ПЕРЕМЕШИВАТЬ/ВСТРЯХИВАТЬ
 | Эту статью необходимо обновить . Причина: всего несколько коротких обновлений после 2019 года. Требуется законченное описание SHAKEN и информация о глобальном выпуске. ( сентябрь 2023 г. ) |
STIR/SHAKEN или SHAKEN/STIR — набор протоколов и процедур, предназначенных для борьбы с подделкой идентификатора вызывающего абонента в телефонных сетях общего пользования . Подмена идентификатора вызывающего абонента используется вызывающими роботами, чтобы замаскировать свою личность или создать впечатление, что звонок поступил из законного источника, часто с ближайшего номера телефона с тем же кодом города и обменом , или от известных агентств, таких как Служба внутренних доходов или Онтарио. Провинциальная полиция . Этот вид подделки распространен для вызовов, исходящих из систем передачи голоса по IP (VoIP), которые могут находиться в любой точке мира.
STIR , сокращение от Secure Telephone Identity Revisited как серия документов по стандартам RFC , было определено рабочей группой Инженерной рабочей группы по Интернету . Он работает путем добавления цифрового сертификата к информации протокола инициации сеанса, используемой для инициации и маршрутизации вызовов в системах VoIP. Первое общедоступное соединение в системе, обычно поставщик услуг VoIP, проверяет идентификатор вызывающего абонента и сравнивает его с известным списком идентификаторов, которые он предоставляет этому клиенту. Затем поставщик прикрепляет к заголовку SIP зашифрованный сертификат с идентификатором поставщика услуг и значением доверия. провайдера Программное обеспечение VoIP на принимающей стороне может проверить подлинность сообщения, расшифровав STIR с помощью открытого ключа .
Для систем, не поддерживающих VoIP, таких как сотовые и стационарные телефоны , информация о маршрутизации вызовов передается по SS7 . В этих случаях заголовок SIP бесполезен, поскольку его нельзя отправить пользователям, если они не используют соединение VoIP. В этом и заключается цель системы SHAKEN , сокращенно от « Обработка подтвержденной информации на основе подписей с использованием toKEN» . SHAKEN — это набор инструкций для телефонных сетей общего пользования , в которых указано, как обрабатывать вызовы с неверной или отсутствующей информацией STIR. Это может быть в виде дополнительной информации в информации CNAM об идентификаторе вызывающего абонента , указывающей, что номер был подделан, но детали еще не уточнены.
По состоянию на 2019 год [update]STIR/SHAKEN — это крупная работа, продолжающаяся в настоящее время в Соединенных Штатах, которые страдают от «эпидемии» звонков от роботов. [ 1 ] Федеральная комиссия по связи требует использовать протоколы до 30 июня 2021 года. [ 2 ] Канадская комиссия по радио, телевидению и телекоммуникациям требует использования протоколов до 30 ноября 2021 года. [ 3 ]
Название было вдохновлено Яна Флеминга персонажем Джеймсом Бондом , который, как известно, предпочитает мартини « взбалтывать, а не перемешивать ». Поскольку STIR уже существовал, создатели SHAKEN «пытали английский язык, пока [они] не придумали аббревиатуру». [ 4 ]
Фон
[ редактировать ]Идентификатор вызывающего абонента
[ редактировать ]Идея отправки номера телефона клиенту для целей идентификации возникла в 1968 году, когда Тед Параскевакос представил идею модемоподобных устройств, которые могли бы отправлять и получать информацию по обычным голосовым линиям. Он отправил небольшой пакет информации с использованием модуляции Bell 202 со скоростью 1200 бит/с в промежутке между первым и вторым звонками. Концепция разрабатывалась в 1970-х годах, первое публичное испытание она провела с Bell Atlantic в 1984 году, а последующие — в 1987 году. [ 5 ]
К середине 1990-х годов эта система получила широкое распространение в США и Канаде, а к концу десятилетия распространилась на большинство других стран. Вскоре она стала незаменимой системой, позволяющей клиентам отслеживать звонки телемаркетеров . Маркетологи часто указывали альтернативные номера в идентификаторе вызывающего абонента, поэтому ответные звонки направлялись в центр входящих вызовов, а не в фирму телемаркетинга, откуда поступил звонок. Недобросовестные пользователи начали использовать эту концепцию, которая стала известна как «спуфинг», чтобы скрыть истинное происхождение вызова и предотвратить обратные вызовы. [ 5 ] Это стало настолько распространенным явлением, что Федеральная торговая комиссия (FTC) получила полномочия подавать в суд на компании, предоставлявшие ложную информацию об идентификаторе вызывающего абонента. [ 6 ]
