YD_T 2845-2015嵌入式通用集成电路卡（eUICC）及其远程管理的安全技术要求（第一阶段）.pdf

ICS 33.060M 36YD中华人民共和国通信行业标准YD/入式通用集成电路卡（eUICC）及其远程管理的安全技术要求（第一阶段）Security requirements of embedded UiCC and related remotemanagementtechnology2015-04-30发布2015-07-01实施中华人民共和国工业和信息化部发布 YD/T理体系中最重要的无形资产与信总资源，各实体需要频繁访间这些数据完成各种既定功能，因此对这些数据的管理至关重要。签约信息、各级密钥、安全算法、控制策略规则等是整个体系中最为核心的数据，--旦其受到影响，整个eUICC体系将受到破坏。考虑到密钥和安全算法可能在不同实体之间传输，因此应额外设计高强度安全机制（完整性、必威体育官网网址性、认证）保证在传输过程中免受攻击。敏感数据的安全等级分析见表1.表1敏感数据的安全等级数据数据拥有者数据操作者安全等级KiMNOMNO，eUICC，eUICC这程管理台IMSIMNOMNO，eUICC，eUICC适程管理平台MSISDNMNOMNO，eUICC远程管理平台2eUICCIDSIM制造商eUICC选程管理平台MNO，，SIM制造商2各种认证算法MNOMNO, eUICC4运营商领约信息MNOMNO，eUICC，eUICC运程管理平台m空中传输签约信息的密钥MNOMNO，eUICC，eUICC选程管理平台4控制策略规期MNOeUICC, MNO控制策略管理命令eUICC运程管里平台，MNO签约信息管理命令MNOeUICC, MNO,eUICC运程管理平台3Profile管理敏感数据数据拥有者数据操作者安全等级根私钥CACA4根公销CAMNO，eUICC，eUICC远程管理平台，SIM制造商-传输密钥eUICC选程管理平台eUICC运程管理平台，eUICC2/3数据保护害制eUICC远程管理平台eUICC遇程管理平台，eUICCKi保护密钥MNOMNO, eUICC4管理功能密钥eUICC远程管理平台cUICC运程管理平台，eUICC4eUICC连接链eUICC，eUICC送程管理乎台，MNO2其中，其中第二列为数据的所有者，第三列为访间或使用数据的实体，第四列表明数据的重要程度。4表示级别最高，即录高安全等级，即面临的安全风险最大的。重要级别用于描述当安全措施失效后的对整个eUICC体系的影响程度，其定义如下：等级4：eUICC整个系统架构可能处在商业服务风险或所有的经营风险中等级3：受影响的运营者可能道受强烈的冲击，这可能危及整体业务等级2：服务可能会中断；受影响的运营方可能受到暂时影响且受影响的业务是有限的或重要的等级1：服务的影响是有限的（如临时的)，业务的影响是低等且只限于几个或几个运营商。另外控制策略规则同时存储于物联网终端及远程管理平台，因为终端是不可信的实体，如何在不可信的环境中保证策略控制规则的可用性、有效性也是一个需要解决的间愿。cUICC远程管理平台需要各个实体间进行连接和通信，由于网络的不稳定性和不可控性，会使诸如病毒传播、黑客攻击、信息泄露等安全威胁由此通道产生，从面为eUICC远程管理平台引入安全风险，eUICC管理平台所有可能的数据安全风险见表2 YD/T2eUICC管理平台风险分析风险分析描速数据资产证书或私钥链火败管理主密钥或私钥服务器的侵入，由于人为错误或恶意行所有证书为，必威体育官网网址缺失可能导效失去整个流程信任链认证算法破解由于要意成人为错误可能导致消弱认证算法，认证算法保eUICC认证算法密损失加速算法突破可能导致减弱或损失认证加密方案所有加速的资产eUICC蒙改Profile安装圳情误的eUICC上Profile面问公众的网络担绝服务攻击利用公共接口漏测或基本资源枯竭技术的柜绝服务可能导Profiles 到 eUICC 的致无法提供新的eUICC和服务连接链通信裁取（非OTI方式)宽松的网络接入或互联策略可能导致截取关健资产如eUICCprofile，失去必威体育官网网址性侵入eUICC网络模块宽松的网络接入或互联策略可能导效截取关键资产如网络组件profile，失去必威体育官网网址性可信网络（如eUICC送程管票平恶意的合作伙伴可能会在安全域内引入·一个流总新件，这所有资产台）内流战软件植入将导致关健信息如profile完整性或必威体育官网网址性损失。传输profile至eUICC的传输密销利用矩绝服务攻出，服务窃取或伤装方式获取传输密钥，数据保护密钥和证书必威体育官网网址性损失可能导致未经允许的连接eUICC或网络组件用签约信息-宜都是较为重要的数据，当在网络中不同实体间传输时，应对其进行多重加害：产中其他数据安全等级应不低于传续的人人通信标准。5.1.4功能安全威助cUCC远程