Verstat : comprendre le paramètre de statut de vérification STIR/SHAKEN

Vous ouvrez une trace SIP sur un appel entrant, et le voilà, sur la ligne P-Asserted-Identity : verstat=TN-Validation-Passed. Ou bien un client vous transfère une capture d’écran de son téléphone affichant « Verified Caller » et vous demande ce que l’opérateur a réellement vérifié. Dans les deux cas, tout ramène à la même petite donnée. Verstat est le paramètre de statut de vérification qu’un réseau de terminaison associe à un appel après avoir effectué le contrôle STIR/SHAKEN, et c’est ce qui se rapproche le plus d’une réponse en clair à la question « l’identité de l’appelant affichée pour cet appel a-t-elle passé la vérification STIR/SHAKEN ? »

Dans cet article, nous verrons ce qu’est verstat, d’où vient sa valeur, ce que signifie chacune de ses valeurs (y compris la mention « vérifié par l’opérateur » que voient les consommateurs) et en quoi il se distingue du niveau d’attestation et de la coche verte, avec lesquels on le confond sans cesse. Si vous gérez un SBC ou un softswitch et que vous cherchez à prendre des décisions de routage ou d’affichage à partir du résultat de la vérification, c’est ce paramètre que vous lisez.

Qu’est-ce que verstat ?

Verstat est un paramètre qui porte le résultat de la vérification STIR/SHAKEN d’un appel donné. Lorsqu’un fournisseur de terminaison reçoit un appel muni d’un en-tête Identity signé, il valide cette signature, puis consigne le résultat sous la forme d’une valeur verstat, afin que les systèmes en aval, et à terme le terminal de l’appelé, puissent en tenir compte.

Le paramètre est généralement transmis dans l’identité de l’appelant sur la branche de terminaison, le plus souvent ajouté à la partie utilisateur de l’en-tête P-Asserted-Identity (PAI), et il prend l’une des trois valeurs canoniques définies par la profession : TN-Validation-Passed, TN-Validation-Failed et No-TN-Validation. « TN » désigne le numéro de téléphone (telephone number) : les trois états se lisent donc « le numéro a été contrôlé et le contrôle a réussi », « le numéro a été contrôlé et le contrôle a échoué » et « aucun contrôle n’a eu lieu ». C’est tout le vocabulaire. Tout ce qu’un consommateur voit marqué « vérifié », comme tout ce sur quoi s’appuie une mention de spam, dépend de la chaîne, parmi ces trois, que le réseau de terminaison a inscrite.

L’essentiel à retenir : verstat est un résultat, pas une déclaration. Il est produit en bout de parcours, par le réseau qui remet l’appel à son destinataire, après qu’un contrôle cryptographique a réellement eu lieu. C’est cette distinction qui le sépare de l’attestation, dont nous parlerons plus loin.

D’où vient la valeur verstat

Pour voir d’où provient la valeur, suivez un appel du côté terminaison d’un déploiement STIR/SHAKEN.

Un appel signé arrive chez le fournisseur de terminaison avec un en-tête Identity. Cet en-tête contient le PASSporT, un jeton signé construit à l’origine à partir du numéro appelant, du numéro appelé et d’un horodatage, et défini dans le cadre qui s’appuie sur la RFC 8224. Le SBC de terminaison transmet cet en-tête Identity à un service de vérification (le STI-VS), qui contrôle trois points : la validité de la signature cryptographique, le rattachement de la chaîne de certificats à une autorité de confiance, et la fraîcheur du jeton, qui ne doit pas avoir été rejoué. Le service de vérification renvoie un résultat positif ou négatif, que le SBC traduit en une valeur verstat apposée sur l’appel avant de l’acheminer vers l’intérieur du réseau.

Si un appel arrive sans aucun en-tête Identity, il n’y a rien à valider, et le résultat est No-TN-Validation. Ce cas est courant aujourd’hui, car une grande partie du trafic provient encore de réseaux qui n’ont pas déployé la signature.

Les valeurs de verstat et leur signification

Il n’existe que trois valeurs, et chacune correspond à une situation précise.

Les deux dernières valeurs sont sans cesse confondues, et la différence compte. TN-Validation-Failed signifie que le réseau a tenté la vérification et que l’appel ne l’a pas passée : c’est un vrai signal de problème. No-TN-Validation signifie que le réseau n’a jamais rien eu à contrôler, ce qui reflète aujourd’hui surtout les lacunes du déploiement à l’échelle du secteur plutôt qu’une anomalie propre à cet appel. Traiter « pas de vérification » comme « vérification échouée » reviendrait à signaler un volume énorme de trafic légitime ; les politiques en aval traitent donc les deux cas très différemment.

C’est aussi là qu’intervient l’expression que les internautes recherchent. « Vérifié par l’opérateur » est la traduction grand public de TN-Validation-Passed. Lorsqu’un opérateur de terminaison associe un verstat positif à un badge « Verified Caller » ou à une coche sur le combiné, sa portée est étroite et mérite d’être précisée : l’opérateur a confirmé que l’appel a été signé par un fournisseur qui se porte garant de ce numéro appelant, et que cette signature a résisté au contrôle. Cela ne signifie pas que l’opérateur connaît personnellement l’appelant, que l’appel est souhaité, ni qu’il ne s’agit pas d’une arnaque émanant d’une entreprise légitimement titulaire de son numéro. Cela signifie que l’identité de l’appelant est authentique, et rien de plus.