VoIP и SIP
[ редактировать ]Внедрение систем передачи голоса по IP (VoIP) позволило пользователям звонить другим пользователям напрямую через Интернет, даже не используя телефонную сеть общего пользования. Первоначально эти системы были проприетарными, но со временем ряд предложений создал протокол инициации сеанса (SIP), протокол обмена сообщениями, который содержал информацию, необходимую для установки VoIP-вызова между двумя конечными точками. SIP заимствован из существующих протоколов, включая использование простых заголовков, таких как «От:», в формате, аналогичном системе электронной почты SMTP . Запросы SIP отправляются на прокси-серверы , которые предоставляют конечным пользователям информацию о доступе к вызывающему абоненту, которая затем используется для обеспечения прямого соединения между двумя конечными точками. [ 7 ]
Поскольку стоимость интернет-линии с достаточной пропускной способностью для размещения заданного количества одновременных вызовов намного ниже, чем стоимость аренды такого количества телефонных линий, переход на VoIP также принес компаниям значительную экономическую выгоду. С конца 1990-х годов появился ряд новых систем, подобных PBX , которые используют SIP и VoIP для маршрутизации вызовов везде, где это возможно, с выходом в систему коммутируемой телефонной сети общего пользования (PSTN) только тогда, когда требуется позвонить пользователю, не использующему VoIP. Компания, имеющая несколько таких систем в отдельных офисах, может перенаправить вызов на ближайшую к набираемому номеру, тем самым снижая или устраняя плату за междугородную связь . [ 7 ]
По мере того, как эти системы становились популярными, появились новые провайдеры телефонии, которые предлагали централизованную маршрутизацию SIP, позволяя как компаниям, так и конечным пользователям использовать системы VoIP для вызова службы, а затем обратного маршрута в PSTN. Многие из них также позволяли входящие звонки с обычного телефонного оборудования, предоставляя местные или бесплатные номера для входящих звонков. Это позволило пользователям совершать звонки в и из любого места с локальным доступом со значительно меньшими затратами, избегая собственной междугородной связи телефонной компании. [ 7 ]
Сегодня вызов может проходить большую часть своего «расстояния» как вызов VoIP, инициированный SIP, выходя в сеть SS7 PSTN только на заключительных этапах, если вообще когда-либо. Когда такого рода вызовы стали обычным явлением, даже крупнейшие поставщики услуг, такие как AT&T , начали предлагать своим клиентам SIP/VoIP. В этом случае информация об идентификаторе вызывающего абонента берется из заголовков SIP, а не от провайдера, и эта информация часто может редактироваться конечным пользователем. [ 7 ]
Подмена идентификатора
[ редактировать ]Открытие телефонной сети для систем VoIP привело к резкому снижению стоимости поддержки нескольких одновременных телефонных звонков. Это было таким же благом для звонящих роботов, как и для законных пользователей. [ 8 ] Купив стандартные персональные компьютеры и запустив подходящее программное обеспечение, робот-звонок может совершать сотни одновременных звонков по цене одного подключения к Интернету. [ 9 ]
На заре таких роботизированных звонков звонивший часто пытался скрыть свою личность, вводя ложную информацию об идентификаторе вызывающего абонента в программное обеспечение VoIP. Это имело дополнительное преимущество для вызывающего робота, поскольку вызываемый пользователь не мог перезвонить, чтобы пожаловаться или даже сообщить о звонке своему провайдеру или правительственному учреждению, например Федеральной торговой комиссии. Пользователи быстро научились перестать отвечать на звонки с заведомо поддельных идентификаторов. [ 9 ]
