RFC 9888: 대역외 STIR 제어 평면

요약

RFC 9888은 종단 간 헤더 전달이 불가능할 때 STIR PASSporT를 SIP 외부에서 전달하기 위한, 서비스 제공자가 운영하는 CPS를 정의한다.
이 아키텍처는 단일 글로벌 저장소가 아니라 복수 구조이다. 제공자는 CPS를 직접 운영하거나, 제3자를 이용하거나, 하나를 공유할 수 있다.
광고(advertisement)는 HTTPS CPS URI를 TNAuthList 정보로 표현되는 전화번호 권한에 연계한다. 제출에는 STIR 자격 증명을 사용하며, CPS가 로컬 인가를 적용하고, 대역외 인증 서비스와 CPS 사이에는 TLS가 요구된다.
풀(pull) 방식 검색은 필수이고 푸시(push) 알림은 선택 사항이다. PASSporT는 일반적으로 검색에 필요한 기간 동안만 보관되며, RFC 9888이 설명하는 유효 구간은 최대 60초이다.

운영 절차는 구체적이다. 대역외 인증 서비스는 STIR 자격 증명으로 인증한 뒤 TLS를 통해 광고된 CPS에 PASSporT를 제출한다. CPS는 해당 제출자가 인가되었는지를 로컬에서 판단한다. 이후 수신측 검증 서비스는 인터넷 연결을 통해 관련 CPS를 찾아내고 토큰을 풀 방식으로 가져올 수 있어야 한다. 푸시 신호는 발견을 앞당길 수 있지만 풀 지원을 대체하지는 못한다. 하나의 CPS가 복수 제공자를 서비스할 경우, PASSporT의 수신지를 검사하여 인가된 검증 서비스를 선택한다.

광고는 단순한 URL 디렉터리 항목이 아니다. TNAuthList 정보는 서명자가 해당 수신지를 광고할 자격이 있는지를 신뢰 당사자가 검증할 수 있는 전화번호 권한을 제공한다. 이에 따라 발견(discovery)과 인가(authorization)는 연계되어 있으면서도 서로 구별되는 통제 지점이 된다. 겉보기에 유효한 엔드포인트만으로는 제출 권한이 확립되지 않고, 인가된 제출자도 사용 가능하고 올바르게 광고된 경로를 필요로 한다.

게이트웨이는 인밴드(in-band) STIR과 대역외 STIR을 연결하거나 레거시 제공자를 대신할 수 있다. 게이트웨이는 시그널링 경로의 한계를 해결할 수 있지만, 자격 증명 발급, 인가, 수신지 검사, 검색에 관한 신뢰 판단을 없애지는 못한다. 운영자는 게이트웨이를 보안 경계 전체로 다루기보다 이러한 판단들을 별개의 실패 도메인으로 테스트해야 한다.

RFC 9888은 민감한 통화 처리 정보가 집중되는 위치도 바꾼다. 서비스 제공자 모델은 CPS 운영자가 이미 통화 처리에 참여한다고 가정하지만, 중앙화되거나 연합된 CPS 구성은 여전히 데이터 수집과 상관(correlation) 위험을 높일 수 있다. 이 서비스 제공자 모델에서 저장된 PASSporT는 암호화가 요구되지 않는다. TLS는 서비스 간 교환을 보호하고, 짧은 보관 기간이 의도된 저장 구간을 한정한다.

검증 시나리오.테스트 계획에는 다음이 포함되어야 한다. (1) SIP 경로에서 게이트웨이가 Identity 헤더를 잃지만 PASSporT가 HTTPS로 제출되는 통화, (2) CPS URI와 TNAuthList 권한이 검증되는 광고 하나와 검증되지 않는 광고 하나, (3) 인증은 되었으나 CPS 로컬 인가에 실패하는 제출자, (4) TLS 실패와 풀 타임아웃, (5) 푸시 알림 후 성공하는 필수 풀, (6) 올바른 검증 서비스를 선택하는 복수 제공자 수신지, (7) 유효 구간 이후 더 이상 보관되지 않는 만료 토큰.

운영자 판단 경로.먼저 종단 간 SIP 전달이 실제로 불가능한지 확인한다. 그렇다면 수신지 CPS를 식별하고 그 광고와 TNAuthList 권한을 검증한다. 이후 STIR 자격 증명으로 제출 서비스를 인증하고, 로컬 인가를 확인하며, TLS를 요구하고, 토큰이 만료되기 전에 풀 검색을 측정한다. 여러 제공자가 CPS를 공유한다면 수신지 검사를 검증한다. 마지막으로 게이트웨이 자격 증명, 보관 삭제, 접근 로깅, 장애 시 동작, 프라이버시 소유권을 문서화한다.

동결된 근거는 통신사나 기업의 현재 상용 도입, 측정된 로보콜 또는 사칭 결과, 관측된 CPS 가용성이나 검색 지연, 상용 또는 연합 구성, 벤더 구현 범위, 프로토콜 요구 사항을 넘어선 실제 보관 기간을 확립하지 않는다. 이들은 알려지지 않은 경계이며 RFC가 암시하는 결과가 아니다.