eSIMハックによりクローン作成やスパイ行為が可能に

古いJava Cardの脆弱性がeSIMで再浮上

eSIMのセキュリティに関する研究により、重大な影響を及ぼす可能性のあるハッキング手法が発見されました。

組み込み型SIM（eSIM）はますます一般的になっています。これにより、携帯電話やセルラー通信を必要とする他のIoTデバイスで物理的なSIMカードが不要になります。eSIMエコシステムの重要な構成要素の一つが、組み込み型ユニバーサルICカード（eUICC）であり、リモートでのSIMプロビジョニングや、異なるモバイルネットワークへの接続用に複数のプロファイルを利用することが可能です。

ポーランドに拠点を置くAG Security ResearchのリサーチラボであるSecurity Explorationsは、eSIMおよびeUICCの広範な分析を実施し、ターゲットのeSIMをクローン化し、モバイル通信を盗聴できる脆弱性を発見しました。

この研究は、広く使用されているKigen製eUICCカードに焦点を当てています。Kigenは、IoTデバイスで20億枚のSIMを実現したと主張しており、今回の発見について通知を受け、攻撃リスクを軽減するための措置を講じています。

同社は、脆弱性の潜在的な影響や緩和策を説明したアドバイザリを公開しています。Kigenはこの問題を中程度の影響と分類していますが、Security Explorationsは同社から3万ドルの報奨金を受け取ったと述べています。

世界中のモバイルネットワーク事業者の利益を代表する組織であるGSMAは、eSIMハッキング研究を受けて、プロファイル所有者、eUICCメーカー、デバイスベンダー、アプリケーション開発者向けにガイダンスを共有しています。

Security ExplorationsのプロジェクトはKigen製品に焦点を当てていますが、根本的な問題はOracleのJava Card技術に関連する一連の脆弱性であるため、他の複数のベンダーのeUICC/eSIMチップも同様の攻撃に対して脆弱である可能性があることに注意が必要です。

これらのJava Cardの脆弱性は2019年にSecurity Explorationsによって公開されましたが、当時Oracleやその技術を使用するSIMカードメーカーはその影響を過小評価していました。

この研究を基に、Security Explorationsは数か月にわたりeSIMのセキュリティを調査しました。

攻撃を実行するには、攻撃者がターゲットのeSIMを搭載したデバイスに一時的に物理的アクセスする必要があります。目的は、悪意のあるJava Cardアプリケーションをインストールするためのキーを抽出することです。

AG Security ResearchのCEO兼創設者であるAdam Gowdiak氏は、SecurityWeekに対し、キーが取得されると、OTA（Over-the-Air）メカニズムを使って悪意のあるアプリをインストールできるようになり、物理的なアクセスは不要になると、彼が作成した概念実証で示しました。

一度悪意のあるアプリケーションがインストールされると、攻撃者はチップのセキュリティを侵害できるようになります。このチップは本来、侵害されないことを前提に設計されています。

攻撃者はeSIMプロファイルデータ（異なるモバイルオペレーターが自社ネットワークでの認証に使用するもの）を取得でき、十分なリソースを持つ脅威アクター（例：国家レベルのハッカー）による通信の盗聴に悪用される可能性があるとGowdiak氏は警告しています。

また、攻撃者がeSIMプロファイルを平文でダウンロードし、それを使ってeSIMのクローンを作成することも可能です。研究者は、Orange PolandのeSIMプロファイルをクローン化することで、メッセージや通話が元のデバイスではなくクローンeSIMを搭載したデバイスに届くようになるという影響を実証しました。他のモバイルネットワーク事業者も影響を受けている可能性があります。

Gowdiak氏はまた、攻撃者がeSIMチップにバックドアを作成することも可能であり、モバイルオペレーターや携帯電話ベンダーはそれを検出する手段を持たない可能性が高いと指摘しています。

最後に、攻撃者はこの脆弱性を利用してeSIMチップを使用不能（ブリック）にすