security Techniques 第二版中所描述的控制目标进行了比较，审计的结果令人肯定。就 PriceWaterhouseCoopers 看来，WebEx 做到了此项标准所定义的控制措施。如需获取更多有关 ISO-17799 标准的信息，请参阅：
www.iso.org/iso/support/faqs/faqs_widely_used_standards/widely_used_standards_other/information_security.htm
结论
即使是在最苛刻的安全环境下，您的组织仍然可以依赖 WebEx 开展协作并精简业务流程。WebEx 的软件服务化协作解决方案经验证具有易用、可靠、安全的优点，当属不二之选。
© 2009. WebEx Communications, Inc. 保留所有权利。Cisco、WebEx 和 Cisco WebEx 是 Cisco Systems, Inc. 和／或其所属机构在美国和其他国家或地区的注册商标或商标。其它品牌和产品是其各自持有者的商标或注册商标。澳大利亚
中国（香港）
电话：1800 493 239
电话：+852 8100 9802 AsiaPacInfo@webex.comhongkonginfo@webex.com新西兰
印度
电话：0508 555 607
电话：+91-080-22286377, AsiaPacInfo@webex.com 17030 9800
indiasales@webex.com中国
电话：+86 800 819 3239 日本
chinainfo@webex.com
电话：+81-3-6434-6044 JapanInfo@webex.com
WP120 0908 GB
因篇幅问题不能全部显示，请点此查看更多更全内容