Verstat, attestation et coche verte : ne pas confondre

Trois notions sont très proches dans STIR/SHAKEN, et les distinguer clairement dissipe l’essentiel de la confusion autour de verstat.

L’attestation est la déclaration que fait le fournisseur d’origine lorsqu’il signe l’appel. Il s’agit d’une seule lettre, A, B ou C, placée dans le champ attest du PASSporT, qui indique ce que le fournisseur d’origine sait de l’appelant : A signifie une connaissance complète, B une connaissance partielle, C une connaissance limitée à la passerelle. Le niveau d’attestation est fixé au début de la vie de l’appel, par le réseau d’où provient l’appel.

Verstat couvre le résultat que le fournisseur de terminaison consigne à l’autre bout. Il ne réévalue pas la lettre d’attestation ; il confirme si la signature qui porte cette lettre est valide sur le plan cryptographique. Un appel peut être signé au niveau A et revenir malgré tout TN-Validation-Failed si le certificat a expiré, tandis qu’un appel signé au niveau C passera sans difficulté la vérification tant que la signature est saine. L’attestation indique jusqu’où l’émetteur se porte garant ; verstat indique si cette garantie est arrivée intacte.

La coche verte, ou mention « Verified Caller », intervient au niveau de l’affichage. Elle s’appuie sur le résultat verstat sans pour autant se confondre avec lui. L’opérateur de terminaison décide comment présenter une vérification réussie à l’abonné, et il combine souvent le résultat verstat avec des analyses, des données de réputation et sa propre politique avant de choisir ce qu’il affiche. Un verstat positif peut tout de même apparaître sous un bandeau « Spam Risk » si le numéro appelant a mauvaise réputation, car la coche est une décision produit qui se superpose au résultat brut de la vérification.

Le modèle mental le plus clair est donc celui d’un relais : l’attestation est apposée à l’origine, verstat est consigné à la terminaison, et la coche est ce que l’opérateur choisit de montrer à l’utilisateur. Chacun passe le témoin au suivant, et chacun répond à une question différente.

Comment le résultat verstat oriente le routage et l’affichage

Dès que la valeur verstat figure sur l’appel, elle devient une donnée sur laquelle un réseau de terminaison peut agir. Elle sert généralement à deux choses.

La première est l’affichage. L’opérateur décide de ce que voit l’appelé, en utilisant le résultat verstat comme l’un des critères. Une vérification réussie peut déclencher un badge « Verified » ; un échec peut déclencher un avertissement ou un traitement « Scam Likely » ; et, selon l’opérateur, « No-TN-Validation » est généralement présenté de façon neutre, car pénaliser chaque appel non signé reviendrait à sanctionner le trafic légitime de réseaux qui n’ont pas encore achevé leur déploiement.

La seconde est le routage et l’application de politiques. Comme la valeur verstat se trouve dans un en-tête SIP, tout équipement capable de lire les en-têtes SIP peut s’en servir pour aiguiller l’appel. Sur un SBC programmable, c’est là que le résultat de la vérification cesse d’être informatif pour devenir opérationnel. Un moteur de routage configurable peut lire le paramètre verstat et appliquer une politique appel par appel : laisser passer directement les appels vérifiés, diriger les échecs vers une annonce ou un autre traitement, consigner chaque résultat dans les enregistrements de détail des appels (CDR) pour une analyse ultérieure, ou intégrer le résultat à une décision d’évaluation du risque de fraude aux côtés d’autres signaux. L’intérêt de placer cette logique dans la couche de routage, c’est qu’un seul SBC traitant un trafic mixte peut juger chaque appel au cas par cas au lieu d’appliquer une règle générale à toute une jonction.

Rien d’exotique là-dedans. C’est la conséquence naturelle d’un cadre STIR/SHAKEN qui appose un verdict lisible par machine sur chaque appel entrant. Le paramètre verstat est simplement le champ qui porte ce verdict, et c’est au réseau de décider quoi en faire.

Questions fréquentes

Conclusion

Verstat est un petit champ qui répond à une grande question : l’identité de l’appelant affichée pour cet appel a-t-elle passé le contrôle STIR/SHAKEN ? Il porte l’une de trois valeurs, il est inscrit par le réseau de terminaison après une véritable vérification cryptographique, et il se distingue à la fois de la lettre d’attestation fixée à l’origine et du badge « Verified Caller » que l’opérateur choisit d’afficher. Lu dans une trace, c’est le moyen le plus rapide de savoir si un appel entrant a été authentifié, a échoué à l’authentification ou n’a jamais été signé. Mis à profit dans un moteur de routage, il devient un levier de contrôle en temps réel sur la façon dont vous traitez le trafic entrant. Comprendre de bout en bout le fonctionnement de l’authentification et de la vérification STIR/SHAKEN, c’est ce qui fait de ce paramètre, simple curiosité dans un journal, un outil dont votre réseau peut se servir.