Autenticação de Identificador de Chamadas STIR/SHAKEN

STIR significa Secure Telephone Identity Revisited. É o conjunto de padrões IETF que definem como uma assinatura digital é criada e anexada a uma chamada.

SHAKEN significa Signature-based Handling of Asserted information using toKENs. É a especificação ATIS que diz às operadoras como realmente implantar o STIR em suas redes.

A versão curta: STIR é o padrão, SHAKEN é a estrutura de implantação construída em torno dele. Na prática, os dois são sempre referenciados juntos, por isso o protocolo STIR/SHAKEN é geralmente tratado como uma única coisa.

Três etapas, todas concluídas antes que o telefone do destinatário toque.

Autenticação. Seu provedor verifica quem está fazendo a chamada e se possui o direito de usar o número no identificador de chamadas. Assinatura. O provedor adiciona um cabeçalho SIP Identity assinado à chamada, contendo seu certificado e um nível de atestação descrevendo sua confiança. Verificação. O provedor de terminação valida essa assinatura contra o certificado do provedor de origem e passa o resultado para sua própria análise de spam.

O que o destinatário realmente vê no final dessa cadeia depende de sua operadora. O STIR/SHAKEN fornece a evidência; o motor de análise da operadora toma a decisão.

Cada assinatura possui um nível de atestação que indica o quanto o provedor de origem realmente sabe sobre a chamada. Existem três.

Atestação completa (A): o provedor conhece o cliente e confirmou que ele tem direito de usar o número. Este é o nível com maior probabilidade de chegar ao destinatário sem rótulo. Atestação parcial (B): o provedor conhece o cliente, mas não verificou seu direito a esse número específico, o que é comum quando uma empresa traz seus próprios números. Atestação de gateway (C): o provedor está apenas encaminhando a chamada e não pode garantir sua origem, o que é típico para tráfego internacional entrando na rede dos EUA.

As análises das operadoras levam isso em consideração. Chamadas com atestação A geralmente passam sem problemas, enquanto chamadas C atraem escrutínio. Se suas taxas de resposta de saída estão baixas e você não consegue entender o motivo, seu nível de atestação é uma das primeiras coisas que vale a pena verificar com seu provedor.

Nos Estados Unidos, sim. Sob a Lei TRACED, a FCC adotou regras em 2020 exigindo que os provedores de voz implementassem o STIR/SHAKEN nas partes IP de suas redes até 30 de junho de 2021. Pequenos provedores com 100.000 ou menos linhas de assinantes receberam uma extensão até 30 de junho de 2023, mais tarde reduzida para 2022 para um subconjunto que origina grandes volumes de chamadas. A obrigação foi estendida também para provedores de gateway e intermediários.

Os provedores também arquivam certificações no Banco de Dados de Mitigação de Robocalls da FCC, e desde setembro de 2021 as operadoras foram proibidas de aceitar tráfego diretamente de provedores que não estejam listados nele. O Canadá opera uma exigência paralela através do CRTC.

Vale a pena saber se você é quem faz as chamadas em vez de as transportar: a conformidade com STIR/SHAKEN é uma obrigação do seu provedor de voz, não da sua empresa. Você não arquiva nada. Mas a implementação do seu provedor determina diretamente como suas chamadas são tratadas, o que a torna uma questão justa a ser feita a qualquer fornecedor que você esteja avaliando.

Não diretamente, e este é o mal-entendido mais comum sobre isso. O STIR/SHAKEN autentica o identificador de chamadas. Não faz julgamento sobre o propósito de uma chamada. Uma robochamada perfeitamente legal com atestação completa passa sem ser tocada, e um golpista ainda pode fazer uma chamada falsificada. A chamada apenas chega com um rótulo honesto dizendo que ninguém pode garantir sua autenticidade.

O que a estrutura faz é remover o anonimato da rede. Como cada chamada assinada pode ser rastreada até o provedor que a originou, reguladores e operadoras podem identificar infratores reincidentes em vez de perseguir tráfego não rastreável, e as operadoras obtêm um sinal confiável para filtrar. Combater robochamadas STIR/SHAKEN é um subproduto dessa rastreabilidade, e não o mecanismo em si.

Porque a atestação é um entre muitos fatores. Os motores de análise das operadoras também consideram quantas chamadas um número faz por dia, quanto tempo duram essas chamadas, com que frequência são atendidas, quantos destinatários reportaram o número, há quanto tempo foi ativado e se aparece nos registros dos provedores de análise.

Um número novo que liga trezentas vezes por dia com uma duração média de quatro segundos se parece exatamente com um robochamador, e a atestação completa não o salvará. Isso é um problema de comportamento de discagem, não um problema de assinatura.

As coisas que realmente fazem a diferença: registre seus números com os provedores de análise, distribua o volume por números suficientes para que nenhum pareça frenético, fique de olho na duração média de suas chamadas e adicione o Identificador de Chamadas Personalizado (Branded Caller ID) para que os destinatários vejam quem está ligando em vez de uma sequência de dígitos desconhecida.

STIR/SHAKEN é verificação. Ele funciona entre as operadoras, o destinatário nunca o vê, e seu trabalho é informar à rede receptora que sua chamada é o que ela afirma ser.

O Identificador de Chamadas Personalizado (Branded Caller ID) é exibição. Ele mostra o nome da sua empresa e, em aparelhos compatíveis, seu logotipo e um motivo para a chamada na tela do destinatário. Seu trabalho é dar ao humano um motivo para atender.

Eles resolvem metades adjacentes do mesmo problema e funcionam melhor juntos: a assinatura faz sua chamada passar pelo filtro, a personalização faz com que ela seja atendida. A assinatura está incluída no seu plano da CloudTalk. O Identificador de Chamadas Personalizado (Branded Caller ID) é um complemento pago cobrado por chamada de saída.

Não. STIR/SHAKEN é uma estrutura norte-americana, exigida pela FCC nos EUA e pela CRTC no Canadá. Outros países estão buscando suas próprias abordagens para a autenticação de identificador de chamadas, e muitos ainda não têm nenhuma.

Isso importa mais do que parece se você vende para os EUA de outro lugar. Chamadas originadas fora da América do Norte geralmente entram na rede dos EUA por meio de um provedor de gateway, o que significa atestação de gateway (C), o que significa uma maior chance de serem rotuladas antes que alguém atenda. Usar um número local dos EUA de um provedor que assina seu tráfego na origem evita esse caminho por completo.

A assinatura acontece automaticamente em chamadas de saída para destinos nos EUA. Não há configuração para ativar, certificado para gerenciar ou fornecedor de autenticação separado para contratar. A implementação do STIR/SHAKEN é tratada no lado da operadora da plataforma, que é onde a obrigação regulatória realmente reside.

Em torno disso, está o restante do conjunto de ferramentas de entregabilidade: registro de número anti-spam, remediação de spam para números que adquiriram má reputação, Identificador de Chamadas Personalizado (Branded Caller ID) para exibição e números locais em mais de 160 países para que suas chamadas se originem perto das pessoas que as recebem. A entrega raramente é corrigida por uma única alavanca, e a assinatura é a que precisa estar em vigor antes que as outras importem.