Zusammenfassung

  • RFC 9888 beschreibt von Dienstanbietern betriebene CPS, die STIR-PASSporTs außerhalb des SIP-Signalisierungspfads transportieren, wenn eine Ende-zu-Ende-Übertragung nicht möglich ist.
  • Die Architektur setzt nicht auf eine einzige globale CPS: Ein Anbieter kann eine eigene CPS betreiben, einen Dritten nutzen oder eine CPS teilen. Die Ziel-CPS wird über das Internet ermittelt.
  • Eine CPS-Anzeige bindet HTTPS-URIs an die Telefonnummernzuständigkeit aus TNAuthList-Informationen. Ein abhängiges System kann damit prüfen, ob der Unterzeichner diese Zieladresse bekanntgeben darf.

Der Ablauf

Ein Out-of-Band-Authentisierungsdienst meldet sich bei der CPS mit STIR-Anmeldedaten an. Die CPS nimmt einen PASSporT aber erst nach ihrer lokalen Autorisierungsprüfung an. Zwischen Authentisierungsdienst und CPS ist TLS vorgeschrieben. Gespeicherte PASSporTs müssen in diesem Dienstanbietermodell nicht verschlüsselt werden. Üblicherweise bleiben sie nur bis zum Abruf erhalten, höchstens jedoch bis zum Ende ihrer Gültigkeit; RFC 9888 beschreibt dafür eine Obergrenze von sechzig Sekunden.

Eine CPS muss Pull-Abruf unterstützen. Push-Benachrichtigung ist optional. Bei einer CPS für mehrere Anbieter muss die PASSporT-Zieladresse geprüft werden, damit der autorisierte Verifikationsdienst ausgewählt wird. Gateways können In-Band- und Out-of-Band-STIR verbinden oder für ältere Anbieter handeln. Das ändert nichts daran, dass Credential-Ausgabe und Autorisierung wesentliche Vertrauensentscheidungen bleiben.

Abgrenzung der Evidenz

RFC 9888 belegt weder die aktuelle Verbreitung bei Carriern oder Großunternehmen noch einen gemessenen Rückgang von Robocalls oder Identitätsmissbrauch. Ebenso fehlen im Quellenpaket beobachtete Verfügbarkeit, Abruflatenz, kommerzielle oder föderierte Vereinbarungen zwischen CPS-Betreibern und eine Aussage zur Implementierungs- oder Konformitätsabdeckung von Herstellern. Tatsächliche Aufbewahrungspraktiken über die Protokollvorgabe hinaus sind unbekannt. Die sechzig Sekunden sind daher keine Produktionsmessung und kein Beleg für breite Einführung.

Quellen