Введение
eSIM – это стандарт, разработанный ассоциацией GSMA, который позволяет хранить несколько профилей операторов связи на одном интегрированном электронном устройстве (чипе) и позволяет подключать устройства к сотовой связи без физических SIM-карт. При этом абонентские профили конкретных операторов связи могут загружаться в eSIM через сеть (Интернет).
eSIM происходит от английского слова “embedded SIM”, что по-русски означает “интегрированная SIM”. Внедрение стандарта eSIM упрощает процесс подключения таких устройств, как планшеты, смарт-часы, фитнес-браслеты, переносные системы здравоохранения и другие устройства к сотовой сети.
Первые продукты с поддержкой eSIM уже вышли на рынок, и в текущем году мы можем ожидать новые внедрения. В настоящий момент стандарт eSIM работает в США и Южной Корее. Всего устройствами с eSIM пользуются 20-25 млн человек.
Архитектура системы
Архитектура системы удаленного программирования интегрированного устройства (чипа) и внутренняя высокоуровневая архитектура интегрированного устройства embedded universal integrated circuit card (eUICC), на базе которого реализующего функционал стандарта eSIM представлены на рисунке 1 и 2 соответственно.
Рисунок 1. Архитектура стандарта eSIM
Рисунок 2. Архитектура интегрированного электронного устройства eUICC
Описание основных элементов архитектуры:
ECASD (англ. Embedded UICC Controlling Authority Security Domain) - интегрированный домен безопасности eUICC. ECASD отвечает за безопасное хранение учетных данных, необходимых для обеспечения требуемого уровня безопасности.
Только один элемент ECASD может существовать на eUICC. ECASD должен быть предустановлен и персонализирован производителем eUICC.
ECASD должен содержать следующую информацию:
- закрытые ключи eUICC для создания электронных подписей;
- связанные с eUICC сертификаты безопасности для её аутентификации;
- корневые публичные ключи для проверки сертификатов безопасности элементов SM-DP + и SM-DS;
- набор секретных ключей производителя eUICC, необходимых для обновления ключей/сертификатов;
Кроме того, ECASD отвечает за аутентификацию eUICC с использованием необходимых ключей безопасности.
ISD-R (англ. Issuer Security Domain - Root) – корневой домен безопасности. ISD-R отвечает за создание новых и управление жизненным циклом доменов безопасности профилей (ISD-P).
ISD-P (англ. Issuer Security Domain - Profile) – домен безопасности профиля. ISD-P обеспечивает загрузку, установку и хранение профилей SIM карт. ISD-P это представление данных SM-DP+ на чипе.
MNO-SD (англ. Mobile Network Operator - Security Domain) – представление данных оператора связи. MNO-SD содержит ключи OTA и обеспечивает канал безопасности для обмена данных через OTA.
Profile Policy Enabler – сервис операционной системы eUICC, выполняющий проверку и применение политик безопасности.
Telecom Framework – сервис операционной системы eUICC, который обеспечивает работу алгоритмов аутентификации, размещенных на ISD-Ps. Дополнительно сервис предлагает возможность конфигурировать алгоритмы необходимыми параметрами.
Profile Package Interpreter – сервис операционной системы eUICC, который преобразовывает полученные данные профиля во внутренний формат eUICC.
LPA Services (англ. Local Profile Assistant Services) - локальные сервисы, реализующие доступ к данным, необходимым LPA функциям, для:
- получения адреса корневого SM-DS;
- получения адреса опционально хранимого SM-DP+;
- упрощения приема профиля SIM при передачи от LPA;
- получения информации об установленном профиле;
- обеспечения управления профилями;
- обеспечения функционала аутентификации и взаимодействия с SM-DS;
- обеспечения доступа к идентификатору eUICC (EID) только с LPA.
LPA включает в себя три функции:
Local Discovery Service (LDS) – отвечает за получение отложенных событий от SM-DS
Local Profile Download (LPD) – выполняет роль посредника для более эффективной загрузки пакета профиля из SM-DP+.
Local User Interface (LUI) – позволяет конечному пользователю выполнять управление профилями на устройстве.
Предусмотрены два режима работы LPA. Первый: LPA функции предоставляются устройством, второй: LPA функции предоставляются eUICC.
SM-DP+ (англ. Subscription Manager Data Preparation +) – элемент архитектуры стандарта eSIM, который отвечает за создание, управление и защиту профилей SIM на основании запроса Оператора связи. Он также отвечает за доставку профиля и запрос ISD-P в создании профиля на eUICC. SM-DP + также будет управлять жизненным циклом профиля ISD-P, которое было создано по его запросу.
SM-DS (англ. Subscription Manager – Discovery Service) – сервер обнаружения, реализующий механизм, который позволяет SM-DP+ информировать LDS любого устройства о том, что SM-DP+ хочет установить с ним связь.
CI (англ. Certificate Issuer) - центр сертификации, осуществляющий выпуск сертификатов для аутентификации объектов стистемы.
EUM (англ. eUICC Manufacturer) - производитель электронных чипов eUICC.
