Was bedeutet "P-Asserted-Identity"

Ich habe einen Anruf von einem sogenannten "Microsoft-Mitarbeiter" in radebrechendem Englisch bekommen, der mit der Behauptung, etwas stimme nicht mit meinem Computer, diesen wohl fernsteuern wollte. Einige von euch dürften solche Anrufe wohl kennen.

In den erweiterten Supportdaten meiner Fritzbox ist der Anruf protokolliert und enthält dabei für die Gegenstelle, mit der ich telefonierte, unter anderem folgende Zeile:

P-Asserted-Identity: <sip:+497506#####@dtag-gn.de;transport=udp;user=phone>

(Ich habe an die Stelle der letzten fünf Ziffern "#####" gesetzt)
Die Bundesnetzagentur geht bei solchen Anrufen grundsätzlich von Folgendem aus:

Für die vorliegende Masche werden nach hiesigen Erkenntnissen regelmäßig aufgesetzte Rufnummern verwendet. Hinsichtlich einer aufgesetzten und damit falsch angezeigten Rufnummer kann keine Abschaltung angeordnet werden, da die Anrufe tatsächlich von einem anderen Anschluss aus erfolgen. An der Fortsetzung dieser Anrufe kann auch die Abschaltung der – an den Anrufen tatsächlich – unbeteiligten bzw. einer nicht existenten Rufnummer nichts ändern.

Ich wüsste nun gerne, was der Eintrag "P-Asserted-Identity" bedeutet? Lässt dieser Eintrag sich mit der Annahme der Bundesnetzagentur vereinbaren, dass eine "aufgesetzte Rufnummer" verwendet wurde (was auch immer das konkret bedeutet) oder ist in meinem Fall doch der Anschluss +497506##### konkret verwendet worden?

Dabei gehe ich in Falle von Letzterem davon aus, dass das Telefonat irgendwo anders hin die Welt hin weitertransportiert wurde. Dies würde wahrscheinlich heißen, dass an dem Anschluss ein Computer als bot genutzt wurde und dies der Anschlussinhaber vielleicht gerne wüsste. Jedenfalls wäre es meines Erachtens sinnvoll, wenn dieser Anschluss nicht mehr zur Vermittlung solcher Telefonate genutzt werden könnte, wenn er denn tatsächlich genutzt wurde.

Das ist ein Begriff aus einer RFC zum SIP-Protokoll

https://tools.ietf.org/html/rfc3325

 

 

Danke für den Hinweis. Ich habe ihn schon in einem anderen Forum bekommen. Ich kann dem der RPC3325 aber leider nicht entnehmen, ob hier nun sicher der Anschluss +497506##### mit verwendet wurde und sei es nur als Relais für eine Weiterleitung, oder ob eben doch eine Rufnummer "nur aufgesetzt" wurde, wobei ich nicht genau weiß, was darunter zu verstehen ist.

 

Ich möchte noch ergänzen, dass ich mal versucht habe, die Rufnummer +497506##### anzurufen und dann nur die Meldung bekommen habe, dass die Rufnummer ungültig ist, der Anschluss also wohl gar nicht existiert. Warum wird dann aber die Rufnummer als "asserted" eingestuft, wenn es den Anschluss vielleicht gar nicht gibt?


@fabhoff1  schrieb:
ob hier nun sicher der Anschluss +497506##### mit verwendet wurde und sei es nur als Relais für eine Weiterleitung

Die Frage hast Du Dir doch schon selbst mit "Nein" beantwortet - wenn die Rufnummer nicht existiert wie Du ja herausgefunden hast.

 


@fabhoff1  schrieb:
Warum wird dann aber die Rufnummer als "asserted" eingestuft, wenn es den Anschluss vielleicht gar nicht gibt?

Vielleicht übersetzt Du das falsch.

Das heißt "behauptet" und nicht "gesichert" oder "sichergestellt".

OK, aber was ist mit der weiteren Frage:

>> Warum wird dann aber die Rufnummer als "asserted" eingestuft, wenn es den Anschluss vielleicht gar nicht gibt?