В ответ звонящие роботы стали использовать менее явно неверные идентификаторы, но у них было меньше шансов быть перехваченными — именно возможность игнорировать звонок от неизвестного пользователя была именно той причиной, по которой многие вообще использовали идентификатор вызывающего абонента. Робозвонщики снова изменили свою тактику, сначала используя телефонные номера, похожие на номера пользователей, чтобы они выглядели местными. [ 10 ] а затем с использованием хорошо известных номеров, часто государственных учреждений, в рамках мошенничества. [ 9 ] При использовании такой тактики звонки от роботов становятся все более серьезной проблемой: в 2019 году их число выросло еще на 18% по сравнению с аналогичным периодом прошлого года, а в период с января по октябрь было совершено 26 миллиардов звонков. [ 11 ] только в октябре 2019 года в США было совершено около 5,7 миллиардов звонков от роботов. [ 12 ] По оценкам, в 2020 году только в США будет совершено 46 миллиардов звонков от роботов. [ 13 ]
ПОМЕШИВАТЬ
[ редактировать ]Целью системы STIR является добавление информации в заголовки SIP, которая позволяет конечным точкам системы точно идентифицировать происхождение данных. Это не предотвращает напрямую возможность вызывающего робота подделать идентификатор вызывающего абонента, но позволяет восходящим точкам решить, доверять этому идентификатору или нет. [ 9 ]
Например, бизнес-система, использующая УАТС на базе VoIP, может подключаться к более широкой телефонной сети через поставщика услуг SIP . Когда эти провайдеры получают SIP-пакет, они добавляют в заголовок дополнительную информацию, указывающую, уверены ли они, что вызов исходит от известного клиента, и является ли предоставленный ими идентификатор вызывающего абонента известным их системе. В этом примере внутренний номер телефона может быть неизвестен провайдеру, но он может согласиться с тем, что все номера, начинающиеся с 555-555, действительно принадлежат этому клиенту, и что предоставленный идентификатор 555-555-1234, следовательно, действителен. . Аналогично, клиент может использовать отдельный бесплатный номер для обратных звонков и, таким образом, иметь законную причину использовать совершенно другой идентификационный номер вызывающего абонента, например 800-123-4567. [ 9 ]
Существует три уровня проверки или «аттестации». [ 8 ] возможно в протоколе STIR. Самый высокий уровень, «Полная аттестация», обозначенный в заголовке STIR буквой «А», указывает на то, что провайдер распознает весь номер телефона как зарегистрированный у исходного абонента. Это может быть в случае стационарного или мобильного телефона, когда клиент подключается напрямую к сети VoIP, и номер телефона может быть проверен как принадлежащий конкретному клиенту, или в случае компании, зарегистрировавшей определенный номер обратного вызова. «Частичная аттестация» или «B» означает, что вызов исходил от известного клиента, но весь номер не может быть проверен, как это происходит в случае вызова, исходящего из клиентской УАТС, добавочный номер которой не зарегистрирован у провайдера. . «Аттестация шлюза», «C», означает, что вызов может быть проверен только как исходящий от известного шлюза, например, соединения с другим поставщиком услуг. [ 9 ]
Системы STIR создают веб-токен JSON , содержащий, среди прочего, исходный номер телефона, предоставленный исходным SIP, вызываемый номер и уровень подтверждения, предоставленный провайдером. Затем эта информация шифруется с помощью закрытого ключа провайдера, кодируется с помощью Base64 и добавляется к исходному заголовку SIP в новом поле Identity. Новая информация теперь передается вместе с исходным запросом SIP, пока не достигнет пункта назначения — другой системы VoIP или провайдера, который направит вызов на внешний телефон. [ 9 ]
При приеме информация STIR декодируется с использованием открытого ключа провайдера. Если это не удается, информацию STIR можно считать недействительной. Если он правильно декодирует, он может извлечь информацию и проверить подтверждение, чтобы решить, следует ли разрешить продолжение вызова. Например, в случае конечной точки VoIP на смартфоне на дисплее может отображаться, что вызов имеет неизвестное происхождение («C») или что он полностью не прошел проверку. [ 9 ]
