Qué es verstat: el parámetro de estado de verificación en llamadas STIR/SHAKEN

Abre la traza SIP de una llamada entrante y ahí está, en la línea P-Asserted-Identity: verstat=TN-Validation-Passed. O un cliente le reenvía una captura de pantalla de su teléfono en la que aparece “Verified Caller” y le pregunta qué comprobó realmente el operador. Ambas situaciones remiten al mismo pequeño dato. Verstat es el parámetro de estado de verificación que la red de terminación agrega a una llamada después de ejecutar la comprobación STIR/SHAKEN, y es lo más parecido a una respuesta en lenguaje llano a la pregunta “¿el identificador de llamada (caller ID) de esta llamada superó la verificación STIR/SHAKEN?”.

En este artículo veremos qué es verstat, de dónde sale su valor, qué significa cada valor (incluida la expresión “verificado por el operador” que ven los consumidores) y en qué se diferencia del nivel de atestación y de la marca de verificación verde, con los que se confunde constantemente. Si usted opera un SBC o un softswitch y quiere tomar decisiones de enrutamiento o de presentación a partir del resultado de la verificación, este es el parámetro que debe leer.

¿Qué es verstat?

Verstat es un parámetro que lleva el resultado de la verificación STIR/SHAKEN de una llamada concreta. Cuando un proveedor de servicios de terminación recibe una llamada con un encabezado Identity firmado, valida esa firma y luego registra el resultado como un valor de verstat, para que los sistemas posteriores y, en última instancia, el dispositivo del destinatario puedan actuar en consecuencia.

El parámetro suele viajar en la identidad del llamante en el tramo de terminación, casi siempre agregado a la parte de usuario del encabezado P-Asserted-Identity (PAI), y toma uno de tres valores canónicos definidos por la industria: TN-Validation-Passed, TN-Validation-Failed y No-TN-Validation. “TN” es el número de teléfono (telephone number), así que los tres estados se leen como “el número se validó y pasó”, “el número se validó y falló” y “no hubo validación”. Ese es todo el vocabulario. Todo lo que un consumidor ve como “verificado”, o lo que indica una etiqueta de spam, se remonta a cuál de esas tres cadenas escribió la red de terminación.

Lo importante es tener presente que verstat es un resultado, no una afirmación. Se produce al final del recorrido de la llamada, en la red que la entrega, después de que se ejecutó de verdad una comprobación criptográfica. Esa distinción es la que lo separa de la atestación, que veremos más adelante.

De dónde proviene verstat

Para ver dónde se origina el valor, siga una llamada por el lado de terminación de una implementación STIR/SHAKEN.

Una llamada firmada llega al proveedor de terminación con un encabezado Identity. Ese encabezado contiene el PASSporT, un token firmado que se genera al originarse la llamada a partir del número llamante, el número llamado y una marca de tiempo, definido en el marco basado en el RFC 8224. El SBC de terminación entrega ese encabezado Identity a un servicio de verificación (el STI-VS), que comprueba tres cosas: que la firma criptográfica sea válida, que la cadena de certificados se remonte a una autoridad de confianza y que el token sea reciente y no una repetición (replay). El servicio de verificación devuelve un resultado positivo o negativo, y el SBC traduce ese resultado en el valor de verstat que estampa en la llamada antes de entregarla hacia el interior de la red.

Si una llamada llega sin ningún encabezado Identity, no hay nada que validar y el resultado es No-TN-Validation. Esto es habitual hoy, porque una gran parte del tráfico todavía se origina en redes que no han implementado la firma.

Los valores de verstat y su significado

Solo hay tres valores, y cada uno corresponde a una condición clara.

El valor intermedio y el último se confunden constantemente, y la diferencia importa. TN-Validation-Failed significa que la red lo intentó y la llamada no pasó, lo que es una señal genuina de un problema. No-TN-Validation significa que la red nunca tuvo nada que comprobar, lo que hoy refleja sobre todo las brechas en la implementación a nivel de toda la industria y no un problema con esa llamada en particular. Tratar “sin validación” como “validación fallida” marcaría un volumen enorme de tráfico legítimo, por eso las políticas posteriores manejan ambos casos de forma muy distinta.

Aquí también entra la frase que la gente busca. “Verificado por el operador” es la forma en que se traduce para el consumidor un TN-Validation-Passed. Cuando un operador de terminación asocia un verstat aprobado a un distintivo “Verified Caller” o a una marca de verificación en el teléfono, el significado es acotado y conviene expresarlo con precisión: el operador confirmó que la llamada la firmó un proveedor que avala ese número llamante y que la firma resultó válida. No significa que el operador conozca personalmente a quien llama, que la llamada sea deseada ni que no se trate de una estafa de una empresa que es titular legítima de su número. Significa que el identificador de llamada es auténtico, y nada más.

