黄健;黄健文;李俊磊;蔡秋艳;闫占林
【摘 要】文章首先描述了eSIM市场环境及技术基础,然后以GP卡、Javacard理论基础,对eSIM系统架构、eSIM卡架构进行解析.针对eSIM安全架构,从安全域、安全算法、安全信道、权限配置、数字证书等角度对eSIM安全元素进行了深入解析,最后总结了适用于eSIM核心安全管理流程的安全模型架构.通过对eSIM的深入体系化分析总结,有助于高安全等级eSIM产品开发,保障实际商用过程中运营商网络在eSIM上安全切换、行业应用安全激活与去激活. 【期刊名称】《微型机与应用》
【年(卷),期】2018(037)003
【总页数】5页(P53-56,60)
【关键词】eSIM;安全域;权限;安全信道;SM-SR;ISD-R;ISD-P
道路反光镜【作 者】黄健;黄健文;李俊磊;蔡秋艳;闫占林
【作者单位】广东电信研究院,广东广州510630;广东电信研究院,广东广州510630;广东电信研究院,广东广州510630;广东电信研究院,广东广州510630;广东电信研究院,广东广州510630
【正文语种】中 文
旋转密封件
【中图分类】TP393
0 引言
随着4G通信网络的逐步成熟、NB-Iot窄带物联网络部署、5G试商用计划实施，物联网及国际漫游通信业务中出现大量运营商远程签约、远程运营商网络接入切换等应用场景。新应用场景为eSIM提供了市场基础。近年，智能卡芯片技术快速发展，Java卡、GP卡技术稳定使用，为eSIM发展积累了技术基础。
Java卡是一种可以运行java程序的智能卡，卡上有Java虚拟机(Java Virtual Machine，JV
M)和Java卡运行环境(Java Card RUNtime Environment，JCRE)[1]。JVM是通过Java卡虚拟机的卡内部分和卡外部分来共同实现。卡外虚拟机在PC机或SUN工作站中实现，负责类校验、准备和应用解析工作；卡内虚拟机在智能卡内实现，用来解释执行java应用程序字节码[2]。GP(Global platform)是在Java卡上的一套java应用代码管理机制，负责java应用安全管理。GP通过安全信道、安全域、密钥、权限等安全元素，实现对java应用代码的动态加载、安装、删除等动态管理。 eSIM以Javacard、GP为技术基础，是未来智能卡产品发展的主要趋势。本文从安全架构角度对eSIM进行研究，从安全域配置、安全信道、权限配置、数字证书架构等多方面对eSIM安全架构进行分析。
1 eSIM架构
1.1 eSIM系统构成
eSIM生态系统架构，包括MNO(运营商)、CI数字签名认证中心、EUM(eSIM生产厂家)、eSIM卡、SM-DP(签约数据准备)、SM-SR(签约数据安全路由)等角。主要角分工如下：
(1)CI：CA中心，负责为MNO、SM-DP、SM-SR、EUM颁发数字证书及根证书验证；(2)EUM：负责eSIM生产、根证书及EUM生产证书下载，运营商通信PROFILE初始化；(3)SM-DP：签约数据准备，负责生成PROFILE、管理eSIM中ISD-P卡内容；(4)SM-SR:签约数据安全路由，为SM-DP和MNO访问eSIM提供安全路由，存储eSIM安全信息；(5)eSIM:接入网络身份认证模块，负责进行身份鉴权认证并装载卡应用。
系统架构如图1所示[3]：
图1 eSIM系统架构图
速冻隧道系统架构中SM-DP、MNO、SM-SR通过数据短信、BIP-CATTP、HTTPs传输层协议调用ES5、ES6、ES8接口访问eSIM进行PROFILE或应用动态管理。
1.2 eSIM卡架构
玩具直升机结构eSIM采用Javacard+GP架构如图2所示，芯片底层采用UICC架构芯片；java平台层包括javacard虚拟机、javacard api、javacard 运行时环境等模块；GP框架层，包括GP相关API、GP OPEN等；应用层，包括安全域、及装载于安全域内的行业应用等模块。
图2 eSIM卡架构图
eSIM通过GP安全域分级、权限控制、生命周期控制、安全信道、及相关密钥体系等技术手段实现对上层java应用的安全流程管理[4]，对javacard应用进行加载、安装、个人化、删除、激活去激化等动态管理。
2 eSIM安全架构
eSIM安全由应用层安全和架构层安全组成，应用层安全由卡应用设计实现，架构层安全通过GP安全架构实现。在本文对应用层安全不做论述，下文重点分析架构层安全。
2.1 安全域架构
安全域是eSIM中最关键的安全元素，通过设置安全域权限控制卡外实体对卡内容的管理，通过设置安全域密钥对卡外实体身份认证。eSIM安全域架构采用多层次安全架构，共设计ISD-R、ISD-P、MNO-SD、CASD、ECASD等类型安全域。跟安全域相关的安全元素包括算法、密钥、权限、证书等。
eSIM安全域有AM授权管理权限模式和DM委托管理权限模式。拥有AM管理权限的ISD-R、ISD-P、MNO-SD可自主管理自身安全域下的卡内容；拥有DM管理权限的SSD需要上级AM管理权限安全域的TOKEN授权才可进行卡内容管理。
eSIM安全域层次设计架构如图3所示：
图3 eSIM安全域架构图
ISD-R：具有AM管理权限、SM-SR实现对eSIM进行管理的代表。ISD-R配置eSIM全局空间回收、删除、注册、锁定等全局管理权限；ISD-R由发卡方创建并完成密钥初始化，当eSIM完成生产发卡后，ISD-R处于激活状态；ISD-R负责创建、激活/去激活ISD-P；ISD-R配置SCP80两种安全通道协议密钥版本为30-3F共15组密钥。
ISD-P：具有AM管理权限、SM-SP实现对eSIM进行管理的代表。ISD-P被ISD-R创建，ISD-P通过AM权限可创建MNO-SD。eSIM内部可以允许多个ISD-P存在，但为保证通信功能正常使用，同一时间只允许一个ISD-P处于激活状态，其余ISD-P处于非激活状态。每个ISD-P内部可以创建一个MNO-SD、一套电信运营商PROFILE、一个CASD、及其余SSD
破碎轨迹
读日志和应用。不同ISD-P内应用及PROFILE可以采用相同的AID。ISD-P配置SCP03安全通道协议。eSIM完成生产发卡后，至少一个ISD-P必须处于激活状态。
MNO-SD：具有AM管理权限的运营商安全域，被ISD-P创建，并配置SCP80安全通道协议。MNO-SD下可继续创建安全域及装载运营商PROFILE及别的运营商应用。
CASD：控制授权管理安全域，支持非对称算法，装载数字证书。在进行eSIM卡应用管理时，通过CASD进行数字签名验证及密钥交换。eSIM内部ISD-R、MNO-SD下可分别创建CASD分别用于全局和局部的数字签名认证。
eSIM通过以上安全域架构、安全域配置权限及密钥，实现对卡内容加载、安装、删除等动态管理，动态管理过程中调用相应安全域的CASD进行数字签名身份认证，完成身份认证后可进行卡内容管理及应用访问。
图5 SM-DP访问ISD-P示例图
2.2 安全算法
eSIM卡内容动态管理过程中需对卡外实体进行数字签名认证、MAC计算、数据解密/加密等运算，管理过程常用算法包括如下：
DES、3DES算法用于安全信道数据加解密、基于对称的外部认证；SHA1用于防信息篡改MAC计算；RSA、ECC用于eSIM各级数字签名认证，CASD、ECASD可通过算法API调用RSA、ECC硬件加速器实现数字签名运算。Millenge用于接入LTE 4G移动通信网络鉴权；MD5算法用于CDMA 3G网络接入鉴权；CAVE用于CDMA 1X接入鉴权。
2.3 安全信道
在eSIM系统中，卡外实体SM-SR、SM-DP、MNO必须通过安全信道才能对卡内容进行管理。发卡方通过对ISD-R和ISD-P进行安全协议配置及相关密钥配置实现对卡内容安全管理。eSIM常用安全信道协议包括有SCP02(可选)、SCP03、SCP80、SCP81(可选)等，安全信道协议可采用数据短信、BIP CAT-TP、HTTPs三种传输层协议进行承载。
在eSIM中传输层强制要求支持数据短信，对应用加载、安装等大数据量管理操作采用BIP CAT-TP协议、HTTPS协议，可有助于保证管理操作的稳定性并减少数据延时。
豫公网安备41160202000603
站长QQ:729038198
关于我们
投诉建议