Dlaczego wysyłamy atest STIR/SHAKEN już pierwszego dnia

Wstęp

STIR/SHAKEN to platforma używana przez operatorów amerykańskich i kanadyjskich do kryptograficznego potwierdzania identyfikatora rozmówcy w przypadku połączenia wychodzącego. STIR to protokół (Secure Telephone Identity Revisited). SHAKEN to warstwa zarządzania po stronie operatora, która określa, które wywołanie otrzymuje jaki poziom zaświadczenia. Razem pozwalają one operatorowi działającemu na rynku niższego szczebla udowodnić, że identyfikator rozmówcy podczas połączenia nie został sfałszowany podczas przesyłania.

Istnieją trzy poziomy atestacji. Poziom A oznacza, że ​​przewoźnik inicjujący uwierzytelnił zarówno osobę dzwoniącą, jak i prawo do korzystania z numeru. Poziom B oznacza, że ​​przewoźnik uwierzytelnił osobę dzwoniącą, ale nie może ręczyć za numer. Poziom C brzmi: „wiemy, kto przekazał nam ten telefon, ale nic więcej”. Wszystko poniżej C jest niepodpisane, a wywołania niepodpisane są coraz częściej traktowane jako podejrzane.

Nakaz FCC dotyczący STIR/SHAKEN w sieciach głosowych IP obowiązuje od 2021 r.

To, co zmieniło się w ciągu ostatnich 18 miesięcy, to fakt, że główni amerykańscy operatorzy komórkowi — Verizon, T-Mobile, AT&T — przeszli od zasady „patrzymy na atesty” do „oceniamy współczynnik odpowiedzi i prawdopodobieństwo obecności tagów spamowych w dużej mierze na podstawie atestów”. To jest ta część, która zmieniła ekonomikę dla naszych klientów i dlatego przestaliśmy traktować atest jako opcjonalny.

Dlaczego większość dostawców pobiera za to opłaty

Zaświadczenie kosztuje przewoźnika prawdziwe pieniądze. Aby podpisać umowę na poziomie A, operator inicjujący musi zweryfikować prawo klienta do używania numeru, posiadać certyfikat od autoryzowanego urzędu certyfikacji STI-CA (urzędu certyfikacji bezpiecznej tożsamości telefonicznej) i obsługiwać infrastrukturę do podpisywania. Opłaty za certyfikaty nie są trywialne. Audyty „Know-Your-Customer” i „Własność numerów” nie są trywialne.

Dlatego większość dostawców telefonów w chmurze przeprowadza obliczenia i dochodzi do wniosku, że zaświadczenie powinno być funkcją wyższego poziomu: klienci bezpłatni i plany początkowe otrzymują certyfikat C lub nie otrzymują zaświadczenia, plany płatne otrzymują B, plany korporacyjne otrzymują A. Jest to racjonalne na podstawie zysków i strat dostawcy. Jest to nieracjonalne z punktu widzenia zysków i strat klienta.

Klient płaci za połączenia wychodzące, które się łączą. Połączenie z certyfikatem B z planu startowego na numer komórkowy Verizon ma znacznie niższą stawkę za połączenie niż połączenie z certyfikatem A.

Klient początkowy tak naprawdę nie oszczędza pieniędzy; płacą za ruch, który się nie kończy, i płacą za niego podwójnie — raz za minuty operatora i raz za transakcje, których nigdy nie zamykają, ponieważ połączenie zostało oznaczone jako spam.

Co to zmieniło dla naszych klientów

Kiedy domyślnie dla każdego planu udostępniliśmy certyfikat na poziomie A, monitorowaliśmy współczynnik odpowiedzi (ASR) dla połączeń wychodzących do trzech dużych amerykańskich operatorów komórkowych, przed i po, dla poszczególnych klientów. Liczby były jednoznaczne.

• Średni ASR wychodzący na numery komórkowe w USA wzrósł z 38,4% do 51,7% w ciągu 60 dni od domyślnego włączenia zaświadczania, co oznacza względną poprawę o 35%.
• Współczynnik tagów spamowych (gdzie operator docelowy oznaczył połączenie jako „prawdopodobnie spam” lub podobne) spadł z 11,2% do 2,9%.
• Wybierz ponownie głośność — liczba ponownych połączeń wykonywanych przez klientów do tego samego miejsca docelowego po nieudanym pierwszym połączeniu — spadła o 22%.

Najbardziej dotkniętymi klientami były gabinety dentystyczne, placówki opieki zdrowotnej, usługi domowe i wszelkie inne firmy, które dzwonią w celu potwierdzenia wizyt. To także firmy, które najbardziej narzekają, że „sztuczna inteligencja dzwoni do klientów, a oni nigdy nie odbierają”. Okazuje się, że znacząca część stwierdzenia „nigdy nie odbierają” to w rzeczywistości „połączenie zostało oznaczone tagiem Prawdopodobnie spam, zanim zadzwonił telefon”.

Jak wykonujemy podpisywanie na poziomie A dla każdego konta

Zaświadczenie na poziomie A wymaga od nas, jako przewoźnika inicjującego, sprawdzenia, czy klient ma prawo korzystać z numeru dzwoniącego. Dzieje się to w naszym przypadku na trzy sposoby.

Dla liczb udostępniane przez Ajoxi, weryfikacja jest automatyczna – nadaliśmy numer i jesteśmy właścicielami łańcucha dostaw. To zdecydowana większość ruchu wychodzącego na platformie.

