Голосовий зв'язок залишається критично важливим каналом комунікації для бізнесу та державних установ, проте довіра до нього падає через масове використання підмінених номерів. Згідно зі звітом CFCA Global Fraud Loss Survey 2025, глобальні втрати від телекомунікаційного шахрайства сягнули позначки приблизно у 41.82 мільярда доларів. Головним вектором атак залишається спуфінг Caller ID, адже традиційні сигнальні протоколи не мають вбудованих засобів перевірки походження виклику.
Для криптографічного підтвердження легітимності номера розроблено стандарти STIR/SHAKEN. Проте їх впровадження на рівні транзитних мереж — це комплексна модернізація голосового ядра, яка вимагає інтеграції антифрод-систем із гнучкими операторськими платформами.
Анатомія спуфінгу: чому SIP-мережі вразливі до підміни Caller ID за замовчуванням
У базовій архітектурі SIP (Session Initiation Protocol) ідентифікація ініціатора виклику передається в заголовках SIP INVITE, таких як From або P-Asserted-Identity. Проблема полягає в тому, що транзитний вузол або недобросовісний ініціатор може вписати туди будь-які значення, а мережа отримувача за замовчуванням довіряє цим метаданим.
Така архітектурна особливість призводить до поширення кількох типів фроду:
- Фішингові дзвінки (vishing): Зловмисники імітують номери кол-центрів банків або платіжних систем, маніпулюючи довірою користувачів для отримання конфіденційних даних.
- Імітація офіційних установ: Несанкціонована зміна ідентифікатора абонента для імітації дзвінків від імені державних органів, податкових служб або поліції.
- Обхід міжоператорської тарифікації: Підміна номерів на рівні SIP-транку між операторами зв'язку з метою маскування дорогого міжнародного трафіку під дешевший локальний.
Крім того, значна частка викликів у мобільних мережах проходить через застарілі сигнальні протоколи. Згідно з даними ENISA Threat Landscape 2025, експлуатація вразливостей протоколів SS7 та Diameter створює актуальні ризики для безпеки, генеруючи тисячі інцидентів. Хоча стандарти автентифікації на рівні IP не здатні безпосередньо закрити вразливості SS7, вони утворюють необхідний бар'єр на стику з сучасними IP-мережами.
Стандарти STIR/SHAKEN: криптографічний захист голосового трафіку через SIP Identity
Технологічне ядро захисту базується на двох пов'язаних групах стандартів:
- STIR (Secure Telephone Identity Revisited): Визначений у специфікації IETF RFC 8224. Він описує криптографічне підписання інформації про походження виклику за допомогою заголовка Identity. Цей заголовок передає зашифрований JWT-токен, підписаний приватним ключем оператора-відправника (originating provider).
- SHAKEN (Signature-based Handling of Asserted information using toKENS): Регламентує процеси управління сертифікатами (Certificate governance) та правила впровадження STIR на рівні телеком-інфраструктури відповідно до вимог регуляторів (наприклад, FCC).
Під час виклику сервер автентифікації оператора перевіряє право клієнта на використання номера, генерує Identity-заголовок та відправляє SIP INVITE у транзит. Оператор отримувача завантажує відповідний публічний ключ і дешифрує підпис, верифікуючи походження виклику.
Рівні атестації (A, B, C): як оператори класифікують рівень довіри до виклику
Стандарт SHAKEN вимагає від оператора, що здійснює підпис виклику, присвоїти йому один із трьох рівнів атестації (Attestation Levels), який відображає ступінь довіри до номера:
| Рівень атестації | Опис критерію довіри |
|---|---|
| Рівень A (Full Attestation) | Оператор повністю ідентифікував клієнта та підтверджує його право використовувати конкретний номер Caller ID. |
| Рівень B (Partial Attestation) | Оператор ідентифікував клієнта, який здійснює виклик, але не може підтвердити його право на використання цього номера Caller ID (наприклад, корпоративна АТС). |
| Рівень C (Gateway Attestation) | Оператор лише фіксує, що виклик надійшов у його мережу з іншої мережі (наприклад, міжнародний транзит), без верифікації клієнта чи номера. |
Термінальний оператор на основі цих рівнів може налаштовувати гнучкі політики: від відображення позначки «Verified» для викликів класу A до автоматичного блокування або маркування «Спам» для підозрілих дзвінків рівня C.
