WeDDa 框架：使用与协议无关的密码学信任来防止短信钓鱼和语音钓鱼

假冒来电和短信为何关系到每个人

我们中的大多数人如今依赖手机办理银行业务、政府服务、配送，甚至接收紧急警报。然而，全球电话系统仍允许不法分子冒充任何人——比如你的银行、卫生部或警方——仅靠伪造来电显示即可。这促成了短信钓鱼（欺诈短信）和语音钓鱼（欺诈语音电话）的爆发式增长，造成数十亿美元损失，并在悄然侵蚀公众对数字服务的信任。本文介绍了 WeDDa，一种将信任重建到电话网络中的新方法，使电话号码必须被证明，而不仅仅是被声称。

问题的规模

作者指出，如今针对欺诈电话和短信的防御大多是被动的。电信公司和应用通过黑名单、机器学习和用户举报来发现可疑流量，但通常是在它已经到达用户之后。与此同时，攻击正在快速增长：仅短信钓鱼在短短几年内就增长了数百个百分点，造成数十亿美元的损失。除了金钱外，这一连串的伪造行为造成了作者所称的“数字信任税”：人们开始忽视合法信息，政府难以联系公民，像紧急警报或健康运动等关键服务也失去可信度。

电话网络中的隐性设计缺陷

这场危机的核心是全球电话基础设施中的一个基本设计错误。用于传统电话的核心信令系统（如 SS7）和用于互联网电话的 SIP 等协议是几十年前为一个小范围的受信运营商构建的，而非为充满敌意的互联网级环境设计。这些协议允许一个网络告诉另一个网络“此呼叫来自该号码”，却没有内置的加密证明方式。现代工具如垃圾邮件过滤器和 AI 分类器因此只能在网络已经接受了关于发送者身份的虚假声明之后去判断信息的真实性。作者认为，只要来电身份只是被声称而非被证明，欺诈就不可避免。

用于验证来电身份的新信任层

WeDDa 框架建议在网络内部添加一层强制性的信任层，而不是依赖应用或终端设备。其核心想法是为通信身份创建一个经验证的“命名空间”，并在呼叫和短信进入网络的网关处要求进行密码学证明。组织首先在经验证通信管理机构登记其身份——使用诸如 Bank_Alerts_City 之类的清晰、可读标签。该管理机构会颁发与特定号码段和网络运营商紧密绑定的数字密钥。发送呼叫或消息时，发起网关使用这些密钥对其进行签名；接收网关在决定是否放行之前，会将签名与安全注册表进行核验。

WeDDa 在实践中的运作

为使其可行，作者设计了四个主要构件。第一，国家级注册表存储经批准的身份、对应的电话号码以及用于验证签名的公钥。第二，电信与互联网网关对所有受保护流量执行密码学检查，拦截任何没有有效证明的流量。第三，专门的数据库记录失败尝试和滥用模式，为调查人员和机器学习系统提供丰富的攻击行为证据。最后，一个以人为本的层面包括公众宣传活动和可搜索的透明经验证号码列表，让人们可以看到哪些名称是可以安全信任的。关键在于，所有这些都可以在网络层面添加，而无需更改用户的手机。

来自大规模模拟的证据

由于改造一个现实的国家电话系统很困难，团队构建了基于埃及电信基础设施的高保真实验室模拟。他们在传统 SS7 和基于互联网的 VoIP 系统上生成了 200,000 次测试呼叫，将真实流量与多种伪造攻击混合。在受控条件下，所有依赖伪造来电显示的伪造呼叫都被阻断，而所有合法签名的呼叫均被允许通过，且增加的处理延迟保持在微秒级——远低于人类可察觉的水平。作者强调，真实网络更加混乱，对手更具创造性，但这些实验表明，原则上，密码学门控可以在源头阻止身份伪造而不降低系统速度。

局限、挑战与所需条件

WeDDa 并非对所有欺诈的万全之策。它无法阻止使用真实但已被攻破的号码进行的骗局，也无法读取通话内容或检测操纵性的脚本。它还高度依赖治理：各国需要建立可信的管理机构、跨境协调，并说服或强制运营商采纳该系统。老旧网络可能需要硬件升级，而不完全的采纳会留下攻击者可利用的薄弱点。因此，作者将 WeDDa 视为更广泛“纵深防御”策略中的一个关键层，其他层还包括教育、应用层保护以及针对在线平台的强有力政策。

这对普通用户意味着什么

对普通人来说，WeDDa 背后的愿景很简单：当你的手机显示来电来自你的银行时，网络本身在电话响起之前就已经检查了证明该身份的密码学通行证。在这样的世界里，依赖伪造来电显示的短信钓鱼和语音钓鱼将变得极其困难且成本高昂。尽管将这张蓝图变为现实需要多年的技术工作与国际协调，但该研究为建立内建信任的电话网络——而不是事后打补丁——提供了一条清晰路径。

引用: Salem, M.F.M., Hamad, E.K.I. & El-Bendary, M.A.M. The WeDDa framework for preventing smishing and vishing using protocol agnostic cryptographic trust. Sci Rep 16, 7949 (2026). https://doi.org/10.1038/s41598-026-38539-y

关键词: 短信钓鱼, 语音钓鱼, 来电显示欺骗, 密码学认证, 电信安全