Чому ми відправляємо атестацію STIR/SHAKEN у перший день

вступ

STIR/SHAKEN — це структура, яку оператори зв’язку США та Канади використовують для криптографічної гарантії ідентифікатора абонента під час вихідного виклику. STIR — це протокол (Secure Telephone Identity Revisited). SHAKEN — це рівень керування на стороні оператора, який визначає, який виклик отримує який рівень атестації. Разом вони дозволяють оператору зв’язку довести, що ідентифікатор абонента під час виклику не був підроблений під час передачі.

Є три рівні атестації. А-рівень означає, що вихідний оператор автентифікував як абонента, так і право на використання номера. B-рівень означає, що оператор автентифікував абонента, але не може ручатися за номер. С-рівень це "ми знаємо, хто передав нам цей дзвінок, але нічого іншого". Все, що нижче C, є беззнаковим, і непідписані виклики все частіше розглядаються як підозрілі.

Мандат FCC щодо STIR/SHAKEN для голосових IP-мереж діє з 2021 року.

Що змінилося за останні 18 місяців, так це те, що основні оператори мобільного зв’язку в США — Verizon, T-Mobile, AT&T — перейшли від «ми дивимось на атестацію» до «ми оцінюємо рівень відповідей і ймовірність тегів спаму в основному на основі атестації». Це та частина, яка змінила економіку для наших клієнтів, і тому ми перестали розглядати атестацію як необов’язкову.

Чому більшість постачальників стягують за це плату

Атестація коштує перевізнику реальних грошей. Щоб підписати A-level, вихідний оператор має підтвердити право клієнта на використання номера, підтримувати сертифікат від уповноваженого STI-CA (Secure Telephone Identity Certificate Authority) і керувати інфраструктурою підпису. Плата за сертифікат не є тривіальною. Аудити «Знай свого клієнта» та володіння номерами не є тривіальними.

Тож більшість постачальників хмарних телефонів підраховують і роблять висновок, що атестація має бути функцією вищого рівня: безкоштовні клієнти та початкові плани отримують атестацію C або не мають атестації, платні плани отримують B, корпоративні плани отримують A. Це раціонально з огляду на прибутки та збитки постачальника. Це нераціонально з огляду на прибутки та збитки клієнта.

Клієнт платить за вихідні дзвінки, які підключаються. Дзвінок із сертифікатом B із початкового плану на мобільний номер Verizon має значно нижчу швидкість з’єднання, ніж виклик із сертифікатом A.

Клієнт-початківець насправді не економить гроші; вони платять за трафік, який не завершується, і платять за нього двічі — один раз за хвилини оператора та один раз за угоди, які вони ніколи не закривають, оскільки виклик було позначено як спам.

Що це змінило для наших клієнтів

Коли ми запровадили атестацію рівня A за замовчуванням для кожного плану, ми відстежували коефіцієнт захоплення відповіді (ASR) для вихідних дзвінків до трьох великих операторів мобільного зв’язку в США, до та після, для кожного клієнта. Цифри були однозначними.

• Середня вихідна ASR на мобільні номери США зросла з 38,4% до 51,7% за 60 днів після того, як ми ввімкнули атестацію за замовчуванням — відносне покращення на 35%.
• Частота спам-тегів (де оператор призначення позначив дзвінок як «Імовірно спам» або подібний) впав з 11,2% до 2,9%.
• Повторно наберіть гучність — кількість повторних дзвінків, які клієнти здійснюють до того самого пункту призначення після невдачі першого дзвінка — впала на 22%.

Клієнти, які найбільше постраждали, стосуються стоматологічних практик, планування медичних послуг, послуг на дому та будь-яких інших компаній, які здійснюють дзвінки для підтвердження запису. Це також компанії, які найбільше скаржаться на те, що «штучний інтелект дзвонить клієнтам, але вони ніколи не відповідають». Виявляється, значуща частина слова «вони ніколи не беруть трубку» насправді була «дзвінок був позначений як спам, імовірно, до того, як пролунав телефонний дзвінок».

Як ми робимо підпис A-level для кожного облікового запису

Атестація рівня A вимагає, щоб ми, як вихідний оператор, підтвердили, що клієнт має право використовувати номер телефону. У нас це відбувається трьома способами.

Для чисел надається через Ajoxi, верифікація автоматична — ми видали номер і володіємо ланцюгом зберігання. Це переважна більшість вихідного трафіку на платформі.

для перенесені номери, перевірка відбувається після завершення порту. Після отримання підтвердження LNP (перенесення локального номера) ми оновлюємо наш запис STI-PA (адміністратор політики), щоб пов’язати номер з обліковим записом клієнта, і атестація A активується протягом 15 хвилин.