Verstat frente a la atestación y la marca de verificación verde

En STIR/SHAKEN hay tres conceptos muy próximos entre sí, y distinguirlos bien elimina la mayor parte de la confusión en torno a verstat.

La atestación es la afirmación que hace el proveedor de origen cuando firma la llamada. Es una sola letra, A, B o C, colocada en el campo attest del PASSporT, e indica cuánto sabe el proveedor de origen sobre quien llama: A significa conocimiento completo; B, parcial; C, de nivel gateway. El nivel de atestación se fija al comienzo de la vida de la llamada, en la red de la que proviene.

Verstat abarca el resultado que el proveedor de terminación registra en el otro extremo. No vuelve a juzgar la letra de atestación; confirma si la firma que lleva esa letra es criptográficamente válida. Una llamada puede estar firmada con nivel A y aun así obtener TN-Validation-Failed si el certificado venció, y una llamada firmada con nivel C superará la verificación sin problema siempre que la firma sea correcta. La atestación se refiere a cuánto avala el origen a quien llama; verstat, a si ese aval llegó intacto al final del recorrido.

La marca de verificación verde, o la etiqueta “Verified Caller”, pertenece a la capa de presentación. Se apoya en el resultado de verstat, pero no es lo mismo. El operador de terminación decide cómo presentar al abonado una verificación aprobada, y a menudo combina el resultado de verstat con analítica, datos de reputación y su propia política antes de decidir qué mostrar. Un verstat aprobado puede terminar bajo un aviso “Spam Risk” si el número llamante tiene mala reputación, porque la marca de verificación es una decisión de producto que se superpone al resultado de verificación en bruto.

Así, el modelo mental más claro es el de una carrera de relevos: la atestación se estampa en el origen, verstat se registra en la terminación y la marca de verificación es lo que el operador decide mostrarle a la persona. Cada uno le pasa el testigo al siguiente, y cada uno responde a una pregunta distinta.

Cómo el resultado de verstat guía el enrutamiento y la presentación

Una vez que el valor de verstat está en la llamada, se convierte en un dato a partir del cual la red de terminación puede actuar. Por lo general, se usa para dos cosas.

La primera es la presentación. El operador decide qué ve el destinatario de la llamada y usa el resultado de verstat como uno de los factores. Una verificación aprobada puede dar lugar a un distintivo “Verified”; una fallida, a una advertencia o a un tratamiento del tipo “Scam Likely”; y, según el operador, “No-TN-Validation” suele mostrarse de forma neutral, porque penalizar cada llamada sin firmar castigaría el tráfico legítimo de redes que todavía están completando su implementación.

La segunda es el enrutamiento y la política. Como el valor de verstat llega en un encabezado SIP, cualquier dispositivo capaz de leer encabezados SIP puede tomar decisiones con base en él. En un SBC programable, ahí es donde el resultado de la verificación deja de ser informativo y pasa a ser operativo. Un motor de enrutamiento configurable puede leer el parámetro verstat y aplicar una política por llamada: dejar pasar directamente las llamadas verificadas, enviar las fallidas a un anuncio u otro tratamiento de política, etiquetarlo todo en los registros de detalle de llamada (CDR) para analizarlo después, o incorporar el resultado a una decisión de puntuación de fraude junto con otras señales. La ventaja de poner esta lógica en la capa de enrutamiento es que un solo SBC que maneja tráfico mixto puede tratar cada llamada según sus propias características, en lugar de aplicar una regla general a toda una troncal.

Nada de esto es exótico. Es la consecuencia natural de que STIR/SHAKEN coloque un veredicto legible por máquina en cada llamada entrante. El parámetro verstat es simplemente el campo que transporta ese veredicto, y la tarea de la red es decidir qué hacer con él.

Preguntas frecuentes

Conclusión

Verstat es un campo pequeño que responde a una gran pregunta: ¿el identificador de esta llamada superó su comprobación STIR/SHAKEN? Lleva uno de tres valores, lo escribe la red de terminación después de una verificación criptográfica real y es distinto tanto de la letra de atestación fijada en el origen como del distintivo “Verified Caller” que el operador decide mostrar. Leído en una traza, es la forma más rápida de ver si una llamada entrante se autenticó, no superó la autenticación o nunca se firmó. Aplicado en un motor de enrutamiento, se convierte en un control activo sobre cómo trata usted el tráfico entrante. Entender de principio a fin cómo funcionan la autenticación y la verificación STIR/SHAKEN es lo que convierte ese parámetro, de una simple curiosidad en los logs, en algo que su red puede aprovechar.