Бурление вокруг eSIM

В последние пару недель я заметил почему-то обилие материалов в российских СМИ по поводу SIM-карт в целом, и eSIM в частности. Подозреваю, российские операторы пытаются расшевелить тему с одной стороны, а с другой стороны есть силы, которые пытаются форсить тему криптографии в SIM-картах, вот эти материалы и всплывают:

Например, материал у РБК о подготовке перехода на новые SIM-карты:

Сотовые операторы начали переход на отечественную связь Идет подготовка к выдаче абонентам сим-карт с российской криптографией

Или странный материал у того же РБК о том, что операторы(!) почему-то сопротивляются внедрению eSIM:

Операторы связи и ФСБ выступили против используемой в iPhone технологии

А ещё обратный материал у Ведомостей (paywall) о том, что операторы вроде бы как раз и не против eSIM:

Российские операторы сотовой связи не реагируют на возражения ФСБ
Некоторые из них готовятся к внедрению технологии eSim, хотя спецслужба выступает против нее

Тема российской криптографии в SIM-картах отдельная, и я сейчас не готов её затрагивать. Хочу лишь отметить, что eSIM — это, фактически, такой же чип, как и в обычных SIM-картах, который просто изначально встроен в телефон. Свойство чипа – наличие определенного ПО в нем, которое можно обновлять и изменять. И если законодательно вопрос о криптографии нужного вида в России будет урегулирован, то, подозреваю, Apple сможет обновить и ПО в чипе для соответствия законодательству. Добавили же они в своё время поддержку ГЛОНАСС, когда это стало требованием для импорта устройств в РФ. Отдельный вопрос, как мне кажется, заключается ещё в том, что такое решение, как собственная криптография на SIM-картах, наверно, должно быть протестировано на массе вариантов и конфигураций сетевого оборудования мобильных операторов в России и других странах. Но тут я не эксперт, поэтому не могу квалифицированно рассуждать о масштабах и уровне такого тестирования.

Но что меня зацепило в этих материалах по поводу eSIM, так это комментарии представителя одного оператора, которого я не буду называть, скажу лишь, что название компании начинается на Мега, а заканчивается на Фон. Я даже как-то высказывался на эту тему в Твиттере, но тут я снова наткнулся на то же распространение FUD и у меня припекло. Я понимаю, что нужно демонстрировать осторожность касательно новых технологий, но нести ерунду представителю крупного оператора тоже как-то не с руки.

Вот текст из статьи в РБК

Представитель пресс-службы «МегаФона» сообщил РБК, что в коммерческое внедрение eSim выводить рано, так как требуются решения по ряду вопросов. «Например, мы предвидим существенный рост количества и интенсивности хакерских атак, в том числе в виде подмены операторского профиля в процессе загрузки с последующим отключением устройства или кражи пользовательского профиля eSim и его клонирования на других девайсах. Есть и другие проблемы организационного, технического, правового характера», — сказал он. В МТС и «ВымпелКоме» отказались от официальных комментариев.

А вот, видимо, все тот же неназванный представитель в Ведомостях:

«Мегафон» тоже изучает возможность тестирования eSim. Но о коммерческом внедрении eSim говорить пока рано, считает его представитель. Например, возможен существенный рост количества и интенсивности хакерских атак, в том числе в виде подмены операторского профиля в процессе загрузки, опасается он. Говорит представитель «Мегафона» и о возможных кражах пользовательского профиля eSim и последующем клонировании на других устройствах.

Я понимаю, что давать комментарии от компании часто выпускают не самых квалифицированных представителей. Но в то время, как поддержка eSIM уже внедрена в массе гораздо более крупных операторов в мире, разговоры о неких повышенных рисках, связанных с eSIM, выглядят несколько притянутыми за уши. Как я уже писал выше, eSIM — формально embedded SIM-card, то есть это такая же SIM-карта, но сразу встроенная в телефон. (Еще точнее это Universal Integrated Circuit Card (eUICC), но это так, для гиков). Да, со стороны оператора нужна соответствующая поддержка, чтобы работать с телефоном, у которого такая встроенная SIM-карта, но с точки зрения безопасности самой карты практически никакой разницы с обычной физической картой нет. Поэтому я не понимаю, как переход на eSIM должен повысить количество и интенсивность хакерских атак? Кстати, атак на что? На телефоны пользователей? На оборудование операторов? Хочется представить, как злоумышленники взламывают eSIM, строят ботнет и начинают с его помощью DDoS-ить сеть Мегафона, но получается с трудом.

Что такое “подмена операторского профиля в процессе загрузки” и почему это должно привести к клонированию на устройствах — я вообще затрудняюсь сказать. Даже в iPhone с физической картой сегодня есть профиль оператора с различной служебной информацией для работы в сети этого оператора, и данный профиль периодически обновляется по мере изменений требований сети, загружаясь в телефон. Сама eSIM, которая позволяет обеспечить одновременную работу одного и того же телефонного номера на, например, iPhone и Apple Watch — это не клонирование. В двух устройствах установлены две eSIM-карты, и они умеют использовать одновременно один и тот же номер телефона. eSIM — это международный стандарт, утвержденный GSMA (https://www.gsma.com/esim/esim-specification/), и требования к безопасности этого стандарта не ниже, чем к обычным SIM-картам. Физические SIM-карты после 2004 года практически невозможно клонировать (после перехода на алгоритм COMP128v2), а инструменты защиты eSIM описаны в спецификациях стандарта.

В случае с физической картой с точки зрения оператора абонент состоит из трех разных и никак не связанных между собой компонентов — человек, смартфон и SIM-карта. Можно вставить SIM-карту в другой телефон, можно отдать телефон третьему человеку — пойди уследи за всем. В случае перехода на eSIM эта связка сокращается до двух компонентов, и оператору это должно быть даже интересно. Поэтому сопротивление одного оператора, выставляющего анонимного представителя (в то время как другие операторы либо поддерживают переход на eSIM, либо благоразумно воздерживаются от комментариев), выглядят, мягко говоря, странно. Может, надо просто еще почитать документацию?