Интерфейсы взаимодействия
Интерфейсы взаимодействия между различными элементами архитектуры eSIM изображены на рисунке 3.
Рисунок 3. Интерфейсы взаимодействия в стандарте eSIM.
Интерфейс ES2+ (Operator – SM-DP+)
Интерфейс ES2+ используется Оператором связи для административных целей, в том числе для назначения профиля SIM для определенного eUICC.
Интерфейс ESop (Operator – End user)
ESop это интерфейс между оператором связи и конечным пользователем. Данный интерфейс не рассматривается в рамках настоящего документа.
Интерфейс ESeu (End User - LUI)
Интерфейс ESeu это интерфейс между конечным пользователем и LUI. ESeu используется для локального управления операциями с профилями. Операции инициированные конечным пользователем выполняются только через интерфейс ESeu.
Интерфейс ES6 (Operator – eUICC)
Интерфейс ES6 используется оператором связи для управления сервисами оператора средствами OTA (Over The Air).
Интерфейс ES9+ (SM-DP+ – LPD)
Интерфейс ES9+ используется для безопасной передачи профилей SIM карт между SM-DP+ и LPD.
Интерфейс ES8+ (SM-DP+ – eUICC)
Интерфейс ES8+обеспечивает организацию безопасного канала точка-точка между SM-DP+ и eUICC для управления ISD-P и связанного с ним профиля во время его загрузки и установки.
Интерфейс ES12 (SM-DP+ – SM-DS)
Интерфейс ES12 используется для инициации или удаленной регистрации события для определенного eUICC на SM-DS.
Интерфейс ES11 (LDS – SM-DS)
Интерфейс ES11 позволяет сервису LDS запрашивать события для соответствующего eUICC.
Интерфейс ESeum (EUM – eUICC)
ESeum это интерфейс между EUM и eUICC. Данный интерфейс не рассматривается в рамках настоящего документа.
Интерфейс ES10a (LDS – LPA Services)
ES10a интерфейс используется LPA сервисом, расположенным на устройстве, для получения сконфигурированных адресов на eUICC, таких как: адрес корневой адрес SM-DS, адрес SM-DP+.
Интерфейс ES10b (LPD – LPA Services)
ES10b интерфейс используется LPD, расположенным на устройстве, и LPA сервисами для передачи профилей SIM на eUICC.
Интерфейс ES10c (LUI – LPA Services)
ES10b интерфейс используется LUI, расположенным на устройстве, и LPA сервисами для локального управления профилями конечным пользователем.
Интерфейс ES15 (SM-DS – SM-DS)
В случае каскадного внедрения SM-DS, интерфейс ES15 используется для связи между SM-DS.
Организация связи между устройством и SM-DP+ может быть обеспечена:
• c помощью доступа в интернет на том же самом устройстве, где находится LPA
• с помощью доступа в интернет через устройство посредника, средствами локального подключения
Пример организации связи показан на рисунке 4.
Рисунок 4. Пример организации связи между устройством и SM-DP+.
Загрузка профиля в eSIM
Одной из основных задач стандарта eSIM является организация процедуры безопасной загрузки профиля в чип eSIM. Верхнеуровнево процедура выглядит следующим образом:
1. Производитель абонентских устройств изготавливает гаджет с встроенным eSIM модулем. На eSIM должны быть записаны в т.ч. адрес корневого сервера обнаружения (SM-DS), идентификатор модуля (EID - eUICC-ID) и сертификаты безопасности.
2. Пользователь покупает гаджет с установленных модулем eSIM и заключает договор с оператором на оказание услуг мобильной связи.
3. Оператор связи создает на SM-DP+ абонентский профиль и привязывает его к сертификатам безопасности eSIM модуля, установленного в гаджете клиента. Абонентский профиль содержит в т.ч. международный идентификатор мобильного пользователя (IMSI), параметры алгоритма аутентификации и персональные ключи (OP, OPc, KI), коды защиты PIN, PUK.
4. Оператор создает абонентский профиль в сетевых базах данных и платформах - HLR/HSS, BSS,...
5. Далее в рамках процедуры обнаружения SM-DP+ загружает абонентский профиль в eSIM.
Рассмотрим основные межанизмы управления подписками, регистрации/удаления событий и процедуру работы службы обнаружения устройств.
Управление подписками – сервис обнаружения (SM-DS)
Элемент архитектуры SM-DS предназначен для того, чтобы обеспечить механизм, который позволит SM-DP+ информировать LDS устройства о том, что SM-DP+ хочет установить с ним связь. Целью установления данной связи является информирование LDS об ожидающем событии.
Принцип работы остается однотипным для всех случаев. SM-DP+ отправляет сообщение о регистрации события для целевого устройства на SM-DS. В случае упрощенной схемы внедрения используется только корневой SM-DS. Адрес корневого SM-DS уникальный и конфигурируется на eUICC. LDS целевого устройства опрашивает корневой SM-DS. В случае наличия события для запрашиваемого устройства, SM-DS сообщает устройству адрес SM-DP+, если событие отсутствует SM-DS содержит пустой ответ.
