STIR/SHAKEN क्या है, और अटेस्टेशन स्तर A, B और C क्या हैं?

कॉलर ID कभी प्रमाणित नहीं किया जाता था। बजते फोन पर दिखने वाला नंबर वह मान है जो कॉल शुरू करने वाले पक्ष ने एक फ़ील्ड में डाला। टेलीफोन नेटवर्क के अधिकांश इतिहास में आगे का कोई भी हिस्सा यह जाँच नहीं सकता था कि उस पक्ष को वह नंबर इस्तेमाल करने का अधिकार है या नहीं। STIR/SHAKEN वह फ्रेमवर्क है जो उस फ़ील्ड पर हस्ताक्षर जोड़ता है, ताकि दूसरा छोर यह जाँच कर सके।

कॉल करने वाले तक जो हिस्सा पहुँचता है, वह क्रिप्टोग्राफ़ी नहीं है। वह एक अकेला अक्षर है: A, B या C।

STIR/SHAKEN किसी कॉल में असल में क्या जोड़ता है?

यह कॉल सेट अप करने वाले SIP संदेश के Identity हेडर में एक हस्ताक्षरित टोकन रखता है। टोकन बताता है कि कॉल की पुष्टि कौन कर रहा है और वह कितनी पुष्टि कर रहा है।

यह टोकन Personal Assertion Token (PASSporT) है, और इसका SHAKEN एक्सटेंशन RFC 8588 में निर्दिष्ट है, जो मई 2019 का एक IETF Standards Track दस्तावेज़ है। यह मूल टोकन में दो दावे जोड़ता है। Secure Telephone Identity (STI) वह कार्य है जो SIP में प्रमाणित कॉलर पहचान जोड़ता है, और पहला दावा वही है जो आपको दिखेगा:

This provides three levels of attestation: a full attestation when the service provider can fully attest to the calling identity, a partial attestation when the service provider originated a telephone call but cannot fully attest to the calling identity, and a gateway attestation, which is the lowest level of attestation and represents the service provider receiving a call from a telephone gateway that does not support PASSporT or STI.

यह दावा स्वयं एक अकेला अक्षर है। RFC 8588 का सेक्शन 4:

The "attest" claim can be one of the following three values: 'A', 'B', or 'C'. These values correspond to 'Full Attestation', 'Partial Attestation', and 'Gateway Attestation', respectively.

RFC 8588 परिभाषाएँ किसी दूसरे दस्तावेज़ को सौंपता है: "See [ATIS-1000074] for the definitions of these three levels of attestation"। वह दस्तावेज़ IETF नहीं, बल्कि Alliance for Telecommunications Industry Solutions (ATIS) प्रकाशित करता है, और उसे मुफ़्त में नहीं पढ़ा जा सकता। इसलिए A और B के बीच की आधिकारिक रेखा पेवॉल के पीछे है, और यही एक कारण है कि इन स्तरों का वर्णन लगभग हमेशा दूसरे स्रोतों से मिलता है।

A, B और C का क्या अर्थ है?

A बताता है कि प्रोवाइडर जानता है कि आप कौन हैं और नंबर आपका है। B बताता है कि वह जानता है कि आप कौन हैं, पर यह नहीं कि नंबर आपका है। C बताता है कि वह दोनों में से कुछ नहीं जानता, क्योंकि कॉल उस तक कहीं और से पहुँची।

अमेरिका का संचार नियामक FCC अपने कॉलर ID प्रमाणीकरण पर Second Report and Order में इसका सार्वजनिक विवरण देता है, जो 17 नवंबर 2020 को 85 FR 73360 पर प्रकाशित हुआ। हर स्तर यह दर्ज करता है कि प्रोवाइडर कॉलर और नंबर के बारे में किस बात की पुष्टि कर सका। नियामक के अपने शब्द:

• A: "A provider assigns an A-level attestation when it is the entry point of the call onto the IP network, it can confirm the identity of the subscriber making the call, and the subscriber is using its associated telephone number."
• B: "A provider uses a B-level attestation to indicate that it is the entry point of the call onto the IP network and can confirm the identity of the subscriber but not the telephone number."
• C: "A provider uses a C-level attestation when it is the point of entry to the IP network for a call that originated elsewhere but has no relationship with the initiator of a call, such as when a provider is acting as an international gateway."

C स्तर पर प्रदाता कॉल का स्रोत नहीं, बल्कि केवल एक प्रवेश-द्वार होता है, इसीलिए वह किसी भी बात की पुष्टि नहीं कर सकता।

इसीलिए यह स्तर कोई रेटिंग नहीं है। पूरी तरह वैध कॉल को भी B मिल सकता है, क्योंकि कॉलर ऐसा नंबर दिखाता है जो प्रदाता ने जारी नहीं किया और जिसकी पुष्टि का उसके पास कोई तरीका नहीं है। परेशान करने वाली कॉल को भी A मिल सकता है, क्योंकि उसे करने वाली इकाई एक जानी-पहचानी ग्राहक है जो अपना ही नंबर इस्तेमाल कर रही है। यह अक्षर प्रदाता के पास मौजूद प्रमाण बताता है, कॉल का इरादा नहीं।

मुझे A मिलेगा या नहीं, यह कौन तय करता है?

