טלקום אמריקאי תילחם בספאם טלפוני

בארצות הברית, טכנולוגיית אימות המנוי - פרוטוקול SHAKEN/STIR - צוברת תאוצה. בואו נדבר על עקרונות פעולתו ועל הקשיים הפוטנציאליים של היישום.

/flickr/ מארק פישר / CC BY-SA

בעיה בשיחות

שיחות רובוט בלתי רצויות הן הסיבה השכיחה ביותר לתלונות צרכנים לוועדת הסחר הפדרלית. בשנת 2016 הארגון רשם חמישה מיליון צפיות, שנה לאחר מכן הנתון הזה עלה על שבעה מיליון.

שיחות ספאם כאלה גוזלות יותר מסתם זמן של אנשים. שירותי שיחות אוטומטיים משמשים לסחיטת כסף. לפי YouMail, בספטמבר אשתקד, 40% מארבעת מיליארד השיחות הרובו בוצעו על ידי רמאים. במהלך קיץ 2018 הפסידו תושבי ניו יורק כשלושה מיליון דולר בהעברות לעבריינים שהתקשרו אליהם בשם הרשויות וסחטו כסף.

הבעיה הובאה לידיעת ועדת התקשורת הפדרלית של ארה"ב (FCC). נציגי הארגון הצהירה, שחייב חברות תקשורת ליישם פתרון למלחמה בספאם טלפוני. פתרון זה היה פרוטוקול SHAKEN/STIR. במרץ הוא נבדק במשותף מוּתַשׁ AT&T וקומקאסט.

כיצד פועל פרוטוקול SHAKEN/STIR

מפעילי טלקום יעבדו עם תעודות דיגיטליות (הן בנויות על בסיס קריפטוגרפיה של מפתח ציבורי), מה שיאפשר להם לאמת מתקשרים.

הליך האימות יתנהל כדלקמן. ראשית, המפעיל של מבצע השיחה מקבל בקשה SIP INVITE ליצור חיבור. שירות האימות של הספק בודק מידע על השיחה - מיקום, ארגון, נתונים על מכשיר המתקשר. על סמך תוצאות האימות, השיחה מוקצית באחת משלוש קטגוריות: א' - כל המידע על המתקשר ידוע, ב' - הארגון והמיקום ידועים ו-ג' - ידוע רק מיקומו הגיאוגרפי של המנוי.

לאחר מכן, המפעיל מוסיף הודעה עם חותמת זמן, קטגוריית שיחה וקישור לאישור האלקטרוני לכותרת הבקשה INVITE. הנה דוגמה להודעה כזו ממאגר GitHub אחת ממערכות הטלקום האמריקאיות:

{
	"alg": "ES256",
        "ppt": "shaken",
        "typ": "passport",
        "x5u": "https://cert-auth.poc.sys.net/example.cer"
}

{
        "attest": "A",
        "dest": {
          "tn": [
            "1215345567"
          ]
        },
        "iat": 1504282247,
        "orig": {
          "tn": "12154567894"
        },
        "origid": "1db966a6-8f30-11e7-bc77-fa163e70349d"
}

לאחר מכן, הבקשה עוברת לספק של המנוי שנקרא. המפעיל השני מפענח את ההודעה באמצעות המפתח הציבורי, משווה את התוכן ל-SIP INVITE ומוודא את מקוריות האישור. רק לאחר מכן נוצר קשר בין המנויים, והצד "המקבל" מקבל הודעה מי מתקשר אליו.

ניתן לתאר את כל תהליך האימות בתרשים הבא:

לדברי מומחים, אימות מתקשר ייקח לא יותר מ-100 מילישניות.

דעות

כמו ציינתי בעמותת USTelecom, SHAKEN/STIR יעניקו לאנשים יותר שליטה על השיחות שהם מקבלים - מה שיקל עליהם להחליט אם להרים טלפון.

קרא בבלוג שלנו:

• Botnet "ספאם" דרך נתבים: מה שאתה צריך לדעת
• DDOS ו-5G: "צינור" עבה יותר פירושו יותר בעיות

אבל יש קונצנזוס בתעשייה שהפרוטוקול לא יהיה כדור כסף. מומחים אומרים שרמאים פשוט ישתמשו בדרכים לעקיפת הבעיה. שולחי דואר זבל יוכלו לרשום מרכזיה "דמה" ברשת המפעיל על שם ארגון ולבצע את כל השיחות באמצעותה. אם המרכזייה חסומה, ניתן יהיה פשוט לרשום אותה מחדש.

על על פי נציג של אחת הטלקום, אימות מנוי פשוט באמצעות אישורים אינו מספיק. כדי לעצור רמאים ודואר זבל, עליך לאפשר לספקים לחסום אוטומטית שיחות כאלה. אבל לשם כך, ועדת התקשורת תצטרך לפתח מערכת כללים חדשה שתסדיר את התהליך הזה. וה-FCC עשוי להתייחס לנושא הזה בעתיד הקרוב.

מתחילת השנה חברי קונגרס שוקלים הצעת חוק חדשה שתחייב את הנציבות לפתח מנגנונים להגנה על אזרחים מפני שיחות רובו ולפקח על יישום תקן SHAKEN/STIR.

/flickr/ ג'ק סם / CC BY

ראוי לציין ש-SHAKEN/STIR מוטמע ב-T-Mobile - עבור כמה דגמי סמארטפונים ומתכננים להרחיב את מגוון המכשירים הנתמכים - ו ורייזון - לקוחות המפעיל שלה יכולים להוריד אפליקציה מיוחדת שתזהיר על שיחות ממספרים חשודים. מפעילים אחרים בארה"ב עדיין בודקים את הטכנולוגיה. הם צפויים לסיים את הבדיקות עד סוף 2019.

מה עוד אפשר לקרוא בבלוג שלנו על Habré:

• הקרב על ניטרליות הרשת הוא סיכוי לקאמבק
• מצב: יפן עשויה להגביל את הורדת התוכן מהאינטרנט - בוא נבחן את זה ונדון בזה
• התקן החדש המבוסס על PCIe 5.0 "יקשר" את המעבד וה-GPU - מה שידוע עליו

מקור: www.habr.com