Амерыканскія телекомы пазмагаюцца з тэлефонным спамам

У ЗША набірае абароты тэхналогія аўтэнтыфікацыі абанентаў – пратакол SHAKEN/STIR. Пагаворым аб прынцыпах яго працы і патэнцыйных складанасцях укаранення.

/Flickr/ Марк Фішэр / CC BY-SA

Праблема са званкамі

Непажаданыя роба-званкі – гэта самая распаўсюджаная прычына скаргаў у спажыўцоў у Федэральную гандлёвую камісію ЗША. У 2016 годзе арганізацыя зафіксавала пяць мільёнаў зваротаў, праз год гэтая лічба пераваліла за сем мільёнаў

Такія спам-званкі адымаюць у людзей не толькі час. Сэрвісы аўтаматычнага абзвону выкарыстоўваюцца для вымагальніцтва грошай. Па дадзеных YouMail, у верасні мінулага года 40% з чатырох мільярдаў роба-званкоў былі здзейснены ашуканцамі. За лета 2018 года жыхары Нью-Ёрка страцілі каля трох мільёнаў долараў на пераводах злачынцам, якія тэлефанавалі ім ад уладаў і вымагалі грошы.

На праблему звярнулі ўвагу ў Федэральнай камісіі па сувязі ЗША (FCC). Прадстаўнікі арганізацыі выступілі з заявай, у якім запатрабавалі ад тэлекамунікацыйных кампаній ўкараніць рашэнне для барацьбы з тэлефонным спамам. Гэтым рашэннем стаў пратакол SHAKEN/STIR. У сакавіку сумесныя яго тэсціраванне правялі AT&T і Comcast.

Як уладкованы пратакол SHAKEN/STIR

Аператары сувязі будуць працаваць з лічбавымі сертыфікатамі (яны будуюцца на базе крыптаграфіі з адкрытым ключом), якія дазволяць верыфікаваць тых, хто тэлефануе.

Працэдура верыфікацыі будзе адбывацца наступным чынам. Спачатку аператар чалавека, які здзяйсняе званок, атрымлівае запыт SIP INVITE для ўстаноўкі злучэння. Сэрвіс аўтэнтыфікацыі правайдэра правярае інфармацыю аб выкліку - месцазнаходжанне, арганізацыю, дадзеныя аб прыладзе які тэлефануе. Па выніках праверкі званку прысвойваецца адна з трох катэгорый: A – вядомая ўся інфармацыя аб тым, хто тэлефануе, B – вядомая арганізацыя і месцазнаходжанне, і C – вядома толькі геаграфічнае становішча абанента.

Пасля гэтага аператар дадае ў загаловак запыту INVITE паведамленне з часовай адзнакай, катэгорыяй званка і спасылкай на электронны сертыфікат. Вось прыклад такога паведамлення з GitHub-рэпазітара аднаго з амерыканскіх тэлекомаў:

{
	"alg": "ES256",
        "ppt": "shaken",
        "typ": "passport",
        "x5u": "https://cert-auth.poc.sys.net/example.cer"
}

{
        "attest": "A",
        "dest": {
          "tn": [
            "1215345567"
          ]
        },
        "iat": 1504282247,
        "orig": {
          "tn": "12154567894"
        },
        "origid": "1db966a6-8f30-11e7-bc77-fa163e70349d"
}

Далей, запыт пападае да правайдэра выкліканага абанента. Другі аператар расшыфроўвае паведамленне з дапамогай публічнага ключа, параўноўвае змесціва з SIP INVITE і правярае сапраўднасць сертыфіката. Толькі пасля гэтага ўстанаўліваецца злучэнне паміж абанентамі, і "прымаючы" бок атрымлівае апавяшчэнне аб тым, хто яму тэлефануе.

Увесь працэс праверкі можна адлюстраваць схемай:

Па словах экспертаў, верыфікацыя таго, хто тэлефануе зойме не больш за 100 мілісекунд.

меркаванні

Як адзначылі у асацыяцыі USTelecom, SHAKEN / STIR дасць людзям больш кантролю за званкамі, якія яны атрымліваюць – ім стане лягчэй вырашыць, ці варта паднімаць трубку.

Чытайце ў нашым блогу:

• Ботнет «спамятае» праз роўтэры: што трэба ведаць
• DDOS і 5G: тоўшчы "труба" - больш праблем

Але ў індустрыі ёсць меркаванне, што пратакол не стане "сярэбранай куляй". Эксперты кажуць, што ашуканцы проста скарыстаюцца абыходнымі шляхамі. Спамеры змогуць зарэгістраваць у сетцы аператара "падстаўную" АТС на імя якой-небудзь арганізацыі і праводзіць усе званкі праз яе. У выпадку блакіроўкі АТС можна будзе проста перарэгістраваць.

Па слоў прадстаўніка аднаго з тэлекомаў, простай верыфікацыі абанента з дапамогай сертыфікатаў недастаткова. Каб спыніць ашуканцаў і спамераў, неабходна дазволіць правайдэрам аўтаматычна блакаваць такія званкі. Але для гэтага Камісіі па сувязі давядзецца распрацаваць новы збор правілаў, які дазволіць рэгуляваць гэты працэс. І гэтым пытаннем у FCC могуць заняцца ўжо хуткім часам.

З пачатку года кангрэсмены разглядаюць новы законапраект, які абавяжа Камісію распрацаваць механізмы абароны грамадзян ад роба-званкоў і прасачыць за рэалізацыяй стандарту SHAKEN/STIR.

/Flickr/ Jack Sem / CC BY

Варта адзначыць, што SHAKEN/STIR рэалізавалі у T-Mobile – для некаторых мадэляў смартфонаў і плануюць пашырыць шэраг падтрымоўваных прылад – і Verizon — яго кліенты аператара могуць спампаваць спецыяльны дадатак, які будзе папярэджваць аб званках з падазроных нумароў. Іншыя амерыканскія аператары яшчэ толькі тэсціруюць тэхналогію. Чакаецца, што яны скончаць выпрабаванні да канца 2019 года.

Што яшчэ пачытаць у нашым блогу на Хабры:

• Бітва за сеткавы нейтралітэт - шанец на вяртанне
• Сітуацыя: Японія можа абмежаваць запампоўку кантэнту з сеткі - разбіраемся і абмяркоўваем
• Новы стандарт на базе PCIe 5.0 "звяжа" CPU і GPU – што пра яго вядома

Крыніца: habr.com