STIR/SHAKEN

STIR/SHAKEN es un conjunto de estándares interconectados diseñados para autenticar la identidad del llamante en redes de voz. STIR (Secure Telephone Identity Revisited) define cómo crear y verificar tokens de identidad criptográficos adjuntos a llamadas SIP. SHAKEN (Signature-based Handling of Asserted information using toKENs) especifica cómo los proveedores de servicios de voz implementan STIR dentro de sus redes. En conjunto, permiten que un proveedor de servicios de destino verifique que el número llamante en una llamada entrante ha sido atestiguado por el proveedor de servicios de origen, dando a la parte llamada una razón para confiar en el identificador de llamadas que aparece en su teléfono.

Cuando un proveedor de servicios de origen firma una llamada, asigna uno de tres niveles de atestación en función de cuánto conoce sobre el llamante. Atestación completa (A) significa que el proveedor ha autenticado a la parte llamante y confirmado que está autorizada a utilizar el número de origen. Atestación parcial (B) significa que el proveedor sabe dónde se originó la llamada dentro de su red, pero no ha verificado el derecho del llamante a utilizar ese número específico. Atestación de gateway (C) significa que la llamada ingresó a la red del proveedor desde una fuente externa o no confiable, como un gateway internacional, y el proveedor no puede verificar la identidad del llamante. Las llamadas con atestación completa son las más confiables y las menos propensas a ser marcadas o bloqueadas por las analíticas posteriores.

En Estados Unidos, sí. La TRACED Act (2019) y las órdenes subsiguientes de la FCC exigen que los proveedores de servicios de voz implementen STIR/SHAKEN en las porciones IP de sus redes. Los grandes operadores debían cumplir antes de junio de 2021, y los proveedores más pequeños recibieron plazos extendidos con requisitos de mitigación provisionales. La regla de certificado propio de la FCC exige además que los proveedores de origen obtengan sus propios certificados STI en lugar de depender de los operadores upstream. Otros países están adoptando marcos similares: Canadá implementó STIR/SHAKEN a través de la CRTC, Francia ha introducido requisitos de autenticación de llamantes y la ANATEL de Brasil está desarrollando regulaciones equivalentes.

Cuando se realiza una llamada, el SBC del proveedor de servicios de origen envía los detalles de la llamada (número llamante, número llamado y marca de tiempo) a un servicio de autenticación (STI-AS). El servicio de autenticación crea un PASSporT (Personal Assertion Token), un objeto JSON firmado digitalmente que contiene estas declaraciones más el nivel de atestación, y lo devuelve como un encabezado SIP Identity. El SBC adjunta este encabezado al SIP INVITE saliente. Cuando la llamada llega al proveedor de destino, su SBC extrae el encabezado Identity y lo envía a un servicio de verificación (STI-VS), que recupera el certificado público del proveedor de origen, valida la firma y devuelve un estado de verificación. El proveedor de destino puede entonces mostrar un indicador de confianza a la parte llamada o aplicar analíticas adicionales.

Las redes de Multiplexación por División de Tiempo (TDM) no pueden transportar encabezados SIP Identity de forma nativa, ya que utilizan señalización SS7 en lugar de SIP. Sin embargo, un enfoque STIR/SHAKEN fuera de banda resuelve este problema. Un media gateway en la red TDM de origen convierte la llamada a SIP, envía la información de la llamada a un servicio de autenticación como TransNexus ClearIP, y el token de identidad firmado se publica en un Call Placement Service. En el extremo de destino, un media gateway recupera y verifica el token del Call Placement Service cuando llega la llamada. TelcoBridges admite este enfoque fuera de banda utilizando media gateways Tmedia junto con ClearIP, lo que permite a los proveedores de servicios con redes híbridas SIP/TDM implementar STIR/SHAKEN en toda su infraestructura.

