Zusammenfassung

  • RFC 9888 erlaubt die Ablage eines signierten PASSporT im Call Placement Service des Zielanbieters, wenn der Telefonpfad die STIR-Aussage nicht durchgehend in SIP tragen kann.
  • Weil das Token vor oder nach der unsignierten Rufsignalisierung eintreffen kann, bleiben Abrufrecht, Frische, Signaturbefugnis und Zuordnung zum konkreten Anruf eigene Prüfungen.

Die Kryptografie meldete Erfolg. Signatur und Transport waren gültig, das Objekt lag noch im engen Zeitfenster. Der vermeintlich verifizierte Anruf war jedoch noch nicht eingetroffen.

STIR führt ein PASSporT gewöhnlich in der SIP-Anfrage mit. Netzgrenzen, Übergänge ins klassische Telefonnetz und ältere Anbieter können diesen End-zu-End-Pfad unterbrechen. RFC 9888 trennt deshalb die Aussage vom Anruf. Ein Authentisierungsdienst der Ursprungsseite legt sie in einem Call Placement Service, CPS, des Zielanbieters ab. Dessen Verifizierungsdienst holt sie nach dem Ruf ab oder empfängt sie über ein Abonnement.

Der CPS kann dem Zielanbieter gehören, von einem Auftragnehmer betrieben oder zwischen mehreren Anbietern verteilt geteilt werden. Das vermeidet einen Weltserver. Es erzeugt zugleich zwei Ereignisse mit verschiedenen Uhren, Ausfällen, Zugriffsregeln und Verwahrern.

Eine Anzeige weist auf begrenzte Verwahrung

Eine CPS-Anzeige verbindet TNAuthList-Einträge mit HTTPS-Adressen. Mit einer STIR-Berechtigung signiert, lässt sich der angezeigte Rufnummernbereich mit der Autorität des Unterzeichners vergleichen. Bilaterale Konfiguration, Konsortium, Datenbank, DNS oder Zertifikatsbindung können die Anzeige verteilen.

Das beweist den zulässigen Ablageort für einen Umfang. Es beweist weder den Anruf noch die Ablage oder die Zuordnung eines vorhandenen Tokens. In einem gemeinsam genutzten CPS muss der Dienst entscheiden, welcher Verifizierer welche PASSporTs erhält. Ein STIR-Zertifikat öffnet nicht alle laufenden Gespräche.

Sicherer Transport ist keine Korrelation

Der Ursprungsdienst sollte sich mit seiner STIR-Berechtigung per gegenseitigem TLS am CPS anmelden. Der Kanal schützt die Übergabe, die Authentisierung benennt die Gegenstellen, die PASSporT-Signatur bindet Aussagen an den Signierenden, und der CPS wendet seine Annahmepolitik an.

Kein Schritt wählt den passenden Ruf im anderen Netz. Das Token bleibt nur bis zum Abruf und höchstens innerhalb seiner Frische von sechzig Sekunden gespeichert. Die kurze Grenze verhindert keine Überschneidung mehrerer Anrufe, Wiederholungen, Umleitungen, Gateway-Umschreibungen oder nachträglich gescheiterter Routen.

Beim Pull fragt der Empfänger nach Eingang eines Rufs ohne In-Band-Token. Beim Push kann das Objekt vorher oder nachher kommen. RFC 9888 erkennt an, dass die sichtbare Anzeige warten muss, und lässt exaktes Timing sowie Substitutionsrisiken offen. „Wartet“ ist damit ein sachlicher Zustand, kein Fehler, den eine grüne Anzeige verdecken darf.

Ein prüfbares Zuordnungsprotokoll hält Kennungen beider Wege, sicheren Token-Fingerabdruck, Unterzeichner und Umfang, Ausgabe- und Ankunftszeiten, CPS, Abrufprincipal, Gateway-Änderungen, Prüfergebnisse, konkurrierende Kandidaten und Auswahlregel fest. Mehrere plausible Objekte bedeuten Unklarheit.

Auslagerung verschiebt die Privatsphäre

RFC 9888 nimmt an, dass der CPS vom Zielanbieter oder für ihn betrieben wird und Metadaten sieht, die der Anbieter ohnehin beim Rufaufbau erhält. Ein Dritter wird dennoch ein zusätzlicher Beobachter; ein geteilter CPS konzentriert Beziehungen; Erweiterungen können mehr als gewöhnliches SIP offenlegen. Datenminimierung, Aufbewahrung, Zweckbindung und Zugriffsprüfung bleiben notwendig.

Der Nebenweg bringt Beweise über alte Netze. Er erweitert nicht ihre Bedeutung. Das Token war da; das Urteil wartete auf den Anruf.

Quellen