RÜHREN/SCHÜTTELN, Ein Kommunikationssicherheitsrahmen wurde als Reaktion auf wachsende Bedenken hinsichtlich der Verbreitung und Auswirkungen unerwünschter Anrufe in Telekommunikationsnetzen eingeführt. Es wird geschätzt, dass jeden Monat zwischen 3 und 5 Milliarden „Robocalls“ getätigt werden – und dass über 40 % dieser Kommunikation irgendwie mit Betrug in Zusammenhang steht.
[Bildquelle: magna5global.com]
Um sie bei ihren Bemühungen zu unterstützen, Zugang zu wertvollen Informationen oder finanziellen Vermögenswerten zu erhalten, greifen kriminelle Akteure oft auf eine Technik zurück, die als Spoofing bekannt ist. Hier verwenden sie verschiedene Methoden, um den offensichtlichen Ursprung ihrer ausgehenden Anrufe zu ändern, in der Hoffnung, den Empfänger dazu zu bringen, einen Anruf zu beantworten, von dem sie glauben, dass er von einem bekannten Ort, einer bekannten Person oder Institution stammt.
Am milderen Ende der Skala kann eine solche Täuschung dem Täter helfen, ein offenes Ohr für eine Werbekampagne oder eine Umfrage zur Informationsbeschaffung zu gewinnen. In schwerwiegenderen Fällen kann Spoofing von Betrügern und Kriminellen verwendet werden, um Anrufempfänger dazu zu bringen, Gelder freizugeben oder vertrauliche Daten preiszugeben.
[Bildquelle: ftc.gov]
Die Federal Communications Commission (FCC) befürwortet seit 2014 Initiativen zur Eindämmung dieser Art von Aktivitäten. Als Reaktion darauf hat die Telekommunikationsbranche das Kommunikationssicherheitsframework und den Technologiestandard STIR/SHAKEN entwickelt.
Tatsächlich hat die FCC am 30. Juni 2021 Regeln verabschiedet, die von Telekommunikationsdienstanbietern verlangen, eine STIR/SHAKEN-Lösung einzusetzen – es ist also definitiv etwas Wissenswertes.
Was bedeutet RÜHREN/GESCHÜTTELT?
STIR/SHAKEN ist ein zusammengesetztes Akronym. Der STIR-Teil leitet sich von den Anfangsbuchstaben von Secure Telephony Identity Revisited ab und stellt eine Absichtserklärung darüber dar, was das Technologie-Framework erreichen soll.
SHAKEN ist ein Konstrukt aus dem Ausdruck Secure Handling of Asserted Information Using toKENs. Dies weist auf die digitale Methodik hin, die bei der Verwaltung von Kommunikationsdaten unter dem STIR/SHAKEN-Protokoll verwendet wird.
Abgesehen von der Bezeichnung ist STIR eigentlich eine Arbeitsgruppe innerhalb eines Internet-Standardisierungsgremiums namens IETF (Internet Engineering Task Force). Diese Organisation hat eine Reihe von Protokollen entwickelt, die zum Erstellen digitaler Signaturen für Telefongespräche verwendet werden. SHAKEN umfasst die Standards, die festlegen, wie STIR von Telekommunikationsdienstleistern in ihren Netzwerken eingesetzt werden soll. Es wurde offiziell von der Allianz für Lösungen der Telekommunikationsindustrie (ATIS) und ist vom American National Standards Institute (ANSI) akkreditiert.
Grundprinzipien von STIR/SHAKEN
Die STIR-Arbeitsgruppe verfügt über eine Charta, die sie dazu verpflichtet, Mechanismen zu definieren, die die Überprüfung der Berechtigung eines Anrufers zur Verwendung einer bestimmten Telefonnummer ermöglichen.
Um dies zu erreichen, verwendet das STIR/SHAKEN-Framework digitale Zertifikate, um die Sicherheit der Ursprungsnummer für einen Telefonanruf zu gewährleisten. Diese Zertifikate basieren auf den Techniken der Common-Public-Key-Kryptografie, bei der jeder Dienstanbieter ein digitales Zertifikat von einer Zertifizierungsstelle erwerben muss, der andere Telefondienstanbieter vertrauen.
[Bildquelle: getvoip.com]
Im Wesentlichen ermöglicht die kryptografische Zertifikatstechnologie der Partei, die einen Anruf erhält, zu überprüfen, ob die anrufende Nummer korrekt ist und nicht gefälscht wurde. Bei einem STIR/SHAKEN-Anruf unterschreibt (oder bestätigt) der ursprüngliche Dienstanbieter seine Beziehung zum Anrufer und sein Recht, die anrufende Nummer zu verwenden.
