为什么电话号码没有什么类似 TLS 的机制？

[tavimori]

这两天接到好几个骚扰电话，基本上套路都一致：

1. 来电基本用的是大型机构认证的外呼号码
2. 用机器人语音先确认本人姓名
3. 用机器人语音营销推广

特别是最后一个用了 95588 工商银行的号码来电，我挂断回拨后，银行客服表示并没有进行过相关的外呼。

现在已经投诉给 12321 了，虽然不知道具体原因，但是我怀疑是本地运营商劫持了电话号码做的营销。

总之就想来打听下电话号码为什么没有端到端的认证机制？ TLS 都已经用了那么多年了，现在什么 VoLTE 、VoNR 已经把语音通信弄成纯数据化了，感觉完全可以用一套基于 X509 的证书机制来验证电话号码的来源可靠性，进一步的可以使用 OV/EV 什么的高阶证书来证实来电的身份。

不知道这些技术有什么困难，为什么 2023 年还没有推广，到现在电话号码对应的身份还需要第三方企业维护数据库，即便如此还不能确认身份可靠。

[IvanLi127]

你这是让裁判给自己找麻烦呀？

[qviqvi]

找客服投诉不管用，再次投诉，说不行就投诉银监会，在也没收到过机器人电话

[zxcslove]

想当年来电显示都要单独算作一个收费项目

[wwbfred]

现在的问题是，运营商和 GOV 没有任何动力做 HTTPS ，他们是数据偷窥与劫持的受益者。而电话和互联网又不一样，电话要想实现身份验证与端对端加密，必须靠他们出钱更新设备。这下死结了。

[tavimori]

@qviqvi 是啊，现在最离谱的是 AI 上来就问：“你是 XXX 本人么？”。我寻思着作为 AI 凭什么核实我的身份，有本事打钱啊！

[billlee]

其实这都不需要端到端的的认证，电话号码更类似 IP 地址，需要的是类似于 reserve path filter 的机制。但以前设计电话信令的年代大家根本不考虑安全问题，而且这些业务消费者业务不一样，有各种中间代理商什么的，系统也是外面采购来的（不像互联网那样主要靠自研），要全面升级改造难度和成本都很大的吧

[kenvix]

首先 TLS 不是用来端到端安全的，只确保你到服务器是安全的，4G 已经确保了这一点。

[acbot]

本身运营商之前的各种语音或数据交换都是以信任为前提的，且国内运营商老板都是一家所以根本不用你说那么复杂来实现，发一个文件就可以了！在我印象中大致十多年前吧来电改号（那个时候有的运营商也玩）和后来的利用其诈骗兴起的时候，国家就向三大下了规范和对来电号码源验证的要求了！

[tavimori]

@billlee 其实互联网也是这样，IP 地址也有 RPKI 等机制来保证互联网 BGP 路由的安全性。但是这些技术迟迟铺不开，需要整个网络都兼容才行。最后互联网事实上还是靠端到端的安全协议（ TLS ）来实现安全目标（更容易部署，效果也更强）。
回到电话上可能也是类似的，与其让整个电信网络变得安全，推广端到端的安全可能更有成效。

[dcsuibian]

因为打电话听声音你就基本知道是谁了，所以篡改很难

[akira]

TLS 不能解决这个问题

[realpg]

`特别是最后一个用了 95588 工商银行的号码来电，我挂断回拨后，银行客服表示并没有进行过相关的外呼。`

假定不涉及违法非法透传特服号

银行客服并不能告诉你银行有没有外呼。
他只能告诉你他自己，或者他部门有没有外呼

[baobao1270]

因为能够接入运营商呼叫系统的，本身就是被运营商认可的实体，比如把运营商比做 CA ，那么能够接入系统就相当于被 CA 颁发了证书。你遇到的这种问题属于运营商内部的治理问题，相当于在问「 CA 滥发证书怎么办」。

电话系统本身就是一个有很多历史包袱的东西，还要考虑跨局和国际交换，更增加了复杂性。

「 要是有像 Cloudflare 给网站加验证码服务一样给来电增加一层风控+人机验证服务就好了」这一点也是不可能的，因为验证码是网站对用户加的，不可能说用户对网站加验证码。

[lqzhgood]

十几年前用过网络电话，拨号的号码是可以自定义的
我就改成 110 打给自己，来电号码显示的就是 110

[acerphoenix]

我手机，之前只拦截广告推销电话，现在凡是银行 9xxx8 的都拦截了。