Resumen

  • RFC 9888 permite depositar un PASSporT firmado en el Call Placement Service del proveedor de destino cuando la ruta telefónica no puede transportarlo dentro de SIP.
  • Como el token puede llegar antes o después de la señalización sin firma, autorización de retiro, frescura, autoridad de firma y asociación con la llamada son pruebas distintas.

El token había superado la comprobación criptográfica. La conexión al depósito estaba protegida y el objeto seguía dentro de su breve ventana temporal. Faltaba el acontecimiento al que la pantalla quería atribuirlo: la llamada.

En STIR, un PASSporT suele viajar en una solicitud SIP. Esa continuidad se rompe cuando intervienen políticas de frontera, pasarelas hacia la red telefónica tradicional o proveedores heredados. RFC 9888 define otra vía. Un servicio de autenticación de origen deposita el token en un Call Placement Service, CPS, designado para el proveedor llamado. El verificador del extremo receptor lo obtiene por consulta o suscripción.

El CPS puede pertenecer al propio proveedor, a un tercero contratado o a una plataforma compartida y distribuida. No existe un almacén universal obligatorio. Esta pluralidad conserva la adopción local, pero multiplica los puntos donde una afirmación debe mantener su ámbito, su custodio y su reloj.

La publicidad descubre un destino limitado

Una publicidad CPS vincula entradas TNAuthList con ubicaciones HTTPS. Si se firma con una credencial STIR, el receptor puede comparar el ámbito telefónico anunciado con la autoridad de esa credencial. Acuerdos bilaterales, consorcios, bases distribuidas, DNS o extensiones de certificado pueden suministrar el descubrimiento.

Encontrar la ubicación correcta solo demuestra dónde se acepta evidencia para un conjunto declarado. No demuestra que el llamante originó una llamada, que el depósito ocurrió ni que el objeto guardado pertenece a lo que está sonando. En un CPS compartido, el servicio debe autorizar qué verificador puede recibir cada token. Una credencial válida no permite leer todos los PASSporTs de todos los destinos.

La seguridad del canal no hace la unión

El servicio de origen debería autenticarse mutuamente con TLS frente al CPS usando su credencial STIR. El canal protege la entrega, la autenticación distingue a los pares y la firma vincula las afirmaciones con un firmante. El CPS aún decide qué originadores admite y a qué volumen.

Cada éxito cierra una proposición. Ninguno selecciona por sí solo la llamada correcta en otro transporte. RFC 9888 ordena que el token no permanezca más allá de su frescura, con un máximo de sesenta segundos. Esa caducidad reduce usos tardíos, pero dentro de un minuto pueden coexistir varias llamadas, reintentos, desvíos y fallos de encaminamiento.

En modo pull, el verificador consulta después de recibir una llamada sin PASSporT en banda. En modo push, puede recibir el token antes o después. La especificación admite que el indicador visible quizá deba retrasarse y deja el tiempo exacto y el riesgo de sustitución para trabajo futuro. Por tanto, “esperando evidencia” es un estado legítimo. “Verificado” no puede ser el valor optimista mientras llega el resto.

Una asociación reproducible conserva los identificadores vistos en ambos caminos, la huella del token, firmante y alcance, emisión y llegadas, CPS y principal de retiro, transformaciones de pasarela, resultado criptográfico, candidatos rivales y regla de selección. Si dos objetos son plausibles, el sistema posee ambigüedad, no doble confirmación.

La ausencia también necesita causa. Una llamada sin token puede revelar no participación, error de descubrimiento, depósito fallido, acceso denegado, expiración o demora. Un token sin llamada puede ser anticipado, huérfano, duplicado o posterior a una ruta cancelada. Comprimir todos esos estados destruye la capacidad de investigar.

Subcontratar cambia quién observa

RFC 9888 parte de que el CPS opera para el proveedor de destino y ve metadatos que ese proveedor recibiría en el establecimiento. Por eso adopta una arquitectura de privacidad distinta a la abierta de RFC 8816. Cuando interviene un tercero, sin embargo, una nueva institución conoce la relación. Un servicio compartido concentra más observación, y extensiones del PASSporT pueden exponer datos ausentes de SIP normal.

La minimización, retención, finalidad y auditoría siguen siendo decisiones. La ruta fuera de banda permite que una prueba alcance redes heredadas. Su valor depende de no ampliar el significado del token más allá del hecho firmado y correctamente unido.

Fuentes