С начала текущего года специализированные айтишные сайты запестрели сообщениями о eSIM (embedded SIM) — встроенном в гаджет чипе, способном хранить профили нескольких операторов связи и переключаться между ними без физической замены SIM-карты.
С помощью eSIM пользователь может загрузить нужный тариф, сменить оператора, активировать связь в другой стране и многое другое. И все это буквально за несколько минут без посещения салона связи и ожидания получения или доставки карточки. Суть eSIM не только в «комфортной установке», но в том, что встроенный чип заставляет полностью переосмыслить суть мобильной инфраструктуры, делая ее более гибкой, масштабируемой, безопасной и готовой к глобальному будущему, восторгаются айтишники.
Они утверждают, что в туризме eSIM позволяют активировать региональный тариф прямо через смартфон в один клик. Это экономит не только деньги, но и нервы. В логистике eSIM позволяют отслеживать грузы в реальном времени, получать телеметрию, измерять уровень влажности и других условий транспортировки, а также менять маршрут доставки «на лету» благодаря управлению буквально по воздуху.
В корпоративной связи eSIM позволяют IT-службам централизованно подключать, обновлять и отключать мобильные профили сотрудников без пересылки карточек и риска утечки данных. Встроенные eSIM якобы активно внедряются в автомобилестроении, энергетике, сельском хозяйстве, медицине — везде, где нужна стабильная и управляемая связь.
Пропагандисты eSIM считают, что последние побуждают пользователей к мгновенным подключениям к нужным ресурсам, их прозрачности и свободе выбора оператора. Провозглашается, что eSIM для компаний — это способ перейти от фрагментированной мобильной инфраструктуры к централизованной и управляемой системе связи. Это дает централизованное управление устройствами, быстрое масштабирование бизнеса в новых для него регионах, эффективный контроль над расходами и сокращение риска, связанного с физическим доступом к SIM-картам. Благодаря отсутствию съемной SIM-карты eSIM якобы снижает риск хакерских атак за счет подмены SIM.
Ведущие производители уже отказываются от сменных SIM-карт в пользу eSIM. Технология выходит за пределы смартфонов и встраивается в смарт-часы, фитнес-браслеты, электронные системы автомобилей, планшеты и другие гаджеты. Параллельно развивается связка eSIM и цифровых удостоверений личности. Паспорта, водительские права и другие документы могут перейти исключительно в мобильный формат, где eSIM будет играть роль основного канала идентификации.
Специализированные айтишные сайты называют eSIM не просто технологией, а новой парадигмой, знаменующей переход от фиксированной и локальной связи к глобальной, гибкой и защищенной инфраструктуре. Она якобы упрощает повседневную жизнь, усиливает безопасность и открывает новые возможности как для физических, так и для юридических лиц.
«Будущее связи уже здесь, — пишет один из адептов eSIM. — Оно бесшовное, безграничное и построено на базе eSIM. Это уже не просто удобная альтернатива сменной SIM-карте. Это полноценная революция в сфере связи, которая затрагивает все: от привычек пользователей до корпоративной стратегии, от путешествий до логистики, от безопасности до мобильной идентификации. Переход от внедрения к массовому использованию eSIM-технологии происходит прямо сейчас, и за ним стоит куда больше, чем кажется на первый взгляд».
К счастью, в этом хоре оголтелой пропаганды eSIM находятся голоса, оценивающие встроенные сим-карты более трезво. В прошедшем июле российская исследовательская лаборатория Security Explorations обнародовала результаты многомесячной работы, разоблачающей минимум благодушность и максимум злонамеренность технологии eSIM.
Одним из объектов внимания Security Explorations стала eUICC-карта английской компании Kigen (разработка программного обеспечения для бизнеса и граждан), сертифицированная по международным стандартам GSMA и использующая фирменную систему безопасности виртуальной машины Java Card. Несмотря на заявленные многоуровневые механизмы защиты, eUICC-карта Kigen была взломана. Взлом позволил получить не только внешний контроль над eSIM, но и продемонстрировать полный срыв безопасности в системе eUICC.