Dla przeniesione numery, weryfikacja odbywa się w momencie zakończenia przenoszenia. Po otrzymaniu potwierdzenia LNP (przenoszenie numeru lokalnego) aktualizujemy nasz rekord STI-PA (administrator zasad), aby powiązać numer z kontem klienta, a zaświadczenie A zostanie aktywowane w ciągu 15 minut.

Dla Numery BYOC (Bring Your Own Carrier)., gdzie klient chce używać Ajoxidla ruchu wychodzącego, ale zachować swojego dotychczasowego operatora dla ruchu przychodzącego, przeprowadzamy jednorazowe wyzwanie atestacyjne: wykonujemy krótkie połączenie testowe z numeru BYOC i potwierdzamy, że klient może wygenerować unikalny token dostarczony przez połączenie testowe.

Dopóki to wyzwanie nie minie, liczba będzie oznaczona na świadectwie B, a nie A.

Przypadki Edge i wskazówki, o których warto wiedzieć

Istnieją trzy miejsca, w których system nie zachowuje się tak, jak można by się spodziewać, i nauczyliśmy się je wyraźnie ujawniać, zamiast po cichu ulegać degradacji.

Pierwszym jest wyjazd międzynarodowy. STIR/SHAKEN jest frameworkiem północnoamerykańskim. Połączenia z większością innych regionów albo ignorują zaświadczenie, albo usuwają je na granicy. W stosownych przypadkach zaświadczamy i wyraźnie stwierdzamy, że ramy nie zapewniają żadnych korzyści wychodzących, powiedzmy, do Niemiec.

Drugie jest reputacja według wieku. Nawet z certyfikatem A nowy numer bez historii połączeń jest traktowany przez analitykę spamu operatora bardziej podejrzanie niż numer używany przez sześć miesięcy normalnego użytkowania. Ostrzegamy klientów, gdy rozpoczynają kampanię o dużym wolumenie od nowego numeru i zalecamy 7–10 dni na rozgrzewkę przy umiarkowanej głośności.

Trzeci jest nazwa wyświetlana a identyfikator dzwoniącego. STIR/SHAKEN potwierdza numer dzwoniący, a nie tekst CNAM (nazwa dzwoniącego), który niektórzy operatorzy wyświetlają obok niego. CNAM to osobne narzędzie do wyszukiwania baz danych, które ma niezwykle niespójne osiągnięcia w branży. Niektórzy przewoźnicy buforują CNAM przez 30 dni; niektórzy nigdy tego nie odświeżają.

Aktualizujemy CNAM podczas udostępniania i ponownie po każdej zmianie nazwy marki, ale klienci powinni spodziewać się wielodniowego okna propagacyjnego, zanim przewoźnicy niższego szczebla uwzględnią tę informację.

Jakiego zaświadczenia nie naprawia

Certyfikat A nie jest przepustką bezpłatną. Mówi przewoźnikowi docelowemu, że „możemy udowodnić, od kogo pochodzi ta wiadomość i że ma on prawo używać tego numeru”. Nie informuje przewoźnika docelowego, że „ten rozmówca jest grzeczny”. Klient, który wybierze ten sam numer stacjonarny 14 razy w ciągu dwóch dni, nadal zostanie oznaczony jako spam, niezależnie od tego, czy ma certyfikat A, czy nie.

Modele analizy spamu operatora uwzględniają poświadczenia, częstotliwość połączeń, stosunek połączeń wykonanych do prób, podobieństwo wzorców połączeń do znanych wzorców spamu oraz bezpośrednie raporty użytkowników (przycisk „Zgłoś spam” w dialerze). Zaświadczenie przenosi Cię na prawą stronę pierwszego wejścia. Reszta zależy od zachowania wywołującego, a zachowanie jest czymś, co możemy kształtować, ale nie możemy tego kontrolować.

To, co możemy zrobić — i co jest dostarczane w pakiecie z zaświadczeniem na naszej platformie — to automatyczne ograniczanie prędkości w stosunku do limitów wybierania dla poszczególnych miejsc docelowych, okno deduplikacji, które blokuje ponowne wybieranie tego samego numeru w konfigurowalnym przedziale czasu, oraz zasada „nie dzwoń po N próbach” obowiązująca na całym koncie.

Dlaczego więc nie pobierać za to opłat?

Ponieważ klient korzystający z planu dzwonienia za 29 USD miesięcznie w celu potwierdzania spotkań ma takie same potrzeby, jak klient korzystający z planu dzwonienia za 2900 USD miesięcznie w celu potwierdzania spotkań. Koszt krańcowy poświadczenia jeszcze jednego wywołania po opłaceniu infrastruktury certyfikatu jest błędem zaokrągleń.

Krańcowa korzyść dla klienta jest duża i koncentruje się na mniejszym kliencie, którego cena w przeciwnym razie zostałaby wyceniona na podstawie funkcji, która faktycznie zapewnia funkcjonowanie jego firmy.

Innym powodem jest to, że domyślne standardy branżowe szybko się zmieniają. W ciągu 24 miesięcy niepodpisany ruch wychodzący w USA będzie raczej wyjątkiem niż regułą. Dostawcy, którzy w 2025 r. posiadali zaświadczenie za zaporą płatniczą, w 2027 r. po cichu sprawią, że będzie ono niewypłacalne, ponieważ będą tego żądać ich klienci.

Wolelibyśmy to zrobić teraz, na naszych warunkach, niż później, bo rynek nas do tego zmusił.

Nie ma tu żadnej mądrej lekcji dotyczącej dochodów. Przyjęliśmy funkcję domyślną, ponieważ jest to właściwa wartość domyślna, a resztę produktu wyceniliśmy, aby nadal działała. Czasami właściwa rozmowa dotycząca produktu i właściwa cena to to samo wezwanie.