В случае внедрения при использовании нескольких SM-DS (каскадная схема), SM-DP+ может отправить регистрацию события альтернативному (не корневому) SM-DP. В данном случае альтернативный SM-DS будет последовательно передавать сообщение к корневому SM-DS. И LDS целевого устройства при опросе корневого SM-DS получит в ответ адрес альтернативного SM-DS. Затем устройство запросит альтернативный SM-DS и получит от него адрес SM-DP+.
На рисунке 5 и 6 показаны диаграммы регистрации события при использовании альтернативного и корневого SM-DS соответственно.
Рисунок 5. Регистрация события при использовании альтернативного SM-DS.
Рисунок 6. Регистрация события при использовании корневого SM-DS.
На рисунке 7 показана диаграмма работы службы обнаружения.
Рисунок 7. Диаграмма работы службы обнаружения.
Как описано выше существует две конфигурации внедрения SM-DS:
- использование корневого SM-DS
- использование альтернативных SM-DS
На рисунке 8 изображены обе конфигурации внедрения. Корневой SM-DS конфигурируется при производстве eUICC.
Рисунок 8. Конфигурации внедрения SM-DS.
Для обеспечения необходимой функциональности SM-DS имеет три функции:
Рисунок 9. Функции SM-DS.
Event Registration – регистрация события, процесс посредством которого осуществляется сохранение зарегистрированного события, принятого от SM-DP+.
Event Deletion – удаление события, процесс посредством которого SM-DP+ может удалять, созданные им события.
Event Retrieval – получение всех зарегистрированных событий средствами службы обнаружения от любого запрашивающего LDS.
Процедура регистрации/удаления событий
На рисунке 10 показана подробная процедура регистрации и удаления события.
Рисунок 10. Процедура регистрации и удаления события.
Процедура регистрации события:
- SM-DP+ устанавливает безопасное соединение с альтернативным SM-DS, который был выбран владельцем профиля SIM карты;
- SM-DP+ информирует альтернативный SM-DS о намерении зарегистрировать событие;
- Альтернативный SM-DS регистрирует событие и подтверждает регистрацию;
- Альтернативный SM-DS устанавливает безопасное соединение с корневым SM-DS;
- Альтернативный SM-DS информирует корневой SM-DS, что для определенного устройства с EID идентификатором ожидает событие на определенной альтернативном SM-DS;
- Корневой SM-DS регистрирует событие;
- Корневой SM-DS подтверждает регистрацию события.
Процедура удаления события:
- SM-DP+ устанавливает безопасное соединение с альтернативным SM-DS, который был выбран владельцем профиля SIM карты;
- SM-DP+ информирует альтернативный SM-DS об удалении события;
- Альтернативный SM-DS удаляет событие и подтверждает его удаление;
- Альтернативный SM-DS устанавливает безопасное соединение с корневым SM-DS;
- Альтернативный SM-DS информирует корневой SM-DS, что для определенного устройства с EID идентификатором событие должно быть удалено;
- Корневой SM-DS удаляет событие;
- Корневой SM-DS подтверждает удаление события;
Процедура работы службы обнаружения
На рисунке 11 изображена диаграмма работы службы обнаружения.
Рисунок 11. Процедура работы службы обнаружения.
Процедура работы службы обнаружения:
- Для того чтобы сгенерировать запрос обнаружения LDS запрашивает eUICC адреса SM-DS или SM-DP+, а также авторизационные данные, которые содержат (по крайней мере) сертификат eUICC;
- LDS устанавливает безопасное соединение с корневым SM-DS;
- Корневой SM-DS выполняет авторизацию и аутентификацию eUICC;
- В случае успешной аутентификации eUICC и в случае наличия события для данной eUICC корневой SM-DS передает LDS следующие данные:
a) Адрес SM-DP+ где ожидает событие (в случае упрощенной схемы с одним корневым SM-DS)
b) Адрес SM-DS где ожидает событие (в случае использования альтернативных SM-DS)
- LDS устанавливает безопасное соединение с альтернативным SM-DS;
- Альтернативный SM-DS выполняет авторизацию и аутентификацию eUICC;
- В случае успешной аутентификации eUICC и в случае наличия события для данной eUICC корневой SM-DS передает LDS адрес SM-DP+ где ожидает событие;
- LPA устанавливает связь с SM-DP+ и ожидает инструкций для исполнения.
Выводы
Стандарт eSIM (или его будущие аналоги) - это перспективная технология, которая в итоге может заменить существующие физические SIM карты. Однако, из-за ограничений действующего законодательства использование eSIM в РФ и ряде других государств не является актуальным. Сегодня SIM-карта является уникальным идентификатором абонента, наличие же единого номера «для смартфона и часов» делает идентификатор не уникальным. Необходимость заключения договора оказания услуг связи превращает функцию быстрой смены оператора в настройках устройства не имеющем смысла. Но несмотря на это технологии развиваются очень быстро и не исключено, что уже в скором времени в законодательство в РФ будут внесены необходимые изменения и технология eSIM получит широкое распространение.
Литература
1. Official Document SGP.21 - RSP Architecture, Version 2.2, 01 September 2017
