ثغرة eSIM بدرجة CVSS 9.1: استنساخ واعتراض وما تكشفه الإشارات

أثبت باحثون من AG Security Research استنساخاً كاملاً لملف eSIM لشركة Orange بولندا. دون تنبيه الضحية. دون وصول فعلي للجهاز. درجة CVSS: 9.1 من 10. حرج.

الهجوم يتيح اعتراض المكالمات والرسائل القصيرة (بما في ذلك رموز 2FA)، ويمكن أن يصل إلى تدمير دائم لشريحة eUICC. موردون آخرون (Thales، NXP) قد يكونون متأثرين.

بنية eSIM

الـ eSIM ليست مجرد SIM افتراضية. إنها منصة آمنة (eUICC) قادرة على تخزين ملفات تعريف متعددة للمشغلين وتنشيط واحد عن بُعد.

البنية تعتمد على:

• eUICC: الشريحة المادية الملحومة في الجهاز
• SM-DP+: خادم المشغل الذي يُعد وينزل ملفات التعريف
• بروتوكولات OTA: آليات اتصال عن بُعد مع eUICC، غالباً عبر SMS

الهجوم: استنساخ صامت عبر OTA

متجه الهجوم

1. إرسال SMS OTA مُصاغ خصيصاً إلى eUICC المستهدف
2. استغلال ثغرة Java Card في معالجة الرسالة بواسطة شريحة Kigen
3. استخراج ملف eSIM: بيانات المصادقة (Ki، OPc) مُسربة
4. استنساخ الملف على eUICC آخر
5. المهاجم يمكنه انتحال هوية الضحية على الشبكة

ما يمكن للمهاجم فعله

• اعتراض جميع المكالمات الموجهة للضحية
• استقبال رسائل SMS للضحية، بما في ذلك رموز المصادقة 2FA
• إجراء مكالمات وإرسال رسائل باسم الضحية
• الوصول إلى خدمات مرتبطة بالرقم (بنك متنقل، شبكات اجتماعية)
• تدمير شريحة eUICC للضحية (تعطيل دائم)

ما تكشفه إشارات الميدان

آثار OTA في Layer 3

رسائل OTA تنتقل عبر الشبكة المتنقلة كرسائل SMS خاصة (SMS-PP). وهي مرئية في طبقة إشارات NAS.

فك تشفير Layer 3 يمكنه كشف:

1. رسائل OTA SMS غير مطلوبة: خارج السياق الطبيعي للمشغل.

2. تسلسلات مصادقة غير طبيعية: إذا كان الملف مستنسخاً ونشطاً على جهاز آخر.

3. تغييرات TMSI متسارعة: قد تشير إلى محاولة إعادة مزامنة بعد الاستنساخ.

4. إعادة توجيه مشبوهة بين التقنيات: بعض الهجمات تفرض تخفيضاً إلى 2G.

توصيات

لفرق أمن المشغلين

1. تدقيق شرائح eUICC في أسطول الأجهزة
2. نشر تصفية OTA معززة على منصات SMS
3. تنفيذ كشف التسجيل المزدوج في HSS/UDM
4. إجراء حملات تدقيق ميدانية بفك تشفير Layer 3

للمهندسين الميدانيين

1. إضافة مراقبة OTA لحملات drive test القياسية
2. توثيق خطوط الأساس للإشارات لكل منطقة
3. التنبيه على رسائل SMS OTA غير المطلوبة

للمستخدمين

1. تفضيل المصادقة بالتطبيق (TOTP) بدلاً من SMS
2. مراقبة انقطاعات الشبكة غير المبررة
3. الاتصال بالمشغل عند سلوك مشبوه للجهاز

كان من المفترض أن تعزز eSIM الأمان بإلغاء بطاقة SIM المادية. ثغرة CVSS 9.1 تذكرنا أن الأمان يعتمد على التنفيذ، لا على شكل العامل. والتنفيذ يُتحقق منه في الميدان.