для Номери BYOC (Bring Your Own Carrier)., якщо клієнт хоче використовувати Ajoxiдля вихідних повідомлень, але залишити свого існуючого оператора для вхідних, ми запускаємо одноразовий виклик атестації: ми здійснюємо короткий тестовий дзвінок з номера BYOC і підтверджуємо, що клієнт може створити унікальний маркер, доставлений під час тестового дзвінка.

Поки цей виклик не буде пройдено, номер підписує B-атестацію, а не A.

Крайні випадки та недоліки, про які варто знати

Є три місця, де система поводиться не так, як ви могли б очікувати, і ми навчилися чітко їх виявляти, а не тихо деградувати.

Перший міжнародний вихідний. STIR/SHAKEN — це північноамериканська структура. Дзвінки в більшість інших регіонів або ігнорують атестацію, або знімають її на кордоні. Ми засвідчуємо, де це можливо, і чітко заявляємо, що ця структура не передбачає жодних переваг, які виходять, скажімо, до Німеччини.

Другий є вікова репутація. Навіть з атестацією A абсолютно новий номер без історії дзвінків сприймається аналітикою спаму більш підозріло, ніж номер із шестимісячним нормальним використанням. Ми попереджаємо клієнтів, коли вони починають масштабну кампанію на новому номері, і рекомендуємо 7–10-денну розминку на помірній гучності.

Третій є відображуване ім'я проти ідентифікатора абонента. STIR/SHAKEN засвідчує номер абонента, а не текст CNAM (ім’я абонента), який деякі оператори показують поруч. CNAM — це окремий пошук у базі даних із надзвичайно суперечливою галузевою історією. Деякі оператори кешують CNAM протягом 30 днів; деякі ніколи не оновлюють його.

Ми оновлюємо CNAM під час ініціалізації та знову після будь-якої зміни фірмової назви, але клієнти повинні очікувати багатоденного вікна розповсюдження, перш ніж нижчі оператори відобразять це.

Що атестація не фіксує

А-атестація не є безкоштовною. Він повідомляє перевізнику призначення: «Ми можемо довести, від кого це номер, і що вони мають право використовувати цей номер». Це не повідомляє оператору призначення "цей абонент добре себе поводив". Клієнт, який набирає один і той самий житловий номер 14 разів протягом двох днів, все одно отримає тег спаму, незалежно від того, чи є атестація А чи ні.

Моделі аналітики спаму через оператора розглядають атестацію, частоту дзвінків, співвідношення здійснених і спробованих дзвінків, подібність шаблонів викликів до відомих шаблонів спаму та прямі звіти користувачів (кнопка «Повідомити про спам» на панелі номеру). Атестація приведе вас до правого боку першого входу. Решта залежить від поведінки викликів, а поведінку ми можемо формувати, але не контролюємо.

Те, що ми можемо зробити — і те, що постачається в комплекті з атестацією на нашій платформі — це автоматичне обмеження швидкості щодо обмежень набору номерів для кожного пункту призначення, вікно дедуплікації, яке блокує повторні набирання того самого номера в межах налаштованого інтервалу, і правило «не дзвонити після N спроб», яке застосовується до всього облікового запису.

То чому б не платити за це?

Тому що клієнт тарифного плану 29 доларів США на місяць, який телефонує для підтвердження зустрічей, має таку саму потребу, що й клієнт тарифного плану 2900 доларів США на місяць, який набирає номер для підтвердження зустрічей. Гранична вартість атестації ще одного виклику після оплати інфраструктури сертифіката є помилкою округлення.

Гранична вигода для клієнта велика — і зосереджена на меншому клієнті, який інакше втратив би ціну на функцію, яка фактично підтримує їхній бізнес.

Інша причина полягає в тому, що дефолт галузі швидко змінюється. Протягом 24 місяців непідписаний вихідний трафік у США стане скоріше винятком, ніж правилом. Постачальники, які проводили атестацію за платним доступом у 2025 році, спокійно введуть його за замовчуванням у 2027 році, оскільки їхні клієнти вимагатимуть цього.

Ми краще зробимо це зараз, на наших умовах, ніж зробимо це пізніше, тому що нас змусив ринок.

Тут немає мудрого уроку доходів. Ми зробили функцію за замовчуванням, тому що це правильно за замовчуванням, і ми встановили ціну на решту продукту, щоб вона все ще працювала. Іноді дзвінок щодо правильного продукту та дзвінок щодо правильного ціноутворення є одним і тим же.