कॉल पर हस्ताक्षर करने वाला प्रदाता यह तय करता है, और इसके लिए वह अपनी खुद की तय की हुई जाँच इस्तेमाल करता है।

FCC का वही आदेश कहता है कि हर प्रदाता अपनी जाँच खुद तय करता है:

The method or process a provider uses to determine the legitimacy of the caller's use of a telephone number is specific to each provider. As a result, a provider's reputation is tied to the rigor of its evaluation process.

इसलिए ऐसा कोई बाहरी मानक नहीं है जिसे पूरा करके आप A के हकदार बन जाएँ, और न ही कोई सेटिंग जो A दिला दे। एक प्रदाता होता है जो तय करता है कि उसने आपके बारे में दो बातें स्थापित की हैं या नहीं, और गलत निर्णय होने पर उसकी साख को नुकसान उसी को उठाना पड़ता है। व्यवहार में सवाल "how do I get an A" नहीं, बल्कि "what has my provider established about me and about this number" है, और दूसरे हिस्से का जवाब आमतौर पर कॉलर ID सत्यापन होता है। कॉलर ID में नंबर पंजीकृत करने और उस पर अपना नियंत्रण साबित करने का तरीका बताया गया है, और यही वह कदम है जिससे बदलता है कि आपके बारे में क्या दावा किया जा सकता है।

कॉल ले जाने वाले प्रदाता से जारी हुए नंबरों की स्थिति उन नंबरों से अलग होती है जो आपके पास कहीं और से हैं और जिन्हें आप उस प्रदाता के ज़रिए दिखाते हैं। Bird की अपनी कॉलर ID गाइड दूसरी ओर से यही बात कहती है। उसमें बताए गए कारणों में एंटी-स्पूफ़िंग फ़्रेमवर्क भी शामिल हैं, जिनकी वजह से कहीं और से लिया गया नंबर दूसरे छोर तक सही-सलामत नहीं पहुँच पाता।

क्या A मिलने का मतलब है कि मेरी कॉल पहुँच जाएगी?

नहीं। मानक अटेस्टेशन को किसी और के निर्णय का एक इनपुट मानते हैं।

FCC का आदेश बताता है कि ये स्तर किसलिए हैं:

The STIR/SHAKEN standards envision these various attestation levels as information that can facilitate traceback and to enhance the spam identification solutions that terminating voice service providers enable for their customers.

इससे दो परिणाम निकलते हैं। ट्रेसबैक बाद में किया जाने वाला उपयोग है: SHAKEN का दूसरा दावा एक ओरिजिनेशन पहचानकर्ता है, जो इसलिए मौजूद है ताकि जाँचकर्ता किसी अवैध कॉल को उस बिंदु तक वापस खोज सके जहाँ से वह नेटवर्क में आई। स्पैम पहचान तत्काल उपयोग है। इसे प्राप्त करने वाला कैरियर और उसका एनालिटिक्स साझेदार चलाते हैं। यह अटेस्टेशन को कई संकेतों में से एक मानती है। हस्ताक्षरित A-स्तर वाली कॉल पर भी लेबल लग सकता है, और मेरी कॉल पर स्पैम की आशंका का लेबल क्यों लगता है में बताया गया है कि लेबल कौन लगाता है और उसके खिलाफ़ क्या उपाय हैं।

अटेस्टेशन क्यों नहीं पहुँचा?

क्योंकि हेडर हर रूट पर सुरक्षित नहीं पहुँचता।

FCC का आदेश यह प्रक्रिया साफ़ शब्दों में बताता है: "if a call is routed at any point over an interconnection point or intermediate provider network that does not support the transmission of SIP calls, the Identity header will be lost." कोई कॉल शुरुआत में सही तरीके से साइन की जा सकती है और फिर भी दूसरे छोर पर ऐसी स्थिति में पहुँच सकती है कि उसमें सत्यापित करने के लिए कुछ न हो, क्योंकि बीच का कोई हिस्सा SIP नहीं था।

यही आदेश यह भी बताता है कि कॉल प्राप्त करने वाले प्रोवाइडर की अपनी पहुँच उतनी ही मायने रखती है जितनी आपकी। वह प्रमाणीकरण जानकारी पर तभी कार्रवाई कर सकता है जब वह उसे सत्यापित कर सके। जहाँ हेडर गायब हो, वहाँ कार्रवाई के लिए कुछ नहीं बचता। इसलिए दूसरे छोर पर बिना साइन वाली कॉल इस बात का सबूत नहीं है कि कॉल शुरू करने वाले प्रोवाइडर ने साइन नहीं किया। दोनों के बीच का रास्ता भी किसी एक छोर के पूरे नियंत्रण में नहीं होता।

अटेस्टेशन सुरक्षित पहुँचने पर एक मज़बूत संकेत है और न पहुँचने पर कुछ नहीं बताता। इसलिए इसे कॉल का जवाब मिलने की प्रक्रिया का एक हिस्सा मानें, न कि वह तंत्र जो कॉल को पहुँचाता है।