Un certificado STI (Secure Telephone Identity) es la credencial digital que autoriza a un proveedor de servicios a firmar llamadas con STIR/SHAKEN. Funciona como un pasaporte digital: el servicio de autenticación utiliza la clave privada del proveedor (asociada al certificado) para firmar los tokens PASSporT, y los proveedores de destino utilizan la clave pública correspondiente para verificar esas firmas. En Estados Unidos, los certificados STI son emitidos por autoridades de certificación STI (STI-CA) autorizadas por el administrador de políticas STI (STI-PA), actualmente gestionado por el consorcio industrial iconnectiv. Los proveedores deben ser verificados y acreditados antes de recibir un certificado, y el STI-PA puede revocar certificados de proveedores que se determine que originan tráfico ilegal.

ProSBC se integra con servicios de autenticación y verificación de terceros, principalmente TransNexus ClearIP y Neustar, para brindar firma y verificación STIR/SHAKEN. En el patrón de despliegue en producción, ProSBC enruta las llamadas a través de un grupo de troncales dedicado (NAP) configurado para comunicarse con el servicio de firma mediante SIP. El servicio de firma actúa como un servidor SIP de redirección: evalúa la llamada, asigna un nivel de atestación, crea el encabezado Identity y lo devuelve a ProSBC, que adjunta el encabezado al INVITE saliente. Para la verificación, el mismo patrón funciona a la inversa. Esta arquitectura permite que ProSBC agregue STIR/SHAKEN a una red de voz existente sin requerir cambios en el softswitch o PBX upstream. Para una guía paso a paso, consulte la guía de implementación de STIR/SHAKEN con SBC.

No. STIR/SHAKEN autentica la identidad del llamante; no bloquea llamadas por sí solo. Una llamada verificada solo indica al proveedor de destino que el número llamante fue atestiguado por un proveedor de servicios conocido, no que la llamada sea deseada. Las llamadas automáticas legales (recordatorios de citas, cierres de escuelas, alertas de emergencia) llevan una atestación válida y no deben ser bloqueadas. El valor de STIR/SHAKEN radica en posibilitar mejores analíticas: las llamadas sin atestación o con baja atestación pueden ser evaluadas, marcadas o redirigidas a servicios de filtrado. Las llamadas con identificadores de llamante falsificados fallarán la verificación por completo, lo que facilita su identificación y bloqueo. Con el tiempo, a medida que la adopción aumenta y las analíticas mejoran, el marco hace que las llamadas automáticas ilegales sean progresivamente más difíciles y costosas para los actores maliciosos.

Una llamada que llega sin un encabezado SIP Identity simplemente no tiene estado de verificación STIR/SHAKEN. El proveedor de destino puede mostrar un indicador de “No verificado” o aplicar un escrutinio adicional mediante analíticas de reputación y puntuación de llamadas. Las llamadas no verificadas no se bloquean automáticamente, pero reciben una puntuación de confianza menor que las llamadas verificadas. Las razones comunes para la ausencia de atestación incluyen llamadas originadas por proveedores que aún no han implementado STIR/SHAKEN, llamadas que atraviesan gateways internacionales (donde la infraestructura STIR/SHAKEN puede no existir) y llamadas desde redes TDM que carecen de una implementación de firma fuera de banda. A medida que pasan los plazos regulatorios y aumenta la adopción, la proporción de llamadas no verificadas está disminuyendo.

Sí. Una de las principales ventajas de una implementación STIR/SHAKEN basada en SBC es que el SBC se inserta en la ruta de llamadas en el borde de la red sin requerir cambios en su softswitch, PBX o infraestructura central. ProSBC se ubica entre su equipo existente y la red externa, gestiona el intercambio de autenticación y verificación con el servicio de firma, y transmite las llamadas con el encabezado Identity adjunto. Para redes TDM, un media gateway Tmedia proporciona la misma funcionalidad en el límite TDM/IP. Tanto los despliegues SIP como TDM pueden escalar de forma incremental, comenzando con un solo grupo de troncales y expandiéndose según sea necesario.