• Исходящий вызов сбрасывается оператором с кодом 608 Rejected.
• В SIP-ответе присутствует заголовок Reason: STIR-SHAKEN ;cause=... ;text="Signature verification failed".
• Звонки блокируются при транзите между национальными и международными операторами связи.
• В теле SIP INVITE отсутствует обязательный криптографический заголовок Identity.

1. Механизм защиты STIR/SHAKEN и статус RFC 8688 (SIP 608)

Код 608 Rejected указывает, что вызов был заблокирован промежуточным или терминальным узлом исключительно по причине неуспешной валидации идентификатора звонящего (STIR/SHAKEN Framework). Если цифровая подпись в заголовке Identity отсутствует, просрочена, не соответствует открытому ключу сертификата или аттестация (Attestation Level) имеет недопустимый уровень (например, уровень C вместо A), вызов отсекается.

2. Анализ заголовка Identity в пакете INVITE

sngrep -c -d any "608 Rejected"

Проверьте наличие и структуру заголовка Identity:

Identity: eyJhbGciOiJFUzI1NiIsInBwdCI6InNoYWtlbiIsInR5cCI6IlBBU1Nwb3J0In0... ;
info=;alg=ES256;ppt=shaken

3. Уровни аттестации STIR/SHAKEN:

• Full Attestation (A): Оператор полностью знает клиента и подтверждает его право на использование данного номера Caller ID.
• Partial Attestation (B): Оператор знает клиента (источник вызова), но не может гарантировать право владения конкретным номером Caller ID.
• Gateway Attestation (C): Вызов получен из непроверенного международного шлюза или транзита. Большинство сетей сбрасывают такие вызовы кодом 608.

4. Настройка генерации подписи STIR/SHAKEN в Asterisk (res_stir_shaken)

Отредактируйте /etc/asterisk/stir_shaken.conf:

[general]
ca_path=/etc/ssl/certs

[my_cert]
type=certificate
public_cert_path=/var/lib/asterisk/keys/shaken_cert.pem
private_key_path=/var/lib/asterisk/keys/shaken_key.key
attestation=A
caller_id_number=+74951234567

[my_profile]
type=profile
certificate=my_cert

Привяжите профиль к эндпоинту в pjsip.conf:

[trunk_with_stir]
type=endpoint
stir_shaken_profile=my_profile