Любой участник вызова VoIP может добавить заголовок STIR, требующий подтверждения «А», даже к заведомо плохим вызовам. Это может начаться, например, в программном обеспечении робота-абонента. В этом случае у вышестоящих пользователей не будет ключей, необходимых для декодирования заголовка STIR, и аутентификация не удастся. Программное обеспечение также может закодировать заголовок, чтобы он выдавал себя за доверенный источник, но в этом случае известный открытый ключ доверенного источника не сможет декодировать заголовок, и аутентификация не удастся. [ 9 ]
Система STIR опирается на цепочку доверия . Чтобы это работало, системе требуются хорошо известные службы сертификации, чтобы программное обеспечение конечного пользователя знало, к кому обращаться для получения открытого ключа, и которым можно доверять в предоставлении достоверной информации, а не в предоставлении ключей заведомо злоумышленникам. Эта сеть будет основана на существующей системе центра сертификации , используемой сегодня. [ 9 ]
Роботизированный абонент может найти провайдера VoIP, готового подписывать его вызовы, даже если они заведомо плохие, точно так же, как существуют интернет-провайдеры , которые предоставляют услуги известным спам- фермам электронной почты. [ нужна ссылка ] Чтобы бороться с этим, заголовок STIR содержит как исходный номер телефона, когда он поступает к провайдеру, так и запрашиваемый идентификатор вызывающего абонента. Если они не совпадают, аутентификация STIR не удалась. Чтобы такой сертификат прошел, провайдер также должен быть готов подделать номер при приеме, например, скопировав любой идентификационный номер вызывающего абонента, предоставленный роботом. В этом случае STIR пройдет правильную проверку, и прекращение таких вызовов придется выполнять на более высоком уровне, путем отзыва ключа или аналогичного действия. [ 9 ]
Система STIR определена [ 14 ] в виде серии документов запроса комментариев от IETF:
- RFC 8224 – Управление аутентифицированными идентификационными данными в протоколе инициации сеанса (SIP)
- RFC 8225 – PASSporT: токен личного утверждения
- RFC 8226 – Безопасные идентификационные данные телефона: сертификаты
- RFC 8588 - Расширение персонального токена подтверждения (PaSSporT) для обработки подтвержденной информации на основе подписей с использованием токенов (SHAKEN)
ШЕЙКЕН
[ редактировать ]STIR основан на SIP и предназначен для работы с вызовами, маршрутизируемыми через сеть VoIP. Он не работает в «оригинальной» телефонной сети, которая для маршрутизации вызовов использует такие стандарты, как SS7. [ 6 ] Вызовы VoIP поступают в сеть на «границе» через различные шлюзы VoIP-телефонии, и они могут получать информацию STIR в этот момент или где-либо ранее во время участка VoIP вызова. Но внутри телефонной сети не существует стандарта для пересылки информации STIR конечному пользователю. [ 8 ]
Кроме того, STIR не определяет, как следует обрабатывать ошибки аутентификации в сети. В системе, где большинство вызовов не будет иметь информации STIR, по крайней мере, в период настройки системы, неудачные проверки STIR не могут просто заблокировать вызов. [ 8 ] Пользователю необходимо отправить какую-то информацию, но точный характер этой информации не является частью самого STIR.
Разработан совместно SIP Forum и ATIS (Альянсом решений для телекоммуникационной отрасли) для эффективной реализации стандарта STIR (для безопасной телефонной идентификации) SHAKEN (для обработки подтвержденной информации на основе подписей с использованием toKEN) Инженерной рабочей группы Интернета (IETF) определяет механизм проверки номера вызывающего абонента и определяет, как он будет передаваться по сетям связи. [ 15 ]
Вместе STIR/SHAKEN предлагает практический механизм предоставления проверенной информации о вызывающей стороне, а также об источнике вызова (так называемая «аттестация») — впервые в сети. Предоставление поставщикам услуг инструментов, необходимых для подписи и проверки номеров вызовов, позволяет предприятиям и потребителям знать, прежде чем ответить, что звонки, которые они получают, исходят от законных сторон.
