Tele2 запретили выдавать eSIM: власти ссылаются на «проблемы безопасности»

[Hardcoin]

до разрешения всех вопросов, касающихся безопасности

Похоже, слишком безопасные, у ФСБ могут быть сложности.

[smilyfox]

Реакция ФСБ:
Шеф, все пропало, всё пропало! Гипс снимают, клиент уезжает!

[Nova_Logic]

Нас от информационной безопасности

[gmaa]

Как обычно — Путина от народа

[Umpiro]

Разве вы не чувствуете эту темную плотную ауру безопасности вокруг eSIM?

[keydon2]

ФСБ не успевает за прогрессом и просит его остановить?

[Tachyon]

Когда то подобное уже было, вот только сейчас сожжения на костре запретили, и ФСБ наверное грустно…
Ну а если серьёзно, то о какой безопасности речь? О моей? — Я о ней сам позабочусь. О безопасности государства (так это все мы, о чём власть всегда забывает) — но договориться о противоправных действиях злоумышленники могут по телефону бомжа или по украденному, да просто в личном разговоре. Какая то уж очень общая отмазка у ФСБ, впрочем как всегда- Творим что нам надо, но исключительно в ваших интересах.

[yulai-b]

Эти ребята считают, что государство это они, и страна принадлежит им. Отсюда фраза «не нравится — уезжайте». О*уевшие, мля.

[Dolios]

Судя по тому, что вы пишите, вы разобрались в вопросе. Насколько тяжело такую сим клонировать?

[lamoss]

На порядок сложней, чем обычную.
Обычные я клонировал обычным программатором для симок и проблем не было — вставил старую сим, считал, вставил болванку, записал. Готовченко. Тут же понадобится доступ к устройству и не факт что без рута и джейлбрейка его будет достаточно.

[Dolios]

Обычные аппаратные симки последних поколений не поддаются клонированию, насколько я знаю. Вопрос был про клонирование недобросовестным сотрудником оператора. Ему зачем доступ к телефону?

[lamoss]

Про последнее поколение не могу сказать, это да, хотя знаю что до сих пор клонируют симки и не думаю что ограничиваются старыми.
Не понял, а как сотрудник оператора без доступа к телефону склонирует данные сим (не про номер телефона речь, а про ICCID, IMSI и так далее)?

[Dolios]

Не знаю, я про это и спрашивал. В традиционной сим они лежат в чипе, к которому у сотрудника доступа нет, а в случае электрической сим они лежат в какой-то БД.

[Semapi]

Тут скорее вопрос передачи номера. Достаточно просто отсканировать код и тем самым передать номер, нет привязки к физическому носителю который затруднит гуляние номера по стране (когда за 5 минут номер прыгнул из Москвы в солнечный Магадан).

[Semapi]

Я вас наверное очень сильно удивлю, но есть тарифы без регионлока. Проще говоря, тариф действует по всей территории РФ, за исключением пары регионов. Единственное ограничение данного тарифа — раз в некоторое время бывать в домашнем регионе (это при условии, что мы не берем типа «не публичные тарифы»). Например Мегафон Включайся! Общайся. с безлимитом по интернету и 1000 минут за 190 рублей/месяц ограничений по региону не имеет, так же он вроде как не имеет требования бывать в домашнем регионе (но это не точно), за ним народ из Москвы в Тульсткую область катали. Но в данном случае я говорю о сценарии добровольной передачи номера третьему лицу.

[Semapi]

но цены-то того региона.

Ага, того региона где покупался тариф.

с привязкой к личности и телефону через его имей.

Вы знаете, я вот сейчас задумчиво смотрю на свой модем, у которого прямо в вебинтерфейсе можно установить любой IMEI и мне любопытно, как будет выглядеть подобная привязка.

[Semapi]

Вопрос реализации. В данный момент мне ничего не мешает достать из стола свой подубитый смарт на 5 андроиде и (посредством некоторого шаманизма) прописать на нем нужный imei. Что мне помешает сделать это на смартфоне поддерживающем есим (боксы сейчас есть в свободной продаже)?

[qw1]

Лягушка ещё не настолько сварилась, чтобы вводить белые списки IMEI (пусть даже только для eSIM) с привязкой к физлицу.

[qw1]

Допустим кто-то купил телефон с рук (или в магазине — есть разница?). Он не сообщает об этом государству, а просто «за 5 секунд без всяких салонов» получает новый номер. Без идентификации и документов.

[qw1]

Госуслуги не имеют двухфакторной аутентификации, значит через ботнет можно собрать большую базу логин-паролей и привязывать eSIM-ы к любым скомпрометированным профилям.

[qw1]

Через госуслуги? Есть там такая услуга?

[qw1]

полис ОМС и военный билет. Причём это всё еще и сверено на правдивость.

Как ОМС и военный билет относятся к получению кредита?

Ещё вопросы по поводу того, что с привязкой к госуслугам никто есимками раскидываться в здравом уме не будет?

