Autenticazione dell'ID chiamante STIR/SHAKEN

STIR sta per Secure Telephone Identity Revisited. È l'insieme di standard IETF che definiscono come viene creata e allegata una firma digitale a una chiamata.

SHAKEN sta per Signature-based Handling of Asserted information using toKENs. È la specifica ATIS che indica agli operatori come implementare effettivamente STIR nelle loro reti.

La versione breve: STIR è lo standard, SHAKEN è il framework di implementazione costruito attorno ad esso. In pratica, i due sono sempre citati insieme, motivo per cui il protocollo STIR/SHAKEN è solitamente trattato come un'unica cosa.

Tre passaggi, tutti completati prima che il telefono del destinatario squilli.

Autenticazione. Il tuo provider verifica chi sta effettuando la chiamata e se ha il diritto di utilizzare il numero nell'ID chiamante. Firma. Il provider aggiunge un'intestazione SIP Identity firmata alla chiamata, contenente il suo certificato e un livello di attestazione che descrive la sua attendibilità. Verifica. Il provider di terminazione convalida tale firma rispetto al certificato del provider di origine e trasmette il risultato alle proprie analisi antispam.

Ciò che il destinatario vede effettivamente alla fine di questa catena dipende dal suo operatore. STIR/SHAKEN fornisce le prove; il motore di analisi dell'operatore prende la decisione.

Ogni firma riporta un livello di attestazione che indica quanto il provider di origine sa della chiamata. Ce ne sono tre.

Attestazione completa (A): il provider conosce il cliente e ha confermato che ha il diritto di utilizzare il numero. Questo è il livello che ha maggiori probabilità di raggiungere il destinatario senza etichette. Attestazione parziale (B): il provider conosce il cliente ma non ha verificato il suo diritto a quel numero specifico, il che è comune quando un'azienda porta i propri numeri. Attestazione gateway (C): il provider sta solo inoltrando la chiamata e non può garantire la sua origine, il che è tipico per il traffico internazionale che entra nella rete statunitense.

Le analisi degli operatori danno un peso elevato a questi fattori. Le chiamate A generalmente passano senza problemi, le chiamate C attirano l'attenzione. Se i tuoi tassi di risposta in uscita sono scarsi e non riesci a capire il perché, il tuo livello di attestazione è una delle prime cose da verificare con il tuo provider.

Negli Stati Uniti, sì. Ai sensi del TRACED Act, la FCC ha adottato nel 2020 norme che impongono ai fornitori di servizi voce di implementare STIR/SHAKEN nelle porzioni IP delle loro reti entro il 30 giugno 2021. Ai piccoli fornitori con 100.000 o meno linee di abbonati è stata concessa un'estensione fino al 30 giugno 2023, successivamente abbreviata al 2022 per un sottoinsieme che origina volumi di chiamate elevati. L'obbligo è stato da allora esteso anche ai fornitori gateway e intermedi.

I provider presentano anche certificazioni nel database di mitigazione delle chiamate automatiche della FCC, e da settembre 2021 agli operatori è stato vietato di accettare traffico direttamente da provider non elencati in esso. Il Canada opera un requisito parallelo tramite il CRTC.

È utile sapere se sei tu a effettuare le chiamate piuttosto che a gestirle: la conformità STIR/SHAKEN è un obbligo del tuo provider voce, non della tua attività. Non devi presentare nulla. Ma l'implementazione del tuo provider determina direttamente come vengono trattate le tue chiamate, il che la rende una domanda legittima da porre a qualsiasi fornitore che stai valutando.

Non direttamente, e questo è il malinteso più comune al riguardo. STIR/SHAKEN autentica l'ID chiamante. Non esprime alcun giudizio sullo scopo di una chiamata. Una chiamata automatica perfettamente legale con attestazione completa passa inalterata, e un truffatore può comunque effettuare una chiamata spoofing. La chiamata arriva semplicemente con un'etichetta onesta che dice che nessuno può garantirla.

Ciò che il framework fa è rimuovere l'anonimato dalla rete. Poiché ogni chiamata firmata può essere rintracciata fino al provider che l'ha originata, i regolatori e gli operatori possono identificare i trasgressori abituali invece di inseguire il traffico non rintracciabile, e gli operatori ottengono un segnale affidabile su cui filtrare. La lotta alle chiamate automatiche STIR/SHAKEN è un sottoprodotto di tale tracciabilità piuttosto che il meccanismo stesso.

Perché l'attestazione è solo uno dei tanti fattori. I motori di analisi degli operatori valutano anche quante chiamate un numero effettua al giorno, quanto durano tali chiamate, con quale frequenza vengono risposte, quanti destinatari hanno segnalato il numero, quanto recentemente è stato attivato e se compare nei registri dei fornitori di analisi.

Un numero nuovo che chiama trecento volte al giorno con una durata media di quattro secondi assomiglia esattamente a un robocaller, e l'attestazione completa non lo salverà. Questo è un problema di comportamento di chiamata, non un problema di firma.

Le cose che fanno effettivamente la differenza: registra i tuoi numeri con i fornitori di analisi, distribuisci il volume su un numero sufficiente di numeri in modo che nessuno sembri frenetico, tieni d'occhio la durata media delle tue chiamate e aggiungi Branded Caller ID in modo che i destinatari vedano chi sta chiamando invece di una stringa di cifre sconosciuta.

STIR/SHAKEN è una verifica. Funziona tra gli operatori, il destinatario non la vede mai, e il suo compito è dire alla rete ricevente che la tua chiamata è ciò che dichiara di essere.

Branded Caller ID è la visualizzazione. Inserisce il nome della tua azienda, e sui telefoni supportati il tuo logo e un motivo della chiamata, sullo schermo del destinatario. Il suo compito è dare a una persona un motivo per rispondere.

Risolvono metà adiacenti dello stesso problema e funzionano al meglio insieme: la firma fa superare il filtro alla tua chiamata, il branding la fa rispondere. La firma è inclusa nel tuo piano CloudTalk. Branded Caller ID è un componente aggiuntivo a pagamento fatturato per chiamata in uscita.

No. STIR/SHAKEN è un framework nordamericano, imposto dalla FCC negli Stati Uniti e dal CRTC in Canada. Altri paesi stanno perseguendo i propri approcci all'autenticazione dell'ID chiamante, e molti non ne hanno ancora nessuno.

Questo è più importante di quanto sembri se vendi negli Stati Uniti da altrove. Le chiamate originate al di fuori del Nord America tipicamente entrano nella rete statunitense tramite un provider gateway, il che significa attestazione gateway (C), il che significa una maggiore probabilità di essere etichettate prima che qualcuno risponda. L'utilizzo di un numero locale statunitense da un provider che firma il tuo traffico all'origine evita completamente quel percorso.

La firma avviene automaticamente sulle chiamate in uscita verso destinazioni statunitensi. Non ci sono impostazioni da abilitare, nessun certificato da gestire e nessun fornitore di autenticazione separato con cui contrattare. L'implementazione di STIR/SHAKEN è gestita lato operatore della piattaforma, che è dove risiede l'obbligo normativo.

Attorno ad esso si trova il resto del toolkit di deliverability: registrazione del numero antispam, rimedio allo spam per i numeri che hanno acquisito una cattiva reputazione, Branded Caller ID per la visualizzazione e numeri locali in oltre 160 paesi in modo che le tue chiamate originino vicino alle persone che le ricevono. La consegna è raramente risolta da una singola leva, e la firma è quella che deve essere in atto prima che le altre importino.