CLI presentation e spoofing: come viaggia il numero del chiamante

Il numero che compare sul display quando squilla il telefono non è un dato certificato: è un campo di segnalazione che qualcuno, a monte, ha valorizzato. Capire chi lo scrive e chi lo può verificare spiega sia perché lo spoofing è possibile, sia perché configurare male un centralino porta a chiamate rifiutate dall'operatore.

Due numeri, non uno

Nelle reti moderne il chiamante porta con sé due identità distinte, e confonderle è l'errore di configurazione più comune:

• Network-provided number: il numero che l'operatore sa essere assegnato a quella linea. Non è modificabile dal cliente ed è quello usato per tariffazione, tracciamento e servizi di emergenza
• User-provided number: il numero che il cliente dichiara di voler presentare. Utile e legittimo in molti scenari, ma per definizione non verificato dalla rete

Nel SIP questa distinzione si traduce in header diversi. L'header From contiene tipicamente l'identità dichiarata dall'utente. L'header P-Asserted-Identity (PAI, RFC 3325) contiene invece l'identità che la rete ha verificato e che si assume vera all'interno di un dominio di fiducia. Un terzo header, Privacy, indica se quell'identità può essere mostrata al destinatario o va soltanto trasportata.

Da qui il comportamento tipico di un SIP trunk business: l'operatore accetta nel From un numero appartenente al blocco assegnato al cliente e imposta lui stesso il PAI in base alla linea autenticata. Se il From contiene un numero estraneo al blocco, la chiamata viene rifiutata con un 403 o riscritta sul numero principale.

CLIR: nascondere il numero

La soppressione della presentazione (CLIR) non cancella il numero: lo trasporta marcandolo come non mostrabile. In SIP si ottiene con Privacy: id più un From anonimo, mentre il PAI continua a viaggiare. Il numero resta quindi disponibile per la rete — e per i servizi di emergenza, che lo ricevono comunque — ma il telefono del destinatario mostra "Numero privato".

La conseguenza pratica: chi attiva CLIR di default sul centralino vedrà una quota significativa di chiamate cadere, perché molte aziende e molti utenti bloccano le chiamate anonime.

Perché lo spoofing funziona ancora

Il protocollo di segnalazione non ha, di per sé, alcun meccanismo crittografico che leghi un numero a chi lo usa. Il modello di fiducia è transitivo: ogni operatore si fida di quello a monte. Basta che un solo anello della catena accetti un From arbitrario senza controlli perché il numero falsificato attraversi il resto della rete e arrivi al display come se fosse autentico.

Questo è il meccanismo dietro le campagne di chiamate che sembrano provenire da numeri fissi italiani, spesso dalla stessa città del destinatario — il cosiddetto neighbor spoofing, che sfrutta la maggiore probabilità di risposta a un prefisso familiare.

Le contromisure

Sul fronte regolatorio, AGCOM ha introdotto un obbligo di filtraggio per le chiamate provenienti dall'estero che presentano un CLI di numerazione italiana. La logica è semplice: una chiamata che entra da un'interconnessione internazionale non può legittimamente presentarsi con un numero fisso italiano, perché quel numero è ancorato a una linea sul territorio nazionale. Il filtro blocca o rimuove il CLI in quei casi, con deroghe per gli scenari legittimi di roaming sui numeri mobili. Al momento in cui scriviamo la misura è operativa e ha ridotto in modo sensibile il fenomeno, senza eliminarlo del tutto.

Sul fronte tecnico, il framework STIR/SHAKEN — sviluppato in Nord America e ancora poco diffuso in Europa — affronta il problema alla radice: l'operatore di origine firma digitalmente il CLI con un certificato, l'operatore di destinazione verifica la firma e assegna un livello di attestazione. Non impedisce la chiamata, ma permette di distinguere un numero verificato da uno soltanto dichiarato.

Cosa controllare sul proprio centralino

• Coerenza tra From e numerazione assegnata: presentare un numero fuori blocco è la causa più frequente dei 403 in uscita
• Numero presentato per interno: molti PBX permettono un CLI per estensione. Verificare che tutti i numeri configurati siano effettivamente assegnati al trunk
• CLI per le chiamate di emergenza: deve corrispondere a una numerazione con indirizzo registrato corretto, altrimenti i soccorsi ricevono una localizzazione sbagliata
• Deviazioni di chiamata: quando il PBX inoltra verso un numero esterno, il CLI presentato deve restare uno dei propri numeri, non quello del chiamante originale — altrimenti l'operatore scarta la chiamata
• Header di diversion: usare Diversion o History-Info per trasportare l'informazione sul chiamante originale, invece di forzarla nel From

Il punto

Il numero sul display resta un'informazione da trattare con prudenza: utile per riconoscere un contatto noto, inaffidabile come prova di identità. Nessuna richiesta di credenziali, codici o pagamenti dovrebbe essere considerata legittima sulla base del solo numero visualizzato.

Sui SIP trunk Velix la validazione del CLI è applicata lato piattaforma: vengono accettate in presentazione solo le numerazioni effettivamente assegnate al cliente, con possibilità di configurare numeri aggiuntivi previa verifica della titolarità. Per i clienti che portano numerazioni da altri operatori la configurazione viene impostata insieme al collaudo del trunk.