STIR/SHAKEN: как се бори фалшивото обаждане

Исторически контекст и защо възникна нуждата от автентикация на обажданията

Проблемът с фалшивите обаждания и spoofing-а има дълга история, започнала с традиционните телефонни мрежи, където идентификацията на номера (CLI) беше изградена върху доверие между операторите. Преминаването към пакетни IP мрежи улесни масовото генериране на фалшиви повиквания – със софтуерни платформи глобални обаждания могат да се маскират като идващи от произволен номер. Това подтикна регулатори и индустрия да търсят криптографски механизъм, който да позволи на получателя да провери произхода на повикването. Инициативите, събрани в рамките на STIR (Secure Telephone Identity Revisited) и SHAKEN (Signature-based Handling of Asserted information using toKENs) предложиха набор от стандарти и оперативни практики за подписване и валидиране на информация за произхода в SIP-сигналицията.

Как работи технологията: PASSporT, SIP Identity и нива на атестация

Техническото ядро на системата е принципът на криптографски подписан токен, който пътува заедно с SIP-поканата. PASSporT (Personal Assertion Token) е формат за подписана декларация, съдържаща най-важните атрибути: номери (оrigin), цел (destination) и ниво на атестация (attestation). Токенът е подписан с ключ, издаден от доверено сертифициращо тяло, което потвърждава, че операторът е извършил проверки върху източника. В SIP протоколите този подписиращ пакет се пренася като част от SIP Identity заглавката, а крайният доставчик го валидира преди да предаде обаждането към абоната.

Нивата на атестация (обикновено обозначавани с A, B, C) описват колко сигурен е провереният произход: пълна атестация означава, че доставчикът е проверил правото на използване на номера от конкретния инициатор; частична атестация обикновено възниква при посредници; gateway/посредническа атестация указва, че оригиналното мрежово междусвързване не позволява пълна проверка. Тези нива имат значение за политиките на блокиране, маркиране или представяне на повикването на крайния потребител.

Регулаторни промени и индустриални програми

В отговор на възхода на измамните обаждания, регулатори на големи пазари наложиха задължения за внедряване на стандарти за автентификация. В много държави регулации изискват от доставчиците на IP-базирани гласови услуги да внедрят STIR/SHAKEN в своите мрежи по определен график и да участват в структури за издаване на доверени сертификати. Паралелно индустрията създаде администратори на политики и центрове за управление на сертификати, за да координира издаването и отзоваване на ключове.

На практика регулаторните мерки ускориха приемането на стандарта сред големите оператори и големите платформи за глас. Това доведе до появата на допълнителни услуги като Verified Calling и branded calling, при които легитимни бизнеси получават специални маркери в интерфейсите на телефони, увеличаващи степента на доверие и разграничаване от измамни обаждания.

Практически предизвикателства при внедряване и допълнителни уязвимости

Въпреки решаващия принос на STIR/SHAKEN, технологията не е панацея. Основните проблеми включват: междудоставчицка интероперация при преход между IP и традиционни (аналогови или TDM) мрежи; международни маршрути, където доверителните структури не съвпадат; и възможността за злоупотреба чрез “identity laundering”, когато измамник използва посредник, който предоставя атестация. Също така малки доставчици и виртуални оператори могат да срещнат административни и ценови бариери при получаване на сертификати и при сигурното управление на ключовете.

От гледна точка на крайния потребител, невинаги високо ниво на атестация означава, че обаждането е безопасно – легитимни номера могат да бъдат компрометирани, а организации да използват номерата за легитимни маркетингови кампании, които потребителите могат да възприемат като нежелани. Затова STIR/SHAKEN трябва да работи заедно с аналитика за поведение на обажданията, системи за рейтинг на репутацията и образователни кампании.

Влияние върху бизнеса, контакт центровете и потребителите

За бизнесите и контакт центровете правилната имплементация означава по-висок процент вдигнати обаждания и по-добро доверие на клиентите. Компаниите, които използват подписване на изходящите обаждания и участват в програми за верификация, съобщават за по-високи конверсии и по-малко блокирани легитимни повиквания. За доставчиците на услуги това е възможност да намалят клиентските оплаквания и да предложат допълнителни продукти за сигурност и верификация.

За потребителите непосредствената полза е по-ясната сигнализация в интерфейса на телефона — маркиране на обаждането като authenticated или verified. В същото време е важно да се обясни, че това е само един фактор в оценката на риска и че образованието за социално инженерство и вниманието при предоставяне на лични данни остават критични.

Комплементарни мерки и бъдещи насоки

STIR/SHAKEN е част от по-широк набор мерки, които включват анализ на поведението на обажданията, черни листи и бели листи, оценка на репутацията на източници, управление на жизнения цикъл на номерата и международно сътрудничество за взаимно признаване на доверени сертификати. Бъдещите развития вероятно ще засилят интеграцията с идентичностни услуги на предприятията (като верифициране на служебни номера), ще разширят използването на маркировки за бизнес бранд и ще подобрят автоматичните алгоритми за откриване на аномалии.

Важен аспект е и развитието на глобални политики за доверие, които да позволят по-добра интероперация между сертификатните администратори в различни юрисдикции и да намалят възможностите за международно злоупотребление.

Практически съвети за оператори и предприятия

Оператори: да внедрят пълна атестация, където е възможно, да гарантират сигурно управление на ключовете и да имат процеси за откриване и изключване на посредници, които допускат identity laundering. Да споделят метрики за spoofing и да участват в регионални механизми за издаване на сертификати.

Предприятия и контакт центрове: да работят с доставчици, които подписват обажданията им, да използват branded/verified услуги, когато са налични, и да обучат персонала относно необходимостта от поддържане на чист списък номера и управление на правото да използват номерата.

Потребители: да разчита на маркировката на обаждането, но и да прилагат основни правила за безопасност — не разгласявайте лични данни по телефона, особено когато не сте инициирали контакта.

Заключителни наблюдения и препоръки

STIR/SHAKEN е съществена стъпка към намаляване на фалшивите и измамни обаждания, но не може да реши проблема сама по себе си. Необходима е комбинирана стратегия, включваща регулаторни рамки, техническа интероперация, надеждни процедури за издаване на сертификати и интеграция с аналитични системи за поведение. За реален ефект индустрията трябва да се фокусира върху оперативна дисциплина, международна координация и образование на крайния потребител. Само чрез синергия между технологии, политики и практики можем да направим гласовите услуги по-надеждни и по-добре защитени срещу злоупотреби.