Кратко

  • В редакции 14 проекта STIR-OCSP расширение TNQuery проверяет, остаётся ли конкретный телефонный номер в области полномочий сертификата.
  • Подписанный положительный ответ доказывает состояние сертификата для номера, но не личность человека, его намерение или результат разговора.
  • Отсутствие расширения, unknown, просроченный staple и недоступность сервиса требуют разных причин; дальнейшее действие задаёт локальная политика.

Сертификат мог остаться действующим, а номер — уйти

Обычный OCSP отвечает о сертификате: good, revoked или unknown. Делегированный сертификат STIR может охватывать меняющийся список или диапазон номеров. Поэтому общий ответ good не сообщает, сохранился ли в нём номер из нового звонка.

draft-ietf-stir-certificates-ocsp-14 помещает номер, обычно взятый из orig в PASSporT, в расширение TNQuery. Если ответчик возвращает этот номер в подписанном ответе, он подтверждает, что сертификат действителен для номера в пределах времени ответа.

Это узкий факт. Он не устанавливает, кто держит телефон, согласен ли абонент на звонок, правдива ли просьба и разрешён ли перевод средств. RFC 8224 рассматривает проверку как вход для последующей авторизации, оставленной за рамками протокола.

Если запрос содержал TNQuery, а ответ его не содержит, служба не смогла подтвердить область номера. unknown также следует считать not good. Ни один из этих исходов сам по себе не доказывает мошенничество. Изменение полномочий, задержка данных, отказ ответчика, ошибка цепочки и подмена — разные события, даже если грубый фильтр показывает один красный значок.

Staple экономит запрос, но не добавляет полномочий

Опрос OCSP во время установления соединения добавляет задержку. Проект определяет claim stpl в PASSporT для заранее полученного либо сформированного по вызову ответа.

Stapling меняет доставку квитанции. Проверяющей стороне всё равно нужны подпись, время, номер, цепочка, делегированный охват и PASSporT. Затем принимающий домен по своей политике разрешает звонок, помечает его, запрашивает дополнительную проверку или блокирует.

Если сертификат охватывает большой диапазон, отдельный предварительный ответ может потребоваться для каждого возможного исходящего номера. Все имеющиеся staple могут быть корректны, а набор — неполон. Покрытие, свежесть, доставка и криптографическая действительность не заменяют друг друга.

Свежесть раскрывает метаданные

Живой запрос сообщает OCSP-службе номер вызывающего и проверяющую сторону. TLS закрывает данные от пассивного наблюдателя, но не от самого ответчика. Stapling сокращает такие запросы, одновременно создавая обязанности по срокам и полноте запаса.

Чем свежее централизованный ответ, тем заметнее поток вызовов для службы статуса. Чем реже запросы, тем выше риск устаревания. Это выбор принимающей сети, а не власть, автоматически возникающая у подписанта OCSP.

Нужна цепочка квитанций

Следует раздельно хранить наблюдаемый orig, сертификат и путь, TN-область, запрос, подписанный ответ и время, способ доставки, результат проверки, версию и причину политики, выполненное действие и наблюдаемый итог.

Редакция 14 одобрена IESG и находится в очереди RFC Editor, но до публикации остаётся Internet-Draft. Это не свидетельство внедрения оператором, соответствия продукта или измеренного снижения нежелательных звонков.

Источники