Amerikanische Telekommunikationsunternehmen kämpfen gegen Telefonspam.

In den USA gewinnt die Authentifizierungstechnologie für Abonnenten — das SHAKEN/STIR-Protokoll — an Bedeutung. Lassen Sie uns über die Funktionsweise und die potenziellen Herausforderungen bei der Implementierung sprechen.

/ Flickr / Mark Fischer / CC BY-SA

Anrufprobleme

Unerwünschte Robocalls sind die häufigste Beschwerde von Verbrauchern bei der US Federal Trade Commission. Im Jahr 2016 verzeichnete die Organisation fünf Millionen Beschwerden, ein Jahr später überstieg diese Zahl sieben Millionen.

Solche Spam-Anrufe kosten Menschen nicht nur Zeit. Automatismen werden auch für Erpressungsversuche eingesetzt. Laut YouMail wurden im September letzten Jahres 40 % der vier Milliarden Robocalls von Betrügern durchgeführt. Im Sommer 2018 verloren die Bewohner New Yorks etwa drei Millionen Dollar durch Überweisungen an Kriminelle, die sich als Behörden ausgaben und Geld erpressten.

Die Federal Communications Commission (FCC) der USA hat auf das Problem hingewiesen. Die Vertreter der Organisation gaben eine Erklärung ab, in der sie von den Telekommunikationsunternehmen forderten, eine Lösung zur Bekämpfung von Telefonspam umzusetzen. Diese Lösung ist das SHAKEN/STIR-Protokoll. Im März fand ein gemeinsames Testverfahren durch von AT&T und Comcast statt.

Wie das SHAKEN/STIR-Protokoll funktioniert

Telekommunikationsanbieter werden mit digitalen Zertifikaten arbeiten (basierend auf asymmetrischer Kryptographie), die es ermöglichen, Anrufer zu verifizieren.

Die Verifizierungsprozedur wird folgendermaßen ablaufen. Zunächst erhält der Betreiber des Anrufenden eine Anfrage SIP INVITE zur Verbindungsherstellung. Der Authentifizierungsdienst des Anbieters prüft die Anrufinformationen – Standort, Organisation, Daten des anrufenden Geräts. Je nach Ergebnis wird der Anruf in eine der drei Kategorien eingestuft: A – alle Informationen über den Anrufer sind bekannt, B – die Organisation und der Standort sind bekannt, und C – nur geografische Standortdaten des Abonnenten sind bekannt.

Danach fügt der Betreiber der Anfrage INVITE eine Nachricht mit einem Zeitstempel, der Anrufkategorie und einem Link zum digitalen Zertifikat hinzu. Hier ist ein Beispiel für eine solche Nachricht aus einem GitHub-Repository eines der amerikanischen Telekommunikationsunternehmen:

{
	"alg": "ES256",
        "ppt": "shaken",
        "typ": "passport",
        "x5u": "https://cert-auth.poc.sys.net/example.cer"
}

{
        "attest": "A",
        "dest": {
          "tn": [
            "1215345567"
          ]
        },
        "iat": 1504282247,
        "orig": {
          "tn": "12154567894"
        },
        "origid": "1db966a6-8f30-11e7-bc77-fa163e70349d"
}

Dann gelangt die Anfrage zum Anbieter des angerufenen Abonnenten. Der zweite Anbieter entschlüsselt die Nachricht mithilfe des öffentlichen Schlüssels, vergleicht den Inhalt mit SIP INVITE und prüft die Authentizität des Zertifikats. Erst nach dieser Prüfung wird die Verbindung zwischen den Abonnenten hergestellt, und die "empfangende" Seite erhält eine Benachrichtigung darüber, wer anruft.

Der gesamte Verifizierungsprozess kann anhand eines Diagramms dargestellt werden:

Experten zufolge wird die Verifizierung des Anrufers nicht länger als 100 Millisekunden dauern. In der USTelecom-Vereinigung wird SHAKEN/STIR den Menschen mehr Kontrolle über die Anrufe geben, die sie erhalten — es wird einfacher sein zu entscheiden, ob sich das Aufheben des Hörers lohnt.

Meinungen

Wie äußerten die Vertreter des Unternehmens Lesen Sie in unserem Blog:

Es wird jedoch in der Branche die Meinung vertreten, dass das Protokoll nicht die "Silberkugel" sein wird. Experten sagen, dass Betrüger einfach Umgehungsmöglichkeiten nutzen werden. Spammer könnten im Netz des Anbieters eine "Schein-" Telefonanlage im Namen einer Organisation registrieren und alle Anrufe darüber abwickeln. Im Falle der Sperrung der Telefonanlage könnte sie einfach neu registriert werden.

• Botnets belasten Router: Was Sie wissen sollten
• Floodlight

Laut einem Vertreter eines Telekommunikationsunternehmens ist eine einfache Verifizierung von Abonnenten mithilfe von Zertifikaten nicht ausreichend. Um Betrüger und Spammer zu stoppen, müssen den Anbietern die Möglichkeiten zur automatischen Sperrung solcher Anrufe eingeräumt werden. Dafür muss die FCC jedoch ein neues Regelwerk entwickeln, das diesen Prozess reguliert. Damit könnte sich die Kommission schon bald beschäftigen.

Nach den Seit Jahresbeginn haben die Kongressabgeordneten

einen neuen Gesetzesentwurf ins Leben gerufen, der die Kommission verpflichtet, Maßnahmen zum Schutz der Bürger vor Robocalls zu entwickeln und die Umsetzung des Standards SHAKEN/STIR zu überwachen. betrachten Jack Sem

/ Flickr / Es ist erwähnenswert, dass SHAKEN/STIR / CC BY

bereits in T-Mobile implementiert wurde — für einige Smartphone-Modelle, und es sind Pläne zur Erweiterung der unterstützten Geräte in Arbeit — sowie Verizon — dessen Kunden können eine spezielle Anwendung herunterladen, die vor Anrufen von verdächtigen Nummern warnt. Andere amerikanische Anbieter testen die Technologie noch. Es wird erwartet, dass sie die Tests bis Ende 2019 abschließen. Was Sie sonst noch in unserem Blog auf Habré lesen können: Situation: Japan könnte das Herunterladen von Inhalten aus dem Netz einschränken – wir klären das und diskutieren.

Was gibt es sonst noch in unserem Blog auf Habr zu lesen:

• SDN wird ins All gebracht: warum es notwendig ist
• Situation: Japan könnte das Herunterladen von Inhalten aus dem Internet einschränken – wir analysieren und diskutieren
• Der neue Standard auf Basis von PCIe 5.0 wird CPU und GPU «verbinden» — was ist darüber bekannt

Quelle: habr.com