Mir ist hochgradig unklar, was das "asserted" bedeutet, wenn es für nichtexistierende Anschlüsse verwendet wird? Dabei ist auch zu berücksichtigen, dass der Anschluss zu der Domain "dtag-gn.de" gehören soll, was mir wiederum die Telekom zu sein scheint.

Hallo zusammen,

 


@fabhoff1  schrieb:

Ich wüsste nun gerne, was der Eintrag "P-Asserted-Identity" bedeutet? Lässt dieser Eintrag sich mit der Annahme der Bundesnetzagentur vereinbaren, dass eine "aufgesetzte Rufnummer" verwendet wurde (was auch immer das konkret bedeutet) oder ist in meinem Fall doch der Anschluss +497506##### konkret verwendet worden?

Bei Telekom-IP-Anschlüssen sind in eingehenden SIP-Invites hauptsächlich zwei Informationen zur Anruferidentität von Bedeutung:

 

1.) Das "From"-Feld

2.) Das "P-Asserted-Identity"-Feld

 

Bei Anrufen von "normalen" Anschlüssen beinhalten beide Felder in der Regel die gleiche Rufnummer (eben die Nummer des Anrufers).

 

Etwas komplizierter wird es, wenn der Anrufer (als Geschäftskunde) das Feature "CLIP no screening" nutzt, um z.B. eine Hotline- oder Zentralnummer als vermeintliche Absendernummer zu übermitteln (z.B. damit der Kunde eine bekannte Hotlinenummer als Anrufer sieht und nicht irgendeine Nebenstelle eines Callcenter-Mitarbeiters, die oft gar nicht zurückgerufen werden kann/soll). In diesem Fall steht im From-Header die vom Anrufer gesetzte Wunschrufnummer (z.B. 0800-...) und im P-Asserted-Identity-Header die "echte" Rufnummer.

 

Der P-Asserted-Identity soll also eigentlich schon eine geprüfte Rufnummer beinhalten, die auch tatsächlich zum Anrufer gehört. Das gilt auch für Verbindungen, die die Telekom von anderen deutschen Carriern übergeben bekommt - in einer (schon etwas älteren) Begriffsbestimmung zum NGN-Interconnectionvertrag wird "P-Asserted-Identity" wie folgt definiert:

 

"Der Header "P-Asserted Identity" beinhaltet eine E.164-Rufnummer des anrufenden Endkunden und dient zu dessen Identifizierung (z. B. für die Abrechnung). Die P-Asserted Identity ist eine vom Ursprungsnetzbetreiber überprüfte, damit gesicherte und aufgesetzte Rufnummer."

 

So weit, so gut... vor allem bei internationalen Anrufen kann man sich hierauf aber in der Praxis nicht verlassen. Die vermeintlichen Microsoft-Anrufe kommen von irgendwo aus dem Ausland und landen dann über verschiedene Carrier / Netzbetreiber hier in Deutschland. Teilweise wurden auch schon angebliche Absenderrufnummern mit in Deutschland gar nicht existierenden Ortsvorwahlen signalisiert, da ist dann offensichtlich, daß die vermeintliche Absendernummer nicht stimmen kann.

 

Die Telekom (oder ein anderer deutscher Netzbetreiber, der für den ausländischen Betreiber des Anrufers den Anruf in Deutschland terminiert und an die Telekom übergibt) kann da im Grunde nur das akzeptieren, was da der übergebene Carrier an Anruferdaten mitschickt.

 

Auch die in der Fritzbox in der Übersicht "Sprachübertragung" jeweils angegebene IP-Adresse hilft zur Identifizierung des Anrufers nicht weiter, da diese IP-Adressen einfach zu den genutzten RTP-Servern der Telekom gehören (in der klassischen ISDN-Welt wäre das quasi eine Vermittlungsstelle gewesen), über die die betroffene Verbindung lief.

