Caller ID не решил всех проблем отрасли, связанных со спамом. Роботизированные системы могут совершать вызовы с любым номером в поле «от кого» (практика, известная как подмена Caller ID). STIR/SHAKEN — это ответ отрасли на этот пробел.

Что такое подмена Caller ID?

Подмена Caller ID — это практика преднамеренной фальсификации информации об идентификаторе вызывающего абонента, передаваемой вместе с телефонным вызовом, чтобы отображаемый номер не принадлежал реальному звонящему.

Любой, кто инициирует вызов через SIP, обычно может установить в этом поле любой номер, какой захочет. Именно это позволяет роботу отображаться на телефоне как банк, государственное учреждение или даже сосед с похожим кодом города и префиксом (иногда это называют «соседской подменой»).

Сама по себе подмена не всегда является вредоносной. Существуют законные варианты использования, например, когда компания отображает центральную линию поддержки вместо номера отдельного сотрудника. Но это также механизм, стоящий за большинством мошеннических и роботизированных вызовов, поэтому регуляторы и операторы связи создали STIR/SHAKEN специально для решения этой проблемы: не делая подмену технически невозможной, а предоставляя принимающему оператору способ узнать, был ли номер проверен сетью, инициировавшей вызов.

Что такое STIR/SHAKEN?

STIR/SHAKEN — это система аутентификации вызовов, которая позволяет принимающему оператору проверить, был ли Caller ID входящего вызова действительно подтвержден оператором, который его инициировал.

STIR (Secure Telephone Identity Revisited) и SHAKEN (Signature-based Handling of Asserted information using toKENs) работают вместе, чтобы прикрепить криптографически подписанный токен, называемый PASSporT, к вызову в момент его выхода из сети инициирующего оператора.

Токен передается в заголовках SIP Identity. Принимающий оператор проверяет его и решает, насколько доверять отображаемому Caller ID, что, в свою очередь, влияет на то, пройдет ли вызов как обычный, поступит с пометкой «Возможный спам» или «Возможное мошенничество», или будет заблокирован полностью.

Уровни аттестации STIR/SHAKEN

Токен несет один из трех уровней аттестации:

Уровень A (полная аттестация). Инициирующий оператор аутентифицировал вызывающего абонента и подтвердил, что он уполномочен использовать этот номер.

Уровень B (частичная аттестация). Оператор аутентифицировал вызывающего абонента, но не смог подтвердить, что номер принадлежит ему.

Уровень C (шлюзовая аттестация). Вызов поступил в сеть оператора из внешнего источника без какой-либо подтвержденной идентификации.

Аттестация существует только там, где оператор инициирует вызов. Платформа, перепродающая чей-то SIP-транк, просит этого провайдера транка поручиться за свой трафик. Платформа, владеющая путем инициации, может подписывать свои собственные вызовы.

Соответствие SignalWire требованиям и аттестация STIR/SHAKEN по умолчанию

SignalWire соответствует требованиям STIR/SHAKEN. По умолчанию каждый исходящий вызов, совершенный с телефонного номера, приобретенного на платформе SignalWire, получает аттестацию уровня C.

Аттестация уровней A и B доступна, но требует процесса проверки. Клиент, которому нужен более высокий уровень аттестации, например, колл-центр, который хочет, чтобы его исходящие номера аутентифицировались как полностью проверенные, должен открыть тикет в службу поддержки, чтобы начать этот процесс.

Как добиться полной аттестации STIR/SHAKEN

Запросите проверку, чтобы перейти с уровня C по умолчанию. Это процесс, управляемый поддержкой, а не переключатель в панели самообслуживания, поскольку он зависит от знания провайдером клиента, варианта использования и конкретных задействованных номеров.

Подтверждение владения Caller ID

Прежде чем телефонный номер можно будет использовать в качестве исходящего Caller ID на SIP-эндпоинте, клиент доказывает право собственности на него с помощью процедуры «позвоните мне и введите код» (или эквивалентного ресурса REST API verified_callers). Это отдельный контроль от уровня аттестации, но он решает ту же фундаментальную проблему: убедиться, что номер, отображаемый при вызове, действительно контролируется стороной, совершающей вызов.

Ни один из этих методов контроля не заменяет другой. Аттестация — это то, что сеть сообщает принимающему оператору о доверии к Caller ID. Проверенные Caller ID — это то, что SignalWire требует от своих собственных клиентов, прежде чем позволить им заявить номер как свой.

Также стоит помнить, что аттестация — это сигнал сетевого уровня, а не доказательство личности внутри приложения. Не считайте Caller ID достаточным для чего-либо конфиденциального. Обработчик функций, который авторизует изменение учетной записи только на основе входящего Caller ID, доверяет значению, которое находится выше любой проверки аттестации. Рекомендуемый шаблон — использование второго фактора, например, проверочного кода, перед выполнением любых значимых действий.

Реализация с открытым исходным кодом: libstirshaken

SignalWire не просто внедрила STIR/SHAKEN, чтобы выполнить требования FCC. Она спонсировала libstirshaken, реализацию фреймворка с открытым исходным кодом, созданную в рамках проекта FreeSWITCH, одну из первых реализаций STIR/SHAKEN с открытым кодом.

Цель состояла в том, чтобы передать проверку вызывающего абонента непосредственно в руки разработчиков, а не оставлять ее заблокированной внутри проприетарных стеков операторов, что сделало создание сертификатов безопасности, от которых зависит STIR/SHAKEN, дешевле и проще.