Resumo

  • A RFC 9888 permite depositar um PASSporT assinado no Call Placement Service do provedor chamado quando o caminho telefônico não consegue levá-lo dentro do SIP.
  • Como o token pode chegar antes ou depois da sinalização sem assinatura, direito de retirada, validade, autoridade criptográfica e vínculo com a chamada são provas separadas.

O objeto parecia pronto. A assinatura era válida, o canal até o depósito estava protegido e o prazo curto ainda corria. Faltava aquilo que a interface queria declarar verificado: a chamada.

STIR normalmente carrega o PASSporT numa requisição SIP. Fronteiras de rede, gateways para a telefonia tradicional e trajetos legados podem impedir essa continuidade. A RFC 9888 cria um percurso fora de banda. O serviço de autenticação da origem deposita o token num Call Placement Service, ou CPS, associado ao destino; o verificador terminal consulta o depósito ou recebe notificações.

O CPS pode ser operado pelo próprio provedor, por um contratado ou por uma plataforma distribuída compartilhada. Isso evita um servidor universal. Também separa chamada e evidência em eventos com falhas, relógios, políticas de acesso e responsáveis diferentes.

O anúncio aponta para a custódia

Um anúncio CPS associa entradas TNAuthList a endereços HTTPS. Assinado com uma credencial STIR, ele permite comparar a autoridade do anunciante com o intervalo telefônico declarado. Descoberta bilateral, consórcio, banco de dados, DNS ou vínculo em certificado podem fornecer o anúncio.

Essa prova diz onde entregar evidência para certo escopo. Não prova que uma chamada ocorreu, que o depósito terminou nem que o token disponível corresponde ao telefone que toca. Num CPS compartilhado, o serviço precisa autorizar qual verificador recebe cada PASSporT. Ter uma credencial STIR não é ter acesso a todas as chamadas em andamento.

Um transporte seguro não faz a associação

O serviço de origem deveria usar TLS mútuo com sua credencial STIR. O canal protege a transferência; a autenticação identifica os pares; a assinatura liga afirmações ao signatário; o CPS decide quais origens e volumes aceita. Cada controle fecha uma pergunta distinta.

Nenhum deles escolhe a chamada no outro caminho. O token só permanece pelo período necessário à retirada e nunca além da validade, limitada pela RFC a sessenta segundos. A janela reduz reutilização tardia, mas ainda pode conter chamadas simultâneas, tentativas, desvios, alterações de gateway e rotas canceladas.

No modo pull, o verificador consulta depois que chega uma chamada sem PASSporT em banda. No push, o objeto pode anteceder ou seguir a sinalização. A RFC reconhece que o indicador talvez precise esperar e deixa o tempo exato e o risco de substituição para trabalho futuro. “Aguardando” é, portanto, um estado correto; “verificado” não pode preenchê-lo por conveniência.

O registro reproduzível guarda identificadores vistos nos dois caminhos, impressão segura do token, signatário e escopo, horários de emissão e chegada, CPS, principal de retirada, mudanças de gateway, resultado criptográfico, candidatos concorrentes e regra de escolha. Duas opções plausíveis significam ambiguidade.

A terceirização muda a privacidade

A RFC 9888 pressupõe um CPS do provedor chamado ou de seu agente, que vê metadados já presentes no estabelecimento. Um terceiro, porém, acrescenta outra instituição à observação; um CPS compartilhado concentra relações; extensões PASSporT podem carregar dados além do SIP comum. Minimização, retenção, finalidade e auditoria continuam necessárias.

O caminho alternativo entrega uma prova através de redes antigas. Ele não autoriza ampliar o significado dela. O token chegou primeiro; a conclusão teve de esperar o evento que faltava.

Fontes