摘要

  • IETF Datatracker 把 charter-ietf-stir-02-00 标为处于 IESG/IAB 内部审查的再授权提案；当前有两个 BLOCK，尚无 telechat 日期。
  • 草案明确说，STIR 能验证一次呼叫事件和使用某个电话号码的授权，却没有标准方法识别授权背后的实体。
  • 拟议范围将让 PASSporT 关联代表号码使用权实体的标识符，并扩展证书透明度、带外发现和 connected identity 工作。
  • 法律核验政策、监管要求以及号码主管机构、证书机构和透明度服务的治理规则，被明确排除在工作组范围之外。
  • 因此需要的是一张分层凭据：连接号码范围、实体行为身份、证书委托沿革与状态/纠错入口，但不把任何一层冒充为自然人身份、通话真实性或法律权利的完整证明。

签名正确，主体仍可能不明

一家企业可能拥有统一客服电话，却让多家运营商或呼叫中心负责外呼。某家服务商用覆盖该号码的证书签署 PASSporT，验证方可以确认签名和号码授权范围；它未必能判断服务商代表的是号码持有人、外包中心，还是另一层委托关系。

这不是对 STIR 的否定。再授权草案把它描述为运行经验揭示的边界：呼叫事件与号码使用授权已经可以加密认证，但验证方没有标准方式得知 delegate certificate 代表哪一个实体。

日常说法中的“来电身份”至少包含五件事：显示的号码、号码权利人、技术签名方、接收者认识的品牌、实际说话者。通话内容是否真实又是第六项。一个签名保护其中一项，不应自动替其余项目背书。

当前仍是提案，不是生效授权

截至截稿，Datatracker 显示该文本最后更新于2026年7月30日，状态为 Start Chartering/Rechartering (Internal Steering Group/IAB Review)。页面记载两个 BLOCK，并称在解决后已有足够 position 通过，但没有 telechat 日期。

这些状态不能被压成“已通过”或“已失败”。现行 version 02 已授权工作组研究号码使用权验证、证书委托与相关电话身份机制。新文本则会明确加入一项工作：让 PASSporT 关联代表号码使用权实体的标识符，同时处理证书透明度、带外凭据发现和 connected identity。

BLOCK 可能通过修改或讨论解决；有足够票数也不等于机构决定已经完成。可公开陈述的事实只是：拟议范围正在审查，最终文字与排除项仍可能变化。

委托链约束范围，却不解释全部关系

RFC 8225 把 PASSporT 的 signer 与 originating identity 分开。签名方可能是设备，也可能是获准作出声明的网络实体；证书和签名说明它在信任模型中的声明能力，不自动说明它与号码持有人的合同关系。

RFC 9060 对委托作出清晰约束：子证书的 TNAuthList 必须等于或小于父证书范围。企业把外呼分给多家服务商时，这条规则可阻止委托方声称超过父级的号码集合。

但 TNAuthList 描述的是“哪些号码”。RFC 8226 甚至允许基于隐私原因，不用证书 subject name 暴露持有人，而用 TNAuthList 表示权能。因此，证书对号码范围可以很准确，对实体是谁、以何种身份行动却仍不充分。

解决方式不应是把完整法定名称塞进每通电话。那会把司法辖区、文件核验和数据披露政策写进协议字段。实体标识符更应注明标识体系、行为身份、绑定机构、复核时间和当前状态入口。

透明度能发现签发，不能自行纠错

正在推进的 STI Certificate Transparency 草案提供了另一段证据。它设计 append-only 日志、Signed Certificate Timestamp、monitor 和 auditor，使号码或服务商代码的负责方能够发现意外签发，验证服务也可要求日志收录证明。

这能让实体绑定的签发沿革更可见，却不会自动解决错误。草案明确把发现 mis-issuance 后采取什么行动留在范围之外。日志不能自行吊销证书，不能裁定两个申请者谁正确，也不决定终接运营商如何处理呼叫。

所以至少有三种状态：证书已签发、证书已进入透明度日志、证书在当前政策下仍被接受。把 SCT 当作现行授权，会让“可见性”冒充“治理决定”。

一张不是公开档案的凭据

最小凭据应连接四组字段。第一是号码或号码段，以及父证书与委托证书的范围。第二是稳定实体标识符和有限行为身份，例如持有人、获授权服务商或委托方。第三是签发机构、证书链、有效期与日志证明。第四是状态、吊销或纠错入口，并指明有权改变结果的机构。

随呼叫携带或公开查询的层级，只需暴露标识体系、行为身份、绑定机构、时间、凭据引用、日志证明与状态端点。法定名称材料、合同、个人信息、核验文件和争议案卷应保留在受保护层。

这种分工与草案排除项一致：IETF 定义可互操作语义；号码主管机构、运营商、CA、监管者与法院执行各自掌握的政策。每次纠错还必须说清改变的是号码分配、实体绑定、证书状态、日志证据，还是呼叫处置规则。

最终声明不应是“这个来电者可信”，而应是更窄的可核验句子：这份凭据覆盖这个号码；这个实体被声明以这一身份行动；这一机构建立并记录了绑定；当前状态与更正历史在这里查询。

来源

  1. STIR 再授权提案
  2. 现行获批 STIR 章程
  3. STIR 工作组文档
  4. STI 证书透明度 Internet-Draft
  5. RFC 8225：PASSporT
  6. RFC 8226：STIR 证书
  7. RFC 9060：STIR 证书委托
  8. 2026年4月9日 STIR 临时会议议程
  9. Heng Lu：The Policy Mirror