STIR/SHAKEN

STIR/SHAKEN é um conjunto de padrões interconectados projetados para autenticar a identidade do chamador em redes de voz. STIR (Secure Telephone Identity Revisited) define como criar e verificar tokens de identidade criptográficos anexados a chamadas SIP. SHAKEN (Signature-based Handling of Asserted information using toKENs) especifica como os provedores de serviço de voz implementam o STIR em suas redes. Juntos, permitem que um provedor de serviço terminante verifique que o número chamador em uma chamada recebida foi atestado pelo provedor de serviço originante, dando à parte chamada um motivo para confiar no Caller ID exibido em seu telefone.

Quando um provedor de serviço originante assina uma chamada, ele atribui um dos três níveis de atestação com base no quanto conhece sobre o chamador. Full Attestation (A) significa que o provedor autenticou a parte chamadora e confirmou que ela está autorizada a usar o número chamador. Partial Attestation (B) significa que o provedor sabe de onde a chamada se originou dentro de sua rede, mas não verificou o direito do chamador de usar aquele número específico. Gateway Attestation (C) significa que a chamada entrou na rede do provedor a partir de uma fonte externa ou não confiável, como um gateway internacional, e o provedor não pode verificar a identidade do chamador. Chamadas com Full Attestation são as mais confiáveis e menos propensas a serem sinalizadas ou bloqueadas pela análise downstream.

Nos Estados Unidos, sim. O TRACED Act (2019) e as ordens subsequentes da FCC exigem que os provedores de serviço de voz implementem o STIR/SHAKEN nas porções IP de suas redes. Grandes operadoras foram obrigadas a cumprir até junho de 2021, e provedores menores receberam prazos estendidos com requisitos de mitigação provisórios. A regra de certificado próprio da FCC exige ainda que os provedores originantes obtenham seus próprios certificados STI em vez de depender de operadoras upstream. Outros países estão adotando frameworks semelhantes: o Canadá implementou o STIR/SHAKEN por meio do CRTC, a França introduziu requisitos de autenticação de chamadores, e a ANATEL do Brasil está desenvolvendo regulamentações equivalentes.

Quando uma chamada é realizada, o SBC do provedor de serviço originante envia os detalhes da chamada (número chamador, número chamado e timestamp) para um serviço de autenticação (STI-AS). O serviço de autenticação cria um PASSporT (Personal Assertion Token), um objeto JSON assinado digitalmente contendo essas declarações mais o nível de atestação, e o retorna como um SIP Identity header. O SBC anexa esse header ao SIP INVITE de saída. Quando a chamada chega ao provedor terminante, o SBC deste extrai o Identity header e o envia a um serviço de verificação (STI-VS), que recupera o certificado público do provedor originante, valida a assinatura e retorna um status de verificação. O provedor terminante pode então exibir um indicador de confiança para a parte chamada ou aplicar análises adicionais.

Redes TDM (Time Division Multiplexing) não podem transportar SIP Identity headers nativamente, uma vez que utilizam sinalização SS7 em vez de SIP. No entanto, uma abordagem out-of-band de STIR/SHAKEN resolve isso. Um media gateway na rede TDM originante converte a chamada para SIP, envia as informações da chamada para um serviço de autenticação como o TransNexus ClearIP, e o token de identidade assinado é publicado em um Call Placement Service. Na ponta terminante, um media gateway recupera e verifica o token do Call Placement Service quando a chamada chega. A TelcoBridges suporta essa abordagem out-of-band utilizando Tmedia media gateways junto com o ClearIP, permitindo que provedores de serviço com redes híbridas SIP/TDM implementem o STIR/SHAKEN em toda a sua infraestrutura.

Um certificado STI (Secure Telephone Identity) é a credencial digital que autoriza um provedor de serviço a assinar chamadas com STIR/SHAKEN. Funciona como um passaporte digital: o serviço de autenticação usa a chave privada do provedor (associada ao certificado) para assinar tokens PASSporT, e os provedores terminantes usam a chave pública correspondente para verificar essas assinaturas. Nos Estados Unidos, os certificados STI são emitidos por Autoridades Certificadoras STI (STI-CAs) que são autorizadas pelo Administrador de Políticas STI (STI-PA), atualmente gerenciado pelo consórcio da indústria iconnectiv. Os provedores devem ser verificados e credenciados antes de receber um certificado, e o STI-PA pode revogar certificados de provedores que estejam originando tráfego ilegal.

O ProSBC se integra com serviços de autenticação e verificação de terceiros, principalmente TransNexus ClearIP e Neustar, para fornecer assinatura e verificação STIR/SHAKEN. No padrão de implantação em produção, o ProSBC roteia chamadas por meio de um trunk group dedicado (NAP) configurado para se comunicar com o serviço de assinatura via SIP. O serviço de assinatura atua como um servidor de redirecionamento SIP: avalia a chamada, atribui um nível de atestação, cria o Identity header e o retorna ao ProSBC, que anexa o header ao INVITE de saída. Para verificação, o mesmo padrão funciona ao inverso. Essa arquitetura significa que o ProSBC pode adicionar STIR/SHAKEN a uma rede de voz existente sem exigir alterações no softswitch ou PBX upstream. Para um guia passo a passo, consulte o guia de implementação de STIR/SHAKEN para SBC.

Não. O STIR/SHAKEN autentica a identidade do chamador; ele não bloqueia chamadas por si só. Uma chamada verificada apenas informa ao provedor terminante que o número chamador foi atestado por um provedor de serviço conhecido, não que a chamada é desejada. Robocalls legais (lembretes de consultas, fechamento de escolas, alertas de emergência) possuem atestação válida e não devem ser bloqueados. O valor do STIR/SHAKEN está em possibilitar uma análise melhor: chamadas sem atestação ou com atestação baixa podem ser classificadas, sinalizadas ou encaminhadas para serviços de triagem. Chamadas com Caller IDs forjados falharão completamente na verificação, tornando-as fáceis de identificar e bloquear. Com o tempo, à medida que a adoção aumenta e a análise melhora, o framework torna os robocalls ilegais progressivamente mais difíceis e caros para os maus atores.

Uma chamada que chega sem um SIP Identity header simplesmente não possui status de verificação STIR/SHAKEN. O provedor terminante pode exibir um indicador “Não verificado” ou aplicar escrutínio adicional por meio de análise de reputação e pontuação de chamadas. Chamadas não verificadas não são bloqueadas automaticamente, mas recebem uma pontuação de confiança mais baixa do que chamadas verificadas. Razões comuns para a ausência de atestação incluem chamadas originadas de provedores que ainda não implementaram o STIR/SHAKEN, chamadas que atravessam gateways internacionais (onde a infraestrutura STIR/SHAKEN pode não existir) e chamadas de redes TDM que carecem de uma implementação de assinatura out-of-band. À medida que os prazos regulatórios expiram e a adoção aumenta, a proporção de chamadas não verificadas está diminuindo.

Sim. Uma das principais vantagens de uma implementação de STIR/SHAKEN baseada em SBC é que o SBC se insere no caminho da chamada na borda da rede sem exigir alterações no seu softswitch, PBX ou infraestrutura central. O ProSBC fica entre seus equipamentos existentes e a rede externa, gerencia a troca de autenticação e verificação com o serviço de assinatura, e encaminha as chamadas com o Identity header anexado. Para redes TDM, um Tmedia media gateway fornece a mesma funcionalidade na fronteira TDM/IP. Tanto implantações SIP quanto TDM podem escalar incrementalmente, começando com um único trunk group e expandindo conforme necessário.