Webex stellt SIP-Zertifikate um: Administratoren müssen Vertrauensspeicher prüfen

Cisco hat am 12. November neue Zertifikatsketten für Webex-SIP-Verbindungen angekündigt. Administratoren müssen den Vertrauensspeicher ihrer Infrastruktur prüfen: Ohne passende Stammzertifikate können Audioeinwahl, Videobeitritt oder Hybrid Calling ausfallen. Einen konkreten Umschalttermin nennt Cisco bislang nicht.

Betroffen sind Edge Audio, Videogeräte mit Meeting-Zugang über Expressway oder unterstützte Session Border Controller einschließlich CMR sowie Hybrid Calling für Webex-Geräte. Direkt cloudregistrierte Videogeräte benötigen für direkte Meeting-Beitritte keine Anpassung.

Zwei Stammzertifikate prüfen

Der für Webex-SIP verwendete Vertrauensspeicher muss IdenTrust Public Sector Root CA 1 und DigiCert Assured ID Root G2 enthalten. Fehlende Einträge sind nach der Anleitung für Gerät und Softwareversion zu ergänzen und anschließend auf dem Gerät zu kontrollieren. IdenTrust Commercial Root CA 1 und andere weiterhin benötigte Zertifikate bleiben erhalten.

Entscheidend ist der tatsächlich von der Verbindung verwendete Speicher. Ein Zertifikatsimport auf dem Administrations-PC allein bestätigt dessen Zustand nicht. Cisco empfiehlt in seinen Hinweisen zur Umstellung, den Speicherort zu ermitteln, Zertifikate aufzulisten und das Vertrauen anschließend auf beiden Verbindungsseiten zu testen.

Warum sich die Zertifikatsketten ändern

Die erweiterten Schlüsselverwendungen, kurz EKU, legen den Einsatzzweck eines Zertifikats fest. Bei gegenseitiger TLS-Authentifizierung weisen beide Seiten ihre Identität nach. Das Chrome Root Program schränkt künftig neu ausgestellte öffentliche TLS-Zertifikate auf Serverauthentifizierung ein. Für Verbindungen, die zusätzlich Clientauthentifizierung brauchen, werden daher andere Vertrauensketten nötig; Zertifikate einer privaten PKI sind von dieser Änderung nicht betroffen.

Herstellerhinweise: Webex-Mitteilung vom 12. November mit betroffenen Anbindungen und Zertifikatsanforderungen.