Архітектурні виклики впровадження: сертифікати, транзит та взаємодія з застарілими мережами
Перехід до криптографічної перевірки вимагає подолання низки інженерних викликів. Головний з них — втрата метаданих при транзиті. Якщо маршрут виклику включає TDM-ділянки (Time-Division Multiplexing), заголовок Identity зникає, оскільки старі формати сигналізації не передбачають передачу великих текстових блоків.
Інша проблема стосується продуктивності обладнання. Валідація кожного SIP-запиту в реальному часі суттєво навантажує прикордонні контролери сесій (SBC). Це спонукає операторів оптимізувати обчислювальні ресурси та розгортати комплексну інфраструктуру відкритих ключів (PKI) для постійного обміну списками відкликаних сертифікатів.
Комплексний захист голосового ядра: інтеграція автентифікації з операторськими платформами
Впровадження STIR/SHAKEN є критично важливим, але воно не означає значна частина ліквідацію шахрайства. Технологія забезпечує довіру до номера, але не гарантує доброчесність самого абонента (наприклад, якщо легітимний кол-центр з рівнем A починає агресивний спам). Тому криптографічна перевірка повинна працювати разом з інтелектуальною маршрутизацією та антифрод-аналітикою.
Для операторів зв'язку модернізація голосового ядра часто реалізується через рішення з екосистеми Intecracy Group. Зокрема, платформа DooxSwitch для телеком-операторів забезпечує гнучку LCR-маршрутизацію, тарифікацію в реальному часі та контроль SIP-трафіку. DooxSwitch дозволяє інтегрувати механізми автентифікації викликів у маршрут обробки дзвінка, виступаючи сполучною ланкою між сигналізацією та серверами верифікації (AS/VS) без необхідності повної заміни застарілих BSS/OSS систем.
Водночас для організації адміністративних порталів, моніторингу політик безпеки та управління внутрішніми процесами використовуються механізми платформи UnityBase: RBAC/RLS, audit trail та швидке формування API. Висока продуктивність серверного ядра UnityBase дозволяє розгортати захищені enterprise-рішення для роботи з реєстрами сертифікатів і логуванням інцидентів, забезпечуючи надійну інтеграцію на рівні операторського бекенду.
Лише такий архітектурний підхід, що поєднує стандартизовану криптографію, сучасні VoIP-комутатори та надійні enterprise-платформи, здатен системно протистояти фроду та відновити довіру до голосових комунікацій.
Поширені питання
Як саме STIR/SHAKEN використовує SIP Identity header для перевірки номера?
Відповідно до IETF RFC 8224, при ініціації виклику мережа відправника створює заголовок Identity у повідомленні SIP INVITE. Цей заголовок містить криптографічно підписаний за допомогою приватного ключа JWT-токен. Оператор отримувача бере публічний ключ відправника з довіреного репозиторію та дешифрує токен для підтвердження легітимності ідентифікатора Caller ID.
Чи захищає STIR/SHAKEN від вразливостей у сигнальних протоколах SS7 та Diameter?
Ні, стандарти STIR/SHAKEN працюють виключно на рівні SIP/IP-сигналізації. Вони не вирішують архітектурних проблем застарілих протоколів SS7 та Diameter, експлуатація яких досі створює інциденти безпеки за даними ENISA. Однак STIR/SHAKEN формує лінію захисту на етапі входження трафіку в сучасні IP-мережі.
Які технічні вимоги до операторського обладнання для підтримки автентифікації Caller ID?
Операторські SBC (Session Border Controllers) або Softswitch (наприклад, класу DooxSwitch) повинні коректно обробляти метадані SIP Identity згідно з RFC 8224, вміти взаємодіяти з серверами автентифікації/верифікації (AS/VS) через API та не створювати критичних затримок під час криптографічної перевірки в реальному часі.