Innerhalb der Session Initiation Protocol (SIP) einer digitalen Sprachkommunikation bietet STIR die Möglichkeit, die Anrufer-ID zu authentifizieren. Das SHAKEN-Protokoll definiert die End-to-End-Architektur, die zur Implementierung der Anrufer-ID-Authentifizierung mithilfe von STIR im Telefonnetz erforderlich ist.
Ein typischer RÜHREN/SCHÜTTELN-Workflow
Wenn jemand einen Anruf einleitet, sendet der Anrufer eine SIP-INVITE, die an den ursprünglichen Dienstanbieter gesendet wird. Nach dem Empfang überprüft der Anbieter die Quelle des Anrufs und die anrufende Nummer, um deren Attestierungsstufe zu ermitteln. Normalerweise stehen drei Optionen zur Verfügung:
- Bei der vollständigen oder „A“-Bestätigung weiß der Dienstanbieter, wer der Kunde ist, und kann für sein Recht bürgen, eine bestimmte Telefonnummer zu verwenden.
- Bei der teilweisen oder „B“-Bestätigung kennt der Dienstanbieter den Kunden, kennt aber nicht die Quelle der Telefonnummer.
- Bei der Gateway- oder „C“-Bestätigung kann der Dienstanbieter die Quelle eines Anrufs (die beispielsweise ein internationales Gateway sein kann) nicht authentifizieren – obwohl der Dienstanbieter den Anruf in das Netzwerk einleitet.
Der ursprüngliche Dienstanbieter verwendet einen Authentifizierungsdienst, um einen verschlüsselten SIP-Identitätsheader zu erstellen. Dieses besteht aus mehreren Elementen, darunter:
- Die Nummer, von der der Anruf kommt
- Die Empfangsnummer
- Das aktuelle Datum und ein Zeitstempel des Anrufs
- Die Beglaubigungsebene
- Eine eindeutige Ursprungskennung, die bei der Rückverfolgung des Anrufs hilft
Danach werden die SIP-Einladung und der SIP-Identitäts-Header an den abschließenden Anbieter gesendet, der die SIP-Einladung an einen Verifizierungsdienst weiterleitet. Wenn der Anruf erfolgreich verifiziert wird, trifft der terminierende Anbieter eine endgültige Entscheidung darüber, ob der Anruf abgeschlossen oder blockiert wird. Bei dieser Entscheidung berücksichtigen sie die Bestätigungsstufe sowie andere Faktoren, wie z. B. relevante Informationen, die in ihren eigenen Anrufanalysen enthalten sind.
Wie es im Detail funktioniert
Hinter den Kulissen besteht eine typische STIR/SHAKEN-Implementierung aus mehreren Komponenten. Sie beinhalten:
Der STI-Authentifizierungsserver (STI-AS): Dies stellt eine als REST-API bekannte Anwendungsprogrammierschnittstelle bereit, die für das Signieren von Anforderungen verantwortlich ist. Dazu hat die API Zugriff auf private Schlüssel im SKS (Secure Key Store).
Der STI-Verifikationsserver (STI-VS): Dadurch wird die REST-API bereitgestellt, die bei der Verarbeitung von Verifizierungsanfragen eine Rolle spielt. Diese API ruft auch öffentliche Schlüssel aus dem öffentlichen Internet ab, indem sie die in der Verifizierungsanforderung enthaltene URL verwendet.
Der Authentifikator: Dies ist die Komponente im Trägernetzwerk, die die Authentifizierungs- und Signaturdienste aufruft, um digitale Signaturen zu erstellen und zu verifizieren.
Der sichere Schlüsselspeicher (SKS): Da jeder private Schlüssel, der bei der STIR/SHAKEN-Verifizierung verwendet wird, ein Geheimnis ist, das nur dem Träger bekannt ist, der den Anruf unterzeichnet, ist es wichtig, diese Vermögenswerte zu schützen. Das SKS dient hierfür als sicherer Aufbewahrungsort. Es stellt auch die privaten Schlüssel bereit, wie sie von der STI-AS beim Signieren von Anforderungen verwendet werden.
Das STI Certificate Repository (STI-CR): Dieser sichere Webserver hostet öffentliche Zertifikate und kann von Dienstanbietern über das öffentliche Internet aufgerufen werden. Jeder Dienstanbieter mit privaten SHAKEN-Schlüsseln in einem sicheren Schlüsselspeicher sollte ein entsprechendes STI-CR haben, in dem seine öffentlichen Zertifikate veröffentlicht werden.
Der Schlüsselverwaltungsserver (SP-KMS): Dies bietet eine automatisierte Zertifikats- und Schlüsselverwaltung und erfüllt eine Reihe von Funktionen. Das SP-KMS fordert und empfängt ein Token von der STI-PA über eine HTTP-Schnittstelle, zusätzlich zum Anfordern eines STI-Zertifikats von der STI-CA. Es generiert auch ein privates und ein öffentliches Schlüsselpaar zum Signieren und Verifizieren und speichert sie jeweils im SKS und im STI-CR.
