Gesaan dan konteks
Beberapa penyedia perkhidmatan telefon tidak dapat menjamin bahawa pengisyaratan SIP membawa PASSporT dari hujung ke hujung. Berdasarkan RFC 9888, reka bentuk Call Placement Service (CPS) luar jalur dan terangkan penemuan, penyerahan dan perolehan semula, pembenaran mTLS, tamat tempoh, saling kendali get laluan serta risiko privasi.
RFC 9888 menyasarkan penyedia perkhidmatan besar yang tidak dapat membawa PASSporT secara andal melalui SIP. Sebuah OOB Authentication Service (OOB-AS) menyerahkan PASSporT kepada CPS melalui HTTP, dan sebuah OOB Verification Service (OOB-VS) memperolehnya semula melalui kaedah tarik (pull) atau menerimanya melalui tolak (push). Temu duga ini menguji sempadan kepercayaan dan jangka hayat objek, bukannya baldi REST generik.
Perkara yang dinilai oleh penemu duga
Penemu duga mencari tanggungjawab yang jelas antara kelayakan STIR, PASSporT, CPS, OOB-AS dan OOB-VS; model pengiklanan CPS dan pembenaran julat nombor telefon yang boleh dipercayai; mTLS, kuota dan tetingkap kesegaran yang singkat untuk menentang pemalsuan, main semula (replay) dan pembanjiran (flooding); serta penjelasan konkrit tentang perolehan semula pelbagai penyedia, penukaran get laluan, privasi metadata dan dasar kegagalan.
Soalan penjelasan
Peserta dan sempadan rangkaian
Kenal pasti siapa yang menandatangani PASSporT, siapa yang mengendalikan CPS penyedia destinasi, sama ada OOB-VS menarik atau melanggan tolak, dan laluan mana yang merentasi get laluan PSTN atau rangkaian legasi.
Matlamat ketulenan dan privasi
Jelaskan sama ada sistem mesti membuktikan identiti pemanggil, mengurangkan pemalsuan nombor (spoofing), atau turut menyembunyikan metadata panggilan. Dalam model penyedia RFC 9888, CPS dikendalikan oleh peserta panggilan, jadi andaian privasinya berbeza daripada perkhidmatan OOB Internet terbuka.
Kependaman dan pengekalan
Tentukan kelewatan maksimum yang dibenarkan sebelum menunjukkan penunjuk panggilan, toleransi herotan jam (clock skew), dan sama ada PASSporT hanya diperlukan sehingga pengesahan selesai. CPS bukanlah arkib jangka panjang.
Jawapan 30 saat
“Saya akan menerbitkan iklan CPS bertandatangan yang mengikat SPC atau julat nombor telefon kepada URI HTTPS. OOB-AS akan menyerahkan PASSporT melalui mTLS menggunakan kelayakan STIR yang dipercayai; CPS akan membenarkan destinasi, menggunakan kuota dan mengekalkan setiap objek hanya sepanjang tetingkap kesegarannya. OOB-VS boleh menarik selepas panggilan tiba atau melanggan tolak mengikut julat. CPS pelbagai penyedia mesti membenarkan bacaan menggunakan destinasi PASSporT dan TNAuthList. Get laluan hanya menterjemah dalam skop yang diwakilkan. Saya akan mengukur tamat tempoh, pendua, permintaan tanpa kebenaran dan kependaman, serta mendokumentasikan sempadan pengumpulan metadata.”
Penyelesaian langkah demi langkah
Langkah 1: Petakan kepercayaan dan aliran data
OOB-AS mencipta atau membawa PASSporT dan menyerahkannya kepada CPS destinasi. CPS menerimanya di bawah iklan dan dasar tempatan. OOB-VS hanya menerima julat destinasi yang dibenarkan untuk disahkan. Pengesahan masih memeriksa tandatangan PASSporT, orig, dest dan kesegaran; ketibaan daripada CPS tidak menggantikan pengesahan kriptografi.
Langkah 2: Terbitkan iklan CPS yang selamat
Iklan memetakan SPC atau julat nombor telefon kepada URI HTTPS CPS. Ia harus ditandatangani oleh kelayakan STIR yang dipercayai, dan penerima membandingkan TNAuthList penandatangan dengan julat yang diiklankan. Ini menghalang mana-mana pemegang kelayakan daripada merampas julat. Penemuan boleh menggunakan konfigurasi, pangkalan data atau DNS selamat, tetapi cache memerlukan pemversian dan tamat tempoh.
Langkah 3: Benarkan penyerahan
OOB-AS mewujudkan TLS dengan CPS, sebaik-baiknya mTLS, dan CPS memeriksa bahawa sijil adalah milik penyedia penyerah yang dibenarkan. Gunakan kuota mengikut penyedia, julat dan kadar; tolak kelayakan yang tidak diketahui, destinasi yang salah dan pembanjiran. Kembalikan status penerimaan, penolakan dan pendua yang boleh diperhatikan tanpa mendedahkan butiran dasar dalaman yang membantu penyerang menyiasat perkhidmatan.
Langkah 4: Kuatkuasakan pengekalan dan kesegaran
Simpan PASSporT hanya selama yang diperlukan untuk perolehan semula dan jangan sekali-kali melebihi selang kesegarannya; RFC 9888 menerangkan maksimum 60 saat untuk aliran penyedia ini. Nyahduplikasi menggunakan orig, dest, pengecam panggilan dan data khusus PASSporT supaya objek yang sama tidak boleh dimainkan semula selama-lamanya. Tamat tempoh mestilah invarian yang dikuatkuasakan, bukan tugas pembersihan sekali-sekala.
