Resumen

  • RFC 9970 permite campos Identity en respuestas SIP provisionales y finales. Así aborda una laguna de STIR: saber quién originó una solicitud no dice quién respondió la llamada.
  • El PASSporT de respuesta rsp y el PASSporT de desvío div tienen alcances diferentes. Registran una afirmación del destino o un cambio de objetivo; no certifican que el nuevo destino sea aceptable para cualquier proceso.
  • La decisión defendible une, sin fusionar, destino pedido, evidencia recibida, expectativa previa, criticidad, resultado y responsable de una excepción.

Llegar a un teléfono no equivale a llegar a la contraparte

Un desvío puede ser útil y autorizado: una línea de soporte pasa a guardia nocturna, una extensión se reenvía a un móvil, una recepción deriva una cita. También puede ser el lugar donde una alteración de ruta se convierte en fraude. El usuario que marca un número de un banco o de un servicio de salud no suele tener una pantalla de rutas delante. Si alguien responde, puede suponer que el objetivo original sigue presente.

Esa suposición es justamente lo que la señalización necesita hacer visible, sin fingir que puede resolver todo. RFC 9970 es una norma propuesta de la IETF publicada en junio de 2026. Actualiza la idea de identidad conectada para el marco STIR. En la llamada directa, la dirección de registro de quien se alcanza corresponde al dest del PASSporT de la INVITE. La RFC permite que respuestas provisionales o finales lleven una identidad firmada; el PASSporT de ese tipo se denomina normalmente rsp.

El resultado es una afirmación verificable de vuelta hacia quien llamó. No es un certificado de que una voz pertenece a una persona determinada, ni una prueba de una relación comercial fuera de SIP, ni una garantía contra una sustitución de media una vez respondida la llamada. La propia RFC limita el mecanismo a comunicaciones de dos partes y a la señalización. Declarar ese límite es más honesto que prometer una confianza que el protocolo no puede entregar.

La misma firma no vale igual para todos los propósitos

Validar un rsp permite comprobar hechos criptográficos y de perfil. No sabe por qué se hizo la llamada. Por eso no puede decidir la tolerancia a una identidad inesperada. Una empresa puede aceptar que una línea general de información llegue a un proveedor delegado; para una autorización de pago puede exigir el destino exacto o un segundo canal. Ambos usos pueden transportar la misma señalización y requerir decisiones contrarias.

RFC 9970 contempla que el originador establezca una postura de criticidad por llamada o por destino. Si la identidad conectada no está disponible o no es la esperada, el dispositivo puede no completar la comunicación. La RFC no impone una interfaz ni obliga a un umbral. Tampoco ordena cuál debe ser el canal alternativo. La elección sigue donde debería estar: con el actor que conoce la finalidad y soportará la pérdida si la llamada se completa indebidamente.

No todas las anomalías expresan lo mismo. Una respuesta ausente puede provenir de un destino que no implementa la función. Una identidad válida pero distinta puede ser un delegado conocido. Un token mal formado puede ser un fallo de integración. Una identidad correcta para un contexto de bajo riesgo puede ser insuficiente para otro. La telemetría y las reglas deben conservar esas distinciones en vez de convertirlas en un único estado rojo.

El cambio de destino necesita prueba de cadena

RFC 8946 define la extensión div para PASSporT cuando una llamada se vuelve a dirigir. Sirve para expresar que el objetivo cambió durante el tránsito. La parte que verifica en la terminación puede usarla para entender por qué la llamada alcanzó ese destino final. Pero no conviene confundir conocimiento del terminador con conocimiento del originador. RFC 9970 recuerda que una retargetización común no muestra automáticamente esos PASSporT de desvío al llamante. La redirección SIP 3XX es la vía definida para revelar de forma segura la redirección hacia atrás.

Un div no es una absolución universal. Puede demostrar que una autoridad afirmó un paso desde un destino anterior a otro posterior. No demuestra que el cambio era esperado por esta organización, que el nuevo interlocutor puede recibir un secreto, ni que la política de una llamada crítica debe ignorarlo.

Una operación madura conserva cinco piezas: el destino y el motivo iniciales; los PASSporT de solicitud, respuesta y desvío realmente disponibles; la regla de expectativas sobre delegados o reenvíos; la política que evaluó el caso y el resultado; y el responsable de cualquier excepción. Correlacionar no es fundir. Una firma válida puede acabar en advertencia o corte. Un terminador puede ver una cadena que nunca llegó de regreso. Una llamada terminada puede ser técnicamente correcta y, sin embargo, prohibida por la política del originador.

Proteger el diálogo no es autenticar el significado

RFC 9970 recomienda PASSporT en re-INVITE y BYE después de establecer identidad conectada. Esto dificulta que un tercero falsifique cambios de diálogo o una terminación. Tiene un efecto muy concreto frente a ciertos fraudes de señalización y desconexiones manipuladas. No convierte la integridad del BYE en prueba de que el contenido de la conversación, la media o el acuerdo humano son legítimos.

Una arquitectura sana asigna propietarios distintos. El equipo de telefonía mantiene la validación de RFC 9970. El dueño del proceso decide qué identidad es suficiente para liberar una acción. Seguridad conserva los datos de señalización, versión de política y desenlace para poder revisar. Si las tres tareas se esconden detrás de “llamada autenticada”, ninguna puede explicar una decisión después de un incidente.

La preasociación debe seguir siendo voluntaria y reversible

La RFC plantea que un directorio podría anunciar soporte de identidad conectada o que un dispositivo avise si un destino que antes la ofrecía deja de hacerlo. Es una idea de preasociación, no una nueva autoridad mundial. Un directorio puede publicar una capacidad. No debe heredar el poder de decidir por todos los usuarios qué desvío aceptar ni qué nivel de seguridad merece una llamada.

El mínimo común debe ser pequeño: identidad afirmada, mensaje que la lleva, resultado de verificación y, cuando exista, evidencia de desvío. Los umbrales, las excepciones, la conservación y la transición gradual permanecen locales. Se pueden probar, observar y corregir sin imponer una política única sobre cada red o empresa.

La privacidad entra en el mismo balance. Devolver identidad puede revelar información sobre la parte alcanzada; el uso de datos de llamada enriquecidos incrementa el coste. Pedir un atributo mínimo en una devolución crítica puede estar justificado. Retenerlo para todas las llamadas por comodidad no lo está automáticamente. El propósito, los datos, la retención y la autoridad deben quedar anotados junto con la decisión.

Sources