Американските телекоми ќе се натпреваруваат со телефонски спам

Во Соединетите Американски Држави, технологијата за автентикација на претплатници - протоколот SHAKEN/STIR - добива на интензитет. Ајде да зборуваме за принципите на неговото работење и потенцијалните тешкотии при имплементацијата.

/фликр/ Марк Фишер / CC BY-SA

Проблем со повиците

Несаканите роботски повици се најчеста причина за поплаки на потрошувачите до Федералната трговска комисија. Во 2016 година организацијата сними пет милиони посети, една година подоцна оваа бројка надмина седум милиони.

Ваквите спам повици одземаат повеќе од времето на луѓето. Услугите за автоматско повикување се користат за изнудување пари. Според YouMail, во септември минатата година, 40% од четирите милијарди роботски повици биле извршени од измамници. Во текот на летото 2018 година, њујорчани загубија околу три милиони долари во трансфери на криминалци кои ги повикаа во име на властите и изнудуваа пари.

За проблемот беше обрнато внимание на Федералната комисија за комуникации на САД (FCC). Претставници на организацијата даде изјава, кој бараше од телекомуникациските компании да спроведат решение за борба против телефонскиот спам. Ова решение беше протоколот SHAKEN/STIR. Во март беше заеднички тестиран потрошени AT&T и Comcast.

Како функционира протоколот SHAKEN/STIR

Телеком операторите ќе работат со дигитални сертификати (тие се изградени врз основа на криптографија со јавен клуч), што ќе им овозможи да ги проверуваат повикувачите.

Постапката за верификација ќе продолжи на следниов начин. Прво, операторот на лицето што го прави повикот добива барање SIP ПОКАНЕТЕ да воспоставите врска. Услугата за автентикација на давателот ги проверува информациите за повикот - локација, организација, податоци за уредот на повикувачот. Врз основа на резултатите од верификацијата, на повикот му е доделена една од трите категории: А - сите информации за повикувачот се познати, Б - организацијата и локацијата се познати и В - се знае само географската локација на претплатникот.

По ова, операторот додава порака со временски печат, категорија на повици и врска до електронскиот сертификат во заглавието на барањето INVITE. Еве пример за таква порака од складиштето на GitHub еден од американските телекомуникации:

{
	"alg": "ES256",
        "ppt": "shaken",
        "typ": "passport",
        "x5u": "https://cert-auth.poc.sys.net/example.cer"
}

{
        "attest": "A",
        "dest": {
          "tn": [
            "1215345567"
          ]
        },
        "iat": 1504282247,
        "orig": {
          "tn": "12154567894"
        },
        "origid": "1db966a6-8f30-11e7-bc77-fa163e70349d"
}

Следно, барањето оди до провајдерот на повиканиот претплатник. Вториот оператор ја дешифрира пораката користејќи го јавниот клуч, ја споредува содржината со SIP INVITE и ја потврдува автентичноста на сертификатот. Само по ова се воспоставува врска помеѓу претплатниците, а страната „примач“ добива известување за тоа кој го повикува.

Целиот процес на верификација може да се прикаже на следниот дијаграм:

Според експертите, проверка на повикувачот ќе земе не повеќе од 100 милисекунди.

Мислења

Како забележано во здружението USTelecom, SHAKEN/STIR ќе им даде на луѓето поголема контрола врз повиците што ги добиваат - што ќе им олесни да одлучат дали да го подигнат телефонот.

Прочитајте на нашиот блог:

• Ботнет „спами“ преку рутери: што треба да знаете
• DDOS и 5G: подебела „цевка“ - повеќе проблеми

Но, постои консензус во индустријата дека протоколот нема да биде сребрен куршум. Експертите велат дека измамниците едноставно ќе користат решенија. Спамерите ќе можат да регистрираат „лажна“ PBX во мрежата на операторот на име на организацијата и да ги прават сите повици преку неа. Ако PBX е блокиран, ќе биде можно едноставно повторно да се регистрирате.

На според претставник на еден од телекомуникациите, едноставната верификација на претплатникот со користење на сертификати не е доволна. За да ги спречите измамниците и спамерите, треба да им дозволите на провајдерите автоматски да ги блокираат таквите повици. Но, за да го направи ова, Комисијата за комуникации ќе треба да развие нов сет на правила кои ќе го регулираат овој процес. И FCC може да го преземе ова прашање во блиска иднина.

Од почетокот на годината конгресмени размислуваат нов предлог-закон кој ќе ја обврзе Комисијата да развие механизми за заштита на граѓаните од роботски повици и да го следи спроведувањето на стандардот SHAKEN/STIR.

/фликр/ Џек Сем / CC BY

Вреди да се напомене дека ПОТРЕСЕН/МЕШАЊЕ имплементирани во T-Mobile - за некои модели на паметни телефони и планови за проширување на опсегот на поддржани уреди - и Веризон — неговите операторски клиенти можат да преземат специјална апликација која ќе предупредува за повици од сомнителни броеви. Другите американски оператори сè уште ја тестираат технологијата. Се очекува да го завршат тестирањето до крајот на 2019 година.

Што друго да прочитате во нашиот блог на Хабре:

• Битката за неутралност на мрежата е шанса за камбек
• Ситуација: Јапонија може да го ограничи преземањето содржина од мрежата - разбираме и дискутираме
• Новиот стандард базиран на PCIe 5.0 ќе ги „поврзе“ процесорот и графичкиот процесор - што се знае за него

Извор: www.habr.com