Aktuelle und zukünftige Anwendungen von STIR/SHAKEN
Mit der zunehmenden Verbreitung von STIR/SHAKEN werden Echtzeit-Analysesysteme besser in der Lage sein, zwischen gefälschten und echten Anrufen zu unterscheiden, und sie werden besser in der Lage sein, fehlerhafte Kommunikation herauszufiltern, die das Telefonerlebnis für Netzwerkteilnehmer beeinträchtigen kann.
STIR/SHAKEN hat auch das Potenzial, eine standardisierte Methode zur Rückverfolgung der Herkunft von Anrufen bereitzustellen. Dies war bisher angesichts der Anzahl unterschiedlicher Netzwerke und Verbindungen, die typischerweise beteiligt sind, schwierig zu erreichen. STIR/SHAKEN enthält jedoch eine standardisierte Verfolgungsfunktion, die den Ursprungspunkt eines Anrufs in jedem Netzwerk darstellt. Dies eröffnet die Möglichkeit, den Rückverfolgungsprozess zu rationalisieren.
In Zukunft könnte die Übernahme von STIR/SHAKEN es auch ermöglichen, irgendeine Form von standardisierter Anzeige zu schaffen, die Anrufempfängern bestätigt, dass die Anrufer-ID der Partei, die einen eingehenden Anruf einleitet, vollständig verifiziert wurde. Dies könnte beispielsweise eine Anzeige des Anrufernamens und des Anrufzwecks sein.
Stir/Shook ab November 2024
Hier sind einige der neuesten Updates zu STIR/SHAKEN ab November 2024:
- Aktualisierungen der FCC-Vorschriften:
- Die FCC verfeinert die STIR/SHAKEN-Vorschriften, um die Integrität des Rahmens zu verbessern, insbesondere wenn Dienstanbieter bei der Implementierung auf Dritte angewiesen sind. Ziel ist es, nicht ordnungsgemäß authentifizierte Anrufe einzudämmen und die Verantwortlichkeit im Authentifizierungsprozess der Anrufer-ID zu stärken.
- Erweiterte Verpflichtungen verlangen nun von allen Anbietern, einschließlich Zwischen- und Nicht-Gateway-Anbietern, die Teilnahme an der Robocall-Mitigation-Datenbank, in der Praktiken zur Blockierung illegaler Robocalls detailliert beschrieben und Verfahren zur Ermittlung Ihres Upstream-Anbieters beschrieben werden. Diese Maßnahmen verbessern die Rückverfolgbarkeit und Durchsetzung.
- Beteiligung und Wirksamkeit:
- Die Teilnahme an STIR/SHAKEN nimmt weiter zu. Im Oktober 2024 stieg die Zahl der im Rahmen des Rahmenwerks autorisierten Anbieter um 2.3 %, und der Anteil signierter Anrufe blieb bei der Beendigung stabil bei knapp 50 %.
- Während der Prozentsatz der Anrufe mit vollständiger Bescheinigung der Stufe A leicht zurückging, gab es bei den Bescheinigungen der Stufen B und C geringfügige Anstiege, was auf eine Änderung bei der Signierung der Anrufe hindeutet.
- Robocall-Trends:
- Trotz der gestiegenen Teilnahme ist die Zahl der Robocalls, die von produktiven Robocall-Unterzeichnern mit A-Zertifikat signiert wurden, nach wie vor hoch; sie machten im Oktober 58.3 2024 % dieser Anrufe aus.
- Die FCC hat strengere Durchsetzungsinstrumente eingeführt, darunter Strafen pro Anruf und eine beschleunigte Entfernung aus der Robocall-Mitigation-Datenbank bei Nichteinhaltung.
Diese Updates unterstreichen die laufenden Bemühungen, die Anrufauthentifizierung zu verbessern, Robocalls zu reduzieren und die Einhaltung der Vorschriften in der gesamten Telekommunikationsbranche sicherzustellen. Weitere Einzelheiten finden Sie in Ressourcen wie den öffentlichen Sitzungszusammenfassungen der FCC und Berichten von Branchenführern wie TransNexus.
Um sofort mit der Verwendung von STIR/SHAKEN zur Authentifizierung von Anrufen in Ihrem Netzwerk zu beginnen, können Sie hier auf unser kostenloses Tool zugreifen IDT.
Kommentar
Ich war noch nicht in der Lage, die Anwendung ohne Mobiltelefon zu installieren, da die Informationen verloren gegangen sind! Muss ich genau bezahlen, um eine Anwendung zu erhalten? Como Baixar