Госуслуги уже уязвимы перед ботнетами, независимо от того, сделают через них оформление eSIM, или нет. Я о таком сценарии: хакеры получают чужие акки на гос. услугах и регают там е-симки, затем используют их в своих чёрных делишках. С чего бы им дорожить чужими аккаунтами?

[qw1]

Вы же специально пропустили полные данные паспорта, инн и снилса?

А вы специально добавили несущественные данные в список?

Нах… фига им страдать мелочью, когда проще будет оформлять кредиты на полные данные пациента?

Это где оформляют кредит только по паспортным данным? Сканов паспортов в сети и так вагон, что, можно уже бежать за кредитами?

сразу можно будет сажать по нескольким статьям

Формально — нет. За что сажать человека (по текущему УК), который на подпольном форуме купил/скачал приложение «услуга смены номера». Это как купить прокси-сервер на ботнете.

[qw1]

За что сажать купившего краденное, зная что оно краденное? Спасибо, взоржал

А формально, за что?

Более того, в условно описанной мной схеме: на телефоне ты должен будешь залогиниться в а-ля госуслугах по-сути и только после этого тебе позволят номер к есим прицепить.

Номер меняет нелегальное приложение, которое в гос. услуги не просит логинится.

Да и так с поддельными паспортами берут кредиты или снимают средства с сберкнижек

Создать физический поддельный документ и пойти с ним на дело это совсем не то же самое, что просто увидеть паспортные данные.

[qw1]

>> А формально, за что?
Я даже описал за что.

Кража (УК 158) не применима к угону аккаунта.

Меня радует, как вы отстаиваете свою позицию, раз уж её заняли, игнорируя логику

Наверное, я слишком увлёкся )))

Тем не менее, правила, как вы их видите, сейчас не существуют. Нет нормативной базы, на госуслугах нет работы с телефонами. Если сейчас разрешить eSIM, оно само как-то сложится так, что не будет достаточно контролируемо. А потом фиг что изменишь. Поэтому запрещают, вместо того, чтобы работать над хорошим безопасным решением.

[qw1]

В принципе, понятны опасения. Пока эта технология у google/apple, они могут защищать ключи аппаратно. Когда же появится масса дешёвых китайфонов, там могут сделать обработку ключей программно, и тогда хакеры смогут эксплойтить прошивки и воровать ключи, клонировать симки.

[brake]

Эксплоитить eSIM также "легко", как эксплоитить обычную USIM. До момента коммерческой реализации функциональности карты в SoC (чипсете) этот вектор не очень перспективный, да и потом тоже не факт. А "левые" хакерские eSIM легко будет отсеять при отсутствии у них сертификата, заверенного CA GSMA.

[qw1]

По сравнению с USIM добавляется возможность загрузки новых ключей. А есть ли в этом процессе защита от replay attack, например?

В SIM физическая защита хранилища ключа никак не специфицирована, но выпуском SIM занимаются фирмы с определённой репутацией. Можно купить китайфон из подвала, но SIM из подвала, сделанную на тяп-ляп, оператор не будет покупать (а именно оператор выбирает поставщиков SIM). Развязка производителя криптомодуля и основного девайса — хорошо: можно экономить на телефоне без ущерба безопасности SIM.

Когда любой абонент приходит со своей eSIM, неизвестно какого качества, оператор обязан залить туда ключи, не может отказать на основании того, что «телефон твой дырявый».

[brake]

Ограничат определенными моделями устройств с сертификатом нужным

Именно. В стандарте указано, что к управлению принимаются только eSIM с определенными сертификатами. И eSIM не позволит собой управлять несертифицированной платформе. Очевидно, что кража ключей из недоверенной eSIM возможна, поэтому все учтено.
Обязанности оператора не должны будут заходить настолько далеко, чтобы управлять модулями с левыми сертификатами.
Полагаю, что даже если eSIM будет, в будущем, реализована на чипсете, ее OS все равно будет сделана венграми карт, обладающими необходимой экспертизой. Это, конечно, мое предположение, но глупо было бы изобретать велик, пренебрегая экспертизой гигантов отрасли смарт-карт.

[qw1]

Почему не может? Ограничат определенными моделями устройств с сертификатом нужным, имей их будет известен для ввезеных в белую

Дело не в белизне. Есть такой российский бренд — DEXP, который производит мониторы, смартфоны, планшеты, клавиатуры и ещё чёрт знает что, клея свою этикетку на самый дешёвый китайский подвал. И вот как такому откажешь, на каких основаниях? Почему американский Apple пустили, а российский DEXP не пускают? Небезопасно? А какие ваши доказательства?

[svr_91]

Я так понимаю, если раньше нас без разрешения подписывали на погоду за 35р в сутки, то теперь будут также подключать к новому оператору с абоненткой 1000р в день, или это как-то по-другому работает?

[0xf0a00]

Запретить и нипущать, бо кругом враги…