摘要

  • draft-ietf-stir-certificates-ocsp-14 用 TNQuery 把证书状态查询限定到一枚具体电话号码，弥补普通 OCSP 只回答整张证书状态的不足。
  • 签名响应中的 good + TNQuery 是号码授权范围的时点证据，不是对真人身份、来电目的或业务请求的背书。
  • unknown、缺少 TNQuery、响应过期与服务不可达必须保留不同原因；是否放行、提示或阻断仍是终止侧的本地政策。

一张有效证书里也可能少了一个号码

普通 OCSP 的词汇很简洁：good、revoked、unknown。但 STIR 委托证书可能覆盖一个动态号码集合。证书本身仍然有效，并不能说明某个刚刚转移或退出授权范围的号码仍可由它签名。

修订版 14 因此把号码放进单次请求扩展。验证服务通常从 PASSporT 的 orig 取值，通过 TNQuery 询问。响应方把同一号码写入签名响应，表达的是：在该响应的时间边界内，这张证书仍对这个号码有效。

这个结论很有用，也很窄。它没有看到拿着手机的人，没有核验通话内容，没有判断筹款、转账或验证码请求是否正当。RFC 8224 明确把验证后的授权政策留在规范范围之外。验证结果可以成为决策输入，却不是决策本身。

请求中有 TNQuery 而响应中没有，表示响应方无法确认号码仍在范围内。规范还要求客户端把 unknown 当作 not good。这两种情况都不是“已证明诈骗”。号码范围更新滞后、响应服务故障、证书链错误与真实冒用，可能在同一个粗糙红灯后面。若日志只写“已拦截”，证据差异就被系统自己抹掉了。

装订只改变回执的运送方式

实时查询会增加呼叫建立延迟。草案于是定义 PASSporT 的 stpl 声明，让认证服务随 PASSporT 携带预先取得或按呼叫取得的 OCSP 响应。

装订减少了验证端的一次网络往返，却没有扩张响应的含义。验证方仍需检查 OCSP 签名、时间、号码、证书路径、委托范围和 PASSporT。完成这些工作后，终止域才根据自己的规则选择放行、标记、追加验证或阻断。

规模也会制造新的缺口。一张覆盖大号段的证书，可能需要为每个潜在主叫号码准备一份装订响应。库存里的每份响应都能正确签名，并不等于库存覆盖完整。覆盖率、分发及时性、缓存过期与签名有效性是四项不同事实。

实时状态服务也看见了通话关系

TNQuery 不只是抽象证书编号。实时请求会把主叫号码交给 OCSP 服务，也会暴露哪个验证服务正在处理这通电话。TLS 可以遮挡被动窃听者，却不能让响应方看不见查询。装订减少按呼叫泄露，但增加库存与新鲜度治理。

运营方因此面对一个真正的权衡：实时查询可能更鲜活，却把更多通信元数据集中到状态服务；预生成装订减少可见性，却可能过期或缺号。证书颁发机构签了一张回执，不代表它也取得了替终止域作风险选择的权力。

把十张回执合成一个“可信”会失去什么

可审计记录应分别保存：观察到的 orig、证书及路径、号码授权范围、查询字节、签名响应及时间、实时或装订路径、验证结果、本地政策版本与理由、实际执行的通话处置、用户看到的结果。

这些记录分别回答“证书是否覆盖号码”“验证是否完成”“政策是否允许”“系统是否执行”“结果是否发生”。只留下一个“已验证来电”字段，会让纠错、申诉和事故复盘失去依据。

修订版 14 已获 IESG 批准并进入 RFC Editor 队列，但在正式发布前仍是 Internet-Draft。这个状态不证明任何运营商已经部署，也不证明某个产品合规，更不证明骚扰电话已经减少。

来源