Langkah 5: Sokong perolehan semula tarik dan tolak
Dalam mod tarik, OOB-VS menanyakan CPS selepas menerima panggilan tanpa PASSporT yang tertanam. Dalam mod tolak, ia melanggan mengikut julat atau SPC dan menerima objek secara proaktif. CPS pelbagai penyedia memeriksa dest PASSporT sebelum menghantarnya kepada penyedia. Kegagalan tolak tidak melanjutkan kesegaran tandatangan; pengesahan harus membezakan antara “belum tersedia” dan “tidak sah”.
Langkah 6: Kekang get laluan dan sandaran (fallback)
Get laluan boleh mengekstrak PASSporT daripada SIP INVITE dan menyerahkannya kepada CPS yang memberi perkhidmatan kepada penyedia PSTN legasi, atau menterjemah objek OOB untuk protokol hiliran. Kelayakannya mesti mempunyai skop perwakilan yang jelas dan tidak boleh memberikan kuasa ke seluruh rangkaian. Sama ada meneruskan panggilan yang tidak disahkan, melambatkannya atau menyekatnya apabila CPS tidak tersedia ialah keputusan dasar produk dan kawal selia.
Langkah 7: Lindungi privasi, operasi dan latih tubi
CPS melihat metadata panggilan, jadi hadkan medan, pengekalan dan akses audit. Jejak kejayaan penyerahan, permintaan tanpa kebenaran, pendua, tamat tempoh, kependaman tarik, tunggakan tolak dan penolakan kuota mengikut penyedia. Uji pembatalan sijil, julat yang bertindih, main semula, bacaan rentas penyedia, iklan yang diubah, kehilangan get laluan PSTN dan gangguan separa CPS.
Jawapan model
Mula-mula, saya akan mendaftarkan peserta dan julat pembenaran. Setiap penyedia destinasi menerbitkan iklan CPS yang ditandatangani STIR yang mengikat SPC atau julat nombor telefonnya kepada URI HTTPS. OOB-AS menyerahkan PASSporT melalui mTLS; CPS mengesahkan kelayakan, destinasi, julat dan kuota, kemudian mengekalkan objek hanya melalui kesegaran. RFC 9888 menerangkan pengekalan maksimum selama 60 saat. OOB-VS boleh menarik selepas panggilan tanpa tandatangan tiba atau melanggan tolak. CPS pelbagai penyedia membenarkan bacaan menggunakan dest dan TNAuthList. Get laluan PSTN hanya boleh mengekstrak atau menterjemah dalam skop yang diwakilkan. Perkhidmatan membezakan kelayakan yang hilang, tamat tempoh dan tidak sah, menggunakan dasar sandaran yang jelas, mengaudit akses metadata dan mengukur pembanjiran, main semula, kependaman serta penolakan kuota.
Kesilapan lazim
- Kesilapan: Menganggap CPS sebagai storan objek awam. → Sebab ia gagal: Penulisan dan bacaan tanpa kebenaran membolehkan pemalsuan, kebocoran dan pembanjiran. → Penyelesaian: Gunakan kelayakan yang dipercayai, mTLS, pembenaran julat dan kuota penyedia.
- Kesilapan: Mengekalkan PASSporT untuk siasatan jangka panjang. → Sebab ia gagal: Tetingkap yang lebih panjang meningkatkan risiko main semula dan pendedahan metadata. → Penyelesaian: Gunakan TTL pendek yang terikat pada pengesahan dan kuatkuasakan pemadaman.
- Kesilapan: Membenarkan bacaan hanya melalui orig. → Sebab ia gagal: Akses pelbagai penyedia juga mesti mengekang dest dan TNAuthList penyedia. → Penyelesaian: Benarkan julat destinasi pada kedua-dua penyerahan dan perolehan semula.
- Kesilapan: Mempercayai PASSporT selepas pengekstrakan get laluan. → Sebab ia gagal: Memindahkan objek antara protokol tidak menggantikan pengesahan. → Penyelesaian: Kekalkan pengesahan dan berikan delegasi minimum kepada get laluan.
Susulan dan respons
Bagaimana jika sijil mTLS OOB-AS bocor?
Batalkannya, hentikan kuasa penyerahannya dan asingkan skop penyedianya. Objek yang telah diserahkan masih memerlukan pengesahan kesegaran dan tandatangan PASSporT; identiti sambungan sahaja tidak mencukupi.
Mengapa perlu menandatangani iklan CPS?
Iklan menentukan tempat PASSporT harus diserahkan. Menandatangani mengikat URI CPS kepada SPC atau julat nombor telefon dan menghalang pengalihan kepada pengumpul yang dikawal oleh penyerang.
Perolehan semula tarik atau tolak?
Tarik adalah mudah dan dicetuskan oleh panggilan sebenar. Tolak boleh mengurangkan kelewatan pengesahan tetapi memerlukan pembenaran langganan, pengendalian tunggakan dan pembatalan. Penggunaan berskala besar boleh menggabungkan kedua-duanya mengikut penyedia dan julat nombor.
Patutkah panggilan disekat apabila CPS tidak tersedia?
Asingkan penunjuk anti-pemalsuan daripada sekatan kawal selia. Panggilan biasa boleh diteruskan dengan label belum disahkan; aliran berisiko tinggi mungkin dilewatkan atau disekat, tetapi dasar, had masa tamat (timeout) dan metrik positif palsu mestilah jelas.