А не проще ли идентифицировать отправителя OPTIONS по IP-адресу? Если, ip-адрес отправителя OPTIONS совпадает с ip-адресом в списке зарегистрированных sip абонентов, то ответить OK. Если регистрации нет - отправить 403 и в бан.
OPTIONS не обязан содержать имя пользователя.
Согласен с Fluke
Тоже вариант