Amerikanische Telekommunikationsunternehmen werden mit Telefon-Spam konkurrieren

In den USA gewinnt die Abonnentenauthentifizierungstechnologie an Bedeutung – das SHAKEN/STIR-Protokoll. Lassen Sie uns über die Funktionsprinzipien und mögliche Implementierungsschwierigkeiten sprechen.

/flickr/ Markus Fischer / CC BY-SA

Problem mit Anrufen

Unaufgeforderte Robo-Anrufe sind der häufigste Grund für Verbraucherbeschwerden bei der US-amerikanischen Federal Trade Commission. Im Jahr 2016 wurde die Organisation verzeichnete fünf Millionen Zugriffe, ein Jahr später überstieg diese Zahl sieben Millionen.

Diese Spam-Anrufe kosten nicht nur Zeit. Automatische Anrufdienste werden genutzt, um Geld zu erpressen. Laut YouMail entfielen im September letzten Jahres 40 % der vier Milliarden Robo-Anrufe wurden von Betrügern begangen. Im Sommer 2018 verloren New Yorker etwa drei Millionen US-Dollar an Überweisungen an Kriminelle, die sie im Auftrag der Behörden anriefen und Geld erpressten.

Das Problem wurde der US-amerikanischen Federal Communications Commission (FCC) zur Kenntnis gebracht. Vertreter der Organisation eine Stellungnahme abgegeben, die Telekommunikationsunternehmen dazu verpflichtete, eine Lösung zur Bekämpfung von Telefon-Spam zu implementieren. Diese Lösung war das SHAKEN/STIR-Protokoll. Im März gemeinsame Tests gehalten AT&T und Comcast.

So funktioniert das SHAKEN/STIR-Protokoll

Telekommunikationsbetreiber werden mit digitalen Zertifikaten arbeiten (sie basieren auf der Public-Key-Kryptographie), die eine Verifizierung von Anrufern ermöglichen.

Das Verifizierungsverfahren läuft wie folgt ab. Zunächst erhält der Operator des Anrufers eine Anfrage SIP EINLADEN, um eine Verbindung herzustellen. Der Authentifizierungsdienst des Anbieters überprüft die Informationen zum Anruf – Standort, Organisation, Details zum Gerät des Anrufers. Basierend auf den Ergebnissen der Prüfung wird der Anruf einer von drei Kategorien zugeordnet: A – alle Informationen über den Anrufer sind bekannt, B – Organisation und Standort sind bekannt und C – nur der geografische Standort des Teilnehmers ist bekannt.

Anschließend fügt der Betreiber dem INVITE-Anfrageheader eine Nachricht mit Zeitstempel, Anrufkategorie und einem Link zu einem elektronischen Zertifikat hinzu. Hier ist ein Beispiel für eine solche Nachricht aus dem GitHub-Repository einer der amerikanischen Telekommunikationsanbieter:

{
	"alg": "ES256",
        "ppt": "shaken",
        "typ": "passport",
        "x5u": "https://cert-auth.poc.sys.net/example.cer"
}

{
        "attest": "A",
        "dest": {
          "tn": [
            "1215345567"
          ]
        },
        "iat": 1504282247,
        "orig": {
          "tn": "12154567894"
        },
        "origid": "1db966a6-8f30-11e7-bc77-fa163e70349d"
}

Weiter geht die Anfrage an den Provider des angerufenen Teilnehmers. Der zweite Operator entschlüsselt die Nachricht mithilfe des öffentlichen Schlüssels, vergleicht den Inhalt mit dem SIP INVITE und überprüft die Authentizität des Zertifikats. Erst danach wird eine Verbindung zwischen den Teilnehmern hergestellt und der „Empfänger“ erhält eine Benachrichtigung darüber, wer ihn anruft.

Der gesamte Verifizierungsprozess kann durch ein Diagramm dargestellt werden:

Laut Experten Anruferverifizierung wird nehmen nicht länger als 100 Millisekunden.

Meinungen

Как bekannt Im USTelecom-Verband wird SHAKEN/STIR den Menschen mehr Kontrolle über die Anrufe geben, die sie erhalten, und ihnen so die Entscheidung erleichtern, ob sie zum Telefonhörer greifen oder nicht.

Lesen Sie auf unserem Blog:

• Botnet-Spam über Router: Was Sie wissen müssen
• DDOS und 5G: dickeres „Rohr“ – mehr Probleme

In der Branche herrscht jedoch die Meinung vor, dass das Protokoll keine „Wunderwaffe“ werden wird. Experten sagen, dass Betrüger einfach Workarounds nutzen. Spammer können im Netzwerk des Betreibers eine „Dummy“-PBX im Namen einer Organisation registrieren und alle Anrufe über diese tätigen. Im Falle einer PBX-Sperrung ist eine einfache Neuanmeldung möglich.

Auf Text Vertreter eines Telekommunikationsunternehmens reicht eine einfache Verifizierung des Teilnehmers anhand von Zertifikaten nicht aus. Um Betrüger und Spammer zu stoppen, müssen Sie ISPs erlauben, solche Anrufe automatisch zu blockieren. Dafür muss die Kommunikationskommission jedoch ein neues Regelwerk entwickeln, das diesen Prozess regelt. Und die FCC kann sich in naher Zukunft mit diesem Problem befassen.

Seit Anfang des Jahres Kongressabgeordnete sind am Überlegen ein neuer Gesetzentwurf, der die Kommission dazu verpflichten wird, Mechanismen zum Schutz der Bürger vor Robo-Anrufen zu entwickeln und die Umsetzung des SHAKEN/STIR-Standards zu überwachen.

/flickr/ Jack Sem / CC BY

Es ist zu beachten, dass SCHÜTTELN/RÜHREN umgesetzt haben in T-Mobile – für einige Smartphone-Modelle und planen, die Palette der unterstützten Geräte zu erweitern – und Verizon - Kunden des Betreibers können eine spezielle Anwendung herunterladen, die vor Anrufen von verdächtigen Nummern warnt. Andere US-Fluggesellschaften testen die Technologie noch. Die Tests werden voraussichtlich bis Ende 2019 abgeschlossen sein.

Was Sie sonst noch in unserem Blog über Habré lesen können:

• Der Kampf um die Netzneutralität ist eine Chance für ein Comeback
• Situation: Japan kann das Herunterladen von Inhalten aus dem Netzwerk einschränken – wir haben Verständnis und diskutieren darüber
• Der neue Standard auf Basis von PCIe 5.0 wird CPU und GPU „verknüpfen“ – so viel ist darüber bekannt

Source: habr.com