多合一 eUICC 隔离特性及并发性技术要求和测试方法研究报告

R/TAF011—2025 多合一eUICC隔离特性及并发性技术要求和测试方法研究报告 版权声明 本研究报告版权属于电信终端产业协会，并受法律保护。转载、摘编或利用其它方式使用本报告文字或者观点的，应注明“来源：电信终端产业协会”。违反上述声明者，本协会将追究其相关法律责任。 目录 前言...............................................................................III术语和定义..........................................................................IV课题研究背景及方案说明...............................................................11多合一eUICC方案域隔离保护轮廓依据...............................................12多合一eUICC方案域隔离测试建议应用说明...........................................2多合一eUICC芯片方案域隔离保护轮廓...................................................31符合性声明.......................................................................32安全问题定义.....................................................................32.1资产.........................................................................32.1.1 eUICC TSF数据............................................................32.1.2 eUICC用户数据...........................................................42.2主体.........................................................................42.3对象.........................................................................42.4威胁.........................................................................42.5组织安全策略.................................................................52.6假设.........................................................................53安全目的.........................................................................53.1对TOE的安全目的.............................................................53.2对TOE环境的安全目的.........................................................64拓展组件.........................................................................65安全组件.........................................................................65.1安全功能组件.................................................................65.2安全保障组件.................................................................85.3安全组件合理性...............................................................95.3.1安全目的合理性...........................................................95.3.2安全功能组件合理性......................................................105.3.3安全功能组件依赖性......................................................10多合一eUICC芯片方案域隔离测试建议..................................................121域隔离功能测试建议..............................................................121.1 eUICC用户数据...............................................................121.2 eUICC TSF数据...............................................................121.3代码管理....................................................................121.4代码执行....................................................................131.5通信接口和系统资源..........................................................131.6并发操作....................................................................13 多合一eUICC隔离特性及并发性技术要求和测试方法研究报告 2域隔离脆弱性分析和渗透测试建议..................................................152.1逻辑攻击....................................................................152.2混合攻击....................................................................15参考文献............................................................................17 多合一eUICC隔离特性及并发性技术要求和测试方法研究报告 前言 随着移动终端设备的发展和物联网时代的到来，手机、可穿戴设备等移动及物联网终端设备对eUICC、eSE、NFC等芯片提出了高集成度、小尺寸、低成本、低能耗的需求，聚合芯片应运而生。电信终端产业协会关注到消费电子产品及物联网终端设备对于多合一eUICC芯片这种产品形态的潜在需求，在2023年，由中国联通牵头开展了多合一eUICC产品可行性研究课题，中国移动，中国电信及产业链相关芯片厂家，卡商及检测机构共同参与完成了《多合一eUICC芯片实现方案及可行性研究报告》，对于多合一eUICC芯片的定义，实现方案及产品架构，安全性，检测及认证需求等进行了系统的分析和论证。研究报告认为，不同厂商的多种多合一eUICC产品实现方案能够满足功能性及安全性需求，且已有产品在海外市场得到了广泛的商用。对于相关的检测和认证需求，目前国内实验室和认证机构已经开展了针对eUICC产品和eSE产品的系统性测试和认证，其检测技术已达到世界先进水平，目前的测试规范和测试案例已经能完全涵盖和验证独立eUICC产品的安全性。对于多合一eUICC产品，建议在现有规范的基础上补充和完善关于域隔离特性及并发性的检测规范。本研究课题正是在此背景下开展，为后续具体检测规范和测试案例的编制工作提供参考。 本文档主要由三部分构成： 课题研究背景及方案说明多合一eUICC芯片方案域隔离保护轮廓多合一eUICC芯片方案域隔离测试建议 承担机构：电信终端产业协会智能产品评测技术组（WG7） 牵头单位及主要研究人员（单位排名不分先后）： 博鼎实华（北京）技术有限公司：董霁，马凡，邓建国 中国联合网络通信有限公司：卢丽敏，孙森田，衣莉莉，王海涛恩智浦（中国）管理有限公司：张睿杰，张城，陈恒键，张一成华为终端有限公司：范姝男，朱宇洪，高红星，李涛北京紫光青藤微系统有限公司：施伟周，林国民，王刚，陈科紫光同芯微电子有限公司：常志刚维沃移动通信有限公司：张元 术语和定义 课题研究背景及方案说明 eUICC多合一方案中，芯片除包含eUICC域外，还包括其他域，如eSE，NFC等等。目前，被TAF接受的CCRC对eUICC产品评估，并没有区分所评估的eUICC产品是独立的eUICC产品还是多合一方案的eUICC产品。因此，对eUICC多合一方案中的域隔离，并没有做过多的显式描述及要求。为了全面且显式的将多合一eUICC方案接纳在CCRC对现有eUICC产品认证标准之中，本研究课题建议延伸目前CCRC对eUICC产品的评估标准，额外添加一个针对多合一方案域隔离的补充性保护轮廓，规范多合一方案域隔离的安全定义及所需满足的安全功能，以更加明确的方式确保其他域不能访问其eUICC域的资产，同时证明在现有认证标准下，多合一eUICC产品能达到于单一eUICC芯片产品相同的安全性。考虑到域隔离的重要性，多合一方案中域的安全隔离必须由多合一eUICC方案的评估对象（TOE）实现，而不能借助于评估对象的环境实现。为实现以上目标，为了规范对多合一eUICC产品域隔离的认证，本报告定义了两部分： ——多合一eUICC芯片方案域隔离保护轮廓，依据于信息技术安全评估准则，定义了多合一方案域隔离所面对的安全问题，需满足的安全功能要求，以及为达到和单一芯片相同评估安全强度所需采取的最低安全评估标准（见<多合一eUICC芯片方案域隔离保护轮廓>）。——多合一eUICC芯片方案域隔离测试建议，定义了验证第一部分所定义的保护轮廓中的安全要求是否得到满足的测试目标，以确保多合一eUICC方案提供至少与独立eUICC产品同等级别的安全保护。本文档所列举的测试目标，涵盖功能测试及渗透测试，供认证实验室参考（见<多合一eUICC芯片方案域隔离测试建议>）。 1多合一eUICC方案域隔离保护轮廓依据 在通用安全评估准则中，域的安全隔离作为安全保障要求的一项，已经包含在CCRC对eUICC产品的评估中。在通用标准安全保障组件[6]中所定义的ADV_ARC.2，在从EAL1到EAL7的所有包中，都被强制要求。该安全保障组件的ADV_ARC.1.2C要求了安全架构描述应包括TSF如何实施域隔离以确保不同的域的安全。该安全保障组件没有显式的在保护轮廓中由安全声明，安全定义，安全功能组件来体现。为了更好的理解域安全隔离的特性，以及达到的安全级别，本文档作为对eUICC产品评估的补充，以遵循通