 

Fazit: Du kannst als Endnutzer nicht feststellen, woher diese angeblichen "Microsoft"-Anrufe kommen. Die vermeintlich deutschen Absendernummern dürften alle frei erfunden sein. Sollte es eine dieser Nummern tatsächlich auch "in echt" geben, wird dies wohl reiner Zufall sein. Wenn es die von Dir genannte 07506-... wirklich geben würde, könnte man hieraus auch nicht schließen, daß die Anrufe über den VoIP-Account oder VoIP-Router desjenigen Nutzers laufen. Letztlich kann (gerade auf internationaler Ebene) jede beliebige Fake-Rufnummer als Absender angegeben werden, die Kontrollmöglichkeiten eines deutschen Carriers sind da sehr begrenzt.

 

Meines Wissens steht die Domain "telekom-gn.de" für Anrufe, die die internationale Wholesale-Abteilung der Telekom von ausländischen Anbietern übergeben bekommt. Ob das dann aber auch der Anbieter des Anrufers ist oder ob da noch mehrere andere Netzbetreiber dazwischengeschaltet sind, läßt sich aus Perspektive des Zielnetzes nicht sagen.

 

cu talk

The call is a scam, I'm visiting from the UK and took such a call. There are call centres of people in India and Africa dedicated to defrauding people using these methods.

Das wichtige ist halt, dass das "asserted" hier nicht heißt, dass es nicht zwingend die Telekom ist die überprüft hat, ob die Rufnummer korrekt ist. Das kann sie nur machen für Gespräche, die im Telekom-Netz gestartet werden. Ansonsten muss sie darauf vertrauen, dass die aus einem anderen Netz gelieferte Info korrekt ist, dass dort die Überprüfung stattfand.

 

Der ganze Mist dürfte noch nicht einmal dann aufhören, wenn die aktuell geplante Gesetzesänderung durch ist (dass ein Vertrag erst wirksam wird wenn man den schriftlich bestätigt) - denn die vorgeblichen Microsoft-Mitarbeiter versuchen u.U. einen dazu zu bringen, eine Guthabenkarte zu kaufen und dann am Telefon den Code durchzugeben. Und wer das erst mal gemacht hat, der sieht das Geld nie wieder. Andererseits ist das natürlich schon aufwendiger und ein wenig eingedämmt dürfte das mit der Anruferei schon werden durch ein solches Gesetz.

Also ich habe mir nochmal die RFC 3325 zum SIP-Protokoll angesehen. Dort steht:

The P-Asserted-Identity header field is used among trusted SIP
   entities (typically intermediaries) to carry the identity of the user
   sending a SIP message as it was verified by authentication.

Das bedeutet also, dass ein solcher Header nur aufkommen kann, wenn das Telefonat über Vermittlungsstellen aufgebaut wird, die einander vertrauen. Gut, dass die Telekom der Domaine dtag-gn.de vertraut, die sie wahrscheinlich selbst unterhält, wundert mich jetzt nicht. Es wundert mich aber sehr, warum dafür eine Rufnummer aus Deutschland "+49...." verwendet kann, die es gar nicht gibt. Denn dem obigen RFC ist zu entnehmen, dass die Identität der Gegenseite durch Authentification verifiziert sein soll.

 

Wenn es den Anschluss aber nicht gibt, dann weiß zumindest die Telekom, dass es ihn bei ihr nicht gibt. Folglich müsste sie von einem anderen Provider diesen Anschluss als existent gemeldet bekommen haben. Soweit es sich dabei um einen deutschen Anbieter gehandelt haben sollte, müsste dieser seine Verifzierungsaufgaben nach RFC3325 nicht erledigt haben und sollte dafür von der Bundesnetzagentur verfolgt werden können.

 

Wenn es aber, was hier schon angeklungen ist, sich um einen ausländischen Provider handeln sollte, dann verstehe ich nicht warum die Telekom nicht eine Plausibilitätkontrolle durchführt und erkennt, dass eine Rufnummer, die mit "+49...." beginnt, nicht von einem ausländischen Provider verfiziert sein kann.