В обычном случае, когда вызывающий робот звонит конечному пользователю на стационарный или мобильный телефон, это последний этап соединения, который не обрабатывает STIR напрямую. Например, если вызов исходит из системы VoIP и был помечен заголовком STIR, который успешно прошел аутентификацию, к идентификатору вызывающего абонента, предоставленному пользователю, может быть добавлено «(проверено)», тогда как в случае неудачи может быть написано «(подделано)». или «(без проверки)». [ 16 ]
По состоянию на 2019 год [update], точный характер сообщений, отправляемых конечным пользователям, все еще обсуждается. [ 8 ] Управление по управлению защищенной телефонной идентификацией (STI-GA) организует эти обсуждения, а также привлекает центры сертификации, которые будут обрабатывать большую часть протокола ключей. [ 17 ] Кроме того, администратор политики безопасной телефонной идентификации, или STI-PA, занимается фактическим выполнением политических решений, таких как отзыв ключей. 30 мая 2019 года GA объявила, что iconectiv получила роль PA. [ 8 ]
Выполнение
[ редактировать ]STIR/SHAKEN был разработан с целью расширения доступа к операторам связи за пределами США. [ 8 ]
9 декабря 2019 года комиссар FCC Аджит Пай и председатель CRTC Ян Скотт провели «первый официальный трансграничный звонок» с использованием этого протокола. [ 18 ] В тот же день CRTC объявил, что «ожидает», что все операторы телефонной связи примут STIR/SHAKEN не позднее 30 сентября 2020 года. [ 19 ] [ 20 ] Позже этот срок был продлен до 30 июня 2021 года по запросу Rogers Communications Canada Inc. [ 21 ] Дата внедрения снова была перенесена на 30 ноября 2021 года, поскольку CRTC объявил, что ни один TSP не будет освобожден от этого требования. [ 22 ]
Правоприменение
[ редактировать ]В январе 2018 года CRTC опубликовал Решение 2018-32 о соблюдении требований и обеспечении соблюдения требований и в сфере телекоммуникаций, в котором говорится, что CRTC ожидает, что канадские поставщики телекоммуникационных услуг внедрят STIR/SHAKEN к 31 марта 2019 года, учредят канадского администратора и опубликуют отчеты о ходе работы. [ 23 ]
В декабре 2019 года CRTC издал решение 2019-402, которым продлил срок до 30 сентября 2020 года. [ 24 ] В то же время CRTC выпустил CRTC 2019-403, который одобрил создание Канадского органа управления безопасными токенами (CSTGA) в качестве органа управления STIR/SHAKEN. [ 25 ]
В сентябре 2020 года CRTC издал решение 2019-402-2, которым продлил срок до 30 июня 2021 года. [ 26 ]
В декабре 2019 года в закон США был подписан Закон TRACED (Закон о пресечении и сдерживании злоупотреблений телефонными звонками), который обязывает Федеральную комиссию по связи обязать соблюдать протоколы всеми телефонными компаниями США. [ 27 ] 31 марта 2020 года FCC утвердила мандат, согласно которому крупные операторы связи должны внедрить системы к 30 июня 2021 года, а более мелкие и сельские операторы связи — к 30 июня 2022 года. [ 28 ] [ 2 ]
В июле 2021 года CRTC издал решение 2021-123, еще больше отодвигая крайний срок реализации до 30 ноября 2021 года, а также ясно давая понять, что ни один оператор связи в Канаде не будет освобожден от даты внедрения, в отличие от решения FCC предоставить исключения для мелкие и сельские операторы. [ 22 ]
Тестирование
[ редактировать ]Совместимость работает:
- Т-Мобайл – Спринт [ 29 ]
Производство
[ редактировать ]См. также
[ редактировать ]Ссылки
[ редактировать ]Цитаты
[ редактировать ]- ^ «Возможно, близок конец нашей эпидемии роботизированных звонков» . Вашингтон Пост . 5 июля 2019 г.
- ^ Jump up to: а б Бонифачич, Игорь (31 марта 2020 г.). «FCC потребует от операторов связи аутентифицировать звонки к июню 2021 года» . Engadget . Проверено 1 апреля 2020 г.
- ^ «Соблюдение требований и правоприменение, а также решение CRTC 2021-123 в сфере телекоммуникаций» . Канадская комиссия по радио, телевидению и телекоммуникациям (CRTC). 6 апреля 2021 г. Проверено 29 ноября 2021 г.
- ^ Лазарь, Давид (1 сентября 2017 г.). «Колонка: Телефонная индустрия обращается к Джеймсу Бонду за ответом на злодейские звонки от роботов» . Лос-Анджелес Таймс . Проверено 17 декабря 2019 г.
- ^ Jump up to: а б Рамирес, Энтони (4 апреля 1992 г.). «АОН – друг или враг потребителя?» . Нью-Йорк Таймс . Проверено 3 февраля 2015 г.
- ^ Jump up to: а б «47 CFR 64.1601» (PDF) .
- ^ Jump up to: а б с д СИП .
- ^ Jump up to: а б с д и ж г ЧАСТО ЗАДАВАЕМЫЕ ВОПРОСЫ .
- ^ Jump up to: а б с д и ж г час я дж к «Понимание ПЕРЕМЕШИВАНИЯ/ВСТРЯХИВАНИЯ» . ТрансНексус . Проверено 2 января 2020 г.
- ^ Нова, Энни (12 июня 2018 г.). «Вы думаете, что это звонит ваш друг, но на самом деле это растущая телефонная афера» . CNBC .
- ^ Сингх, Маниш (3 декабря 2019 г.). «В 2019 году количество спам-звонков выросло на 18%» . ТехКранч .
- ^ Ромм, Тони (19 ноября 2019 г.). «В октябре резко возросло количество подозрительных звонков от роботов, рекламирующих медицинское страхование. Теперь федералы пытаются действовать» . Вашингтон Пост .
- ^ «Американцы пострадали от чуть менее 46 миллиардов звонков от роботов в 2020 году» . Пиар-новости . 26 января 2021 г.
- ^ «ПЕРЕДВИГАЙТЕСЬ к действию» . IETF.
- ^ «Введение в рабочую группу IP-NNI» .
- ^ Сертификат .
- ^ Вулф, Марселла (7 сентября 2019 г.). «Вызов STI-GA для центров сертификации» . СТИ-ГА .
- ^ Эггертон, Джон (10 декабря 2019 г.). «Пай сначала набирает номер в трансграничном SHAKEN/STIR» . Радиовещание и кабельное телевидение . Проверено 10 декабря 2019 г.
- ^ «CRTC призывает телекоммуникационные компании внедрить новый инструмент для борьбы с «поддельным» телефонным мошенничеством» . Глобус и почта . Проверено 10 декабря 2019 г.
- ^ «Сетевая рабочая группа CISC – Статус внедрения поставщиками телекоммуникационных услуг мер аутентификации/верификации для идентификации вызывающего абонента» . crtc.gc.ca. CRTC. 9 декабря 2019 года . Проверено 10 декабря 2019 г.
- ^ «Соответствие и правоприменение, а также решение в области телекоммуникаций CRTC 2019-402-2» . crtc.gc.ca. CRTC. 15 сентября 2020 г. . Проверено 3 мая 2021 г.
- ^ Jump up to: а б «CRTC требует внедрения STIR/SHAKEN всеми поставщиками телекоммуникационных услуг» . www.fasken.com . Проверено 3 ноября 2021 г.
- ^ «Меры по уменьшению подделки идентификации вызывающего абонента и выявлению источников нежелательных вызовов» . 25 января 2018 года . Проверено 24 марта 2021 г.
- ^ «Сетевая рабочая группа CISC – Статус внедрения поставщиками телекоммуникационных услуг мер аутентификации/верификации для идентификации вызывающего абонента» . 9 декабря 2019 года . Проверено 24 марта 2021 г.
- ^ «Создание Канадского органа управления безопасными токенами» . 9 декабря 2019 года . Проверено 24 марта 2021 г.
- ^ «Rogers Communications Canada Inc. – Запрос на девятимесячную отсрочку внедрения STIR/SHAKEN» . 15 сентября 2020 г. . Проверено 24 марта 2021 г.
- ^ Кондон, Стефани. «Трамп подписывает Закон TRACED, первый федеральный закон, запрещающий вызовы роботов» . ЗДНет . Проверено 2 января 2020 г.
- ^ «Обязательное использование STIR/SHAKEN для борьбы с поддельными вызовами роботов» . ФКС . 31 марта 2020 г. Проверено 31 марта 2020 г.
- ^ Jump up to: а б с «T-Mobile и Sprint теперь могут проверять звонки в своих сетях» . Engadget . Проверено 13 июня 2020 г.
Библиография
[ редактировать ]- «Часто задаваемые вопросы» (PDF) . АТИС.
- «Управление сертификатами STIR/SHAKEN» . ТрансНексус .
- «Как SIP работает в VoIP» . SIP.США . 1 декабря 2013 г.
- «Информационный центр STIR/SHAKEN» . ТрансНексус .