Исследование показало, что уязвимость, о вероятности которой Security Explorations предупреждала еще в 2019 году (тогда это было полностью проигнорировано), является реальной и потенциально разрушительной. Автор eUICC-технологии, американская компания Oracle, назвала проблему лишь «опасениями» и отказалась признать их критичность. Сегодня ясно, что это заблуждение или умысел в нежелании признать затраченными впустую миллиарды долларов.
Встроенная сим-карта eUICC компании Kigen не выдержала тестовой атаки Security Explorations. В результате удалось расшифровать eSIM-профили множества клиентов мобильных операторов, включая такие крупнейшие компании, как AT&T, Vodafone, Orange, T-Mobile и другие. Их профили содержали не только настройки сети, но и конфиденциальные идентификаторы операторов и их клиентов.
Одной из наглядных проверок стала также тестовая атака на сеть американской компании Orange. Для нее исследователи Security Explorations продемонстрировали возможность клонирования eSIM. Ее клоны, установленные на других устройствах, позволяли перехватывать входящие звонки и SMS-сообщения. Пока устройство было включено, легитимный пользователь не получал ни одного сообщения, но сеть показывала их доставленными. Это угрожало не только приватности, но и надежности сервисов, используемых банками, почтовыми службами и другими критичными системами.
Компания Kigen была вынуждена признать уязвимость и начала сотрудничество с Security Explorations, заплатив ей за подробный технический отчет 30 000 долларов. По итогам анализа были предприняты неоднократные попытки устранения уязвимости. Но вскоре Security Explorations признала, что они оказались неэффективными.
Одной из наиболее тревожных находок стало и то, что серверы, включая те, что принадлежат крупным компаниям IDEMIA и Thales, не распознавали скомпрометированные eUICC-сертификаты. Это говорит о системном отсутствии мониторинга и делает возможным масштабные кибератаки без их обнаружения. Более того, анализ показал, что многие eSIM не выполняют полноценную верификацию Java Card, несмотря на соответствующие рекомендации.
Инструментарий, которым пользовались тестировщики Security Explorations, позволил не только взламывать карты и извлекать их содержимое, но и проверять Java Card на типичные проблемы безопасности. Важным выводом, сделанным Security Explorations, стало признание провала существующих механизмов сертификации.
Несмотря на сертификацию и заявления о защищенности, eSIM позволяет злоумышленнику обойти все слои охраны информации. Кроме того, существующие стандарты не предусматривают обязательную верификацию Java-приложений на этапе загрузки. Это создает идеальные условия для внедрения «троянцев» — вирусов, дезорганизующих и разрушающих интернет-ресурсы.
Security Explorations подчеркивает необходимость пересмотра безопасности eSIM в телекоммуникациях. Их операторы не должны полагаться на сертификаты GSMA и другие международные стандарты как на абсолютную гарантию безопасности. Один скомпрометированный eUICC дает возможность раскрыть и опустить ниже плинтуса подписчиков любого мобильного оператора. Ведь приложения, установленные на eSIM, недоступны для анализа пользователями, что делает их потенциальной добычей госструктур и организованной кибермафии.
Несмотря на масштаб угрозы, американская компания Oracle не выразила заинтересованности в бесплатных предложениях для устранения уязвимости, полученных от Security Explorations. Английская Kigen, напротив, признала опасность и начала работу для ее устранения, уведомив об этом более 100 организаций напрямую и тысячи физических пользователей косвенно с помощью объявлений на своем сайте.
Авторы исследования Security Explorations подчеркивают, что оно проводилось на собственные средства фирмы без стороннего финансирования. Цель исследования — показать ценность независимого от разработчиков цифровых технологий анализа информационной безопасности и важность внимания к деталям. Их систематически игнорировала высокотехнологичная индустрия в течение последних лет.
Какой вывод полезно сделать нам, читатель? Полку шпионов за нами прибыло, а посему надо не ослаблять, а усиливать личную цифровую бдительность. Например, автоматически не отзываться на звонки и сообщения с незнакомых мобильных номеров, блокируя их до выяснения, кому принадлежат эти номера, если для этого есть интерес и время. Нет их — блокируйте незнакомые номера без раздумий.