摘要

  • RFC 9970 允许在临时和最终 SIP 响应中携带 Identity 字段，补足普通 STIR 只说明请求发起者、却不说明谁接通电话的缺口。
  • rsp 响应 PASSporT 与 div 改路 PASSporT 分别记录终点身份主张或一次目标变更；它们不能替每一位主叫者判断新目标是否适合该业务风险。
  • 原始目的地、返向身份、可见的改路链、预期规则、风险等级、处置结果和例外责任必须可以关联、却不能互相替代。

接通不是抵达预期对象的证明

常规转接极其正常。诊所把夜间电话交给值班服务，企业前台把来电转至同事，客服号码交由受托方处理。相同的技术路径也可能成为路由被劫持的落点：主叫者相信自己拨给了银行、医疗机构或紧急服务，于是把一次性验证码、个人资料或操作指令交给了错误的一方。网络成功建立会话，并不能区分这两种情形。

RFC 9970 是 IETF 在 2026 年 6 月发布的 Proposed Standard，更新了 STIR 中的 connected identity 问题。在直接呼叫里，INVITE 所到达的地址记录与初始 PASSporT 的 dest 相对应。RFC 9970 允许临时或最终响应附带已签名的身份；通常使用 rsp 类型的 PASSporT。这样，主叫方获得了一个关于本次对话中响应一方的加密主张。

这个结论必须保持原有尺寸。它不是全球可信号码目录；不是对真人、机构关系或后续语音内容的证明；也没有处理接听后媒体可能被替换的问题。RFC 9970 的范围是双方通信的信令。它证明一项可检验的信令事实，而不是给每一笔业务操作签发通行证。

一枚有效签名不能替主叫者决定容忍度

验证 rsp 能得到密码学与协议配置层面的结果，却不知道拨打电话的目的。普通预约热线可以接受意料之外但合法的值班身份；一笔付款确认也许必须要求原定目标或独立的第二渠道。两种场景可能收到同样正确的响应签名，却应得出相反的处置。

RFC 9970 设想用户或设备可按电话或目的地设定关键性姿态：预期身份不出现时，设备可以不完成呼叫。它没有规定按钮长什么样、阈值是多少、备用渠道为何物，或谁可以批准例外。这不是规范遗漏。损失由谁承担，充分证据就应由谁在可审查的本地情境中决定。

因此，不能把所有不一致压缩为“鉴权失败”。没有响应身份，可能是对方尚未采用机制；有效但不同的身份，可能是已知代理；格式错误，可能是互操作配置问题；同一个身份在低风险查询中足够，在高风险指令中却不足。不同状态对应不同所有者、补救和升级路径。

改路需要链条，而不是事后解释

RFC 8946 定义 div PASSporT，用于记录电话在途中从一个目标改到另一个目标。它可以帮助终结侧验证服务理解为何会话到达最终目的地。但终结侧知道的事不必然传回主叫方。RFC 9970 指出，普通 retargeting 不会自动让主叫方看到这些 diversion PASSporT；当前定义的、能把安全改路信息传回去的路径是 SIP 3XX 重定向。

div 记录的是某个权威对一次变更作出的主张，不是对所有后续风险的豁免。它不说明这次转接是否符合本组织对薪资、身份恢复或紧急任务的预期；也不说明新一方可以索取秘密。若将它当作普遍同意，就让一个共享的信令格式悄然取得了本地业务的决策权。

可审查的记录至少要分为五层：最初请求的目的地与原因；实际可见的初始、响应和改路 PASSporT；对代理与转接的预期；评估证据的规则、版本和结果；例外的批准人及原因。它们可以用同一呼叫标识关联。一枚有效 rsp 仍可导致停止；终结网络可看到改路链而主叫方看不到；电话可以技术上完成，却仍违反组织的风险姿态。只有保留这些差别，事后才能知道是控制失效、规则选择了例外，还是证据从未到达。

对话完整性不是对人和媒体的背书

connected identity 建立后，RFC 9970 建议在 re-INVITE 和 BYE 上使用带有效 PASSporT 的 Identity 字段。这能缩小第三方伪造对话中变更或强制挂断的攻击面，对某些计费欺诈和会话干扰具有具体价值。但它不能证明说话者就是预期员工，不能保证媒体未被替换，也不能把一个正确的 BYE 变成人类关系可信的证据。

这要求组织分开任命责任：电话团队维护协议验证；业务所有者决定什么身份足以触发披露或批准；安全与审计团队保存当时的信令、规则版本和结果。把三项责任统一标作“已认证电话”，会让任何一方都无法在事件后说明自己究竟决定了什么。

能力预告应当保留为可逆的选择

RFC 9970 提到，目录服务可以预告某目的地支持 connected identity，设备也可以记住过去支持、并在支持消失时提醒。这是 pre-association 的可能方式，不是新建的全球授权中心。目录可以发表能力声明，不能替每位主叫者裁定何种改路可接受。

共同层应只交换必要事实：谁作出了身份主张、哪条消息携带它、验证结果如何、是否存在可见的改路证据。阈值、备用方式、保留期限、隐私取舍和渐进采用仍应由本地决定，并根据实际运行不断校正。反方向的身份信息还可能暴露被叫方资料；对关键回拨索取最小信息可能合比例，把它变成所有电话的默认日志却未必如此。目的、最小数据集、保留界限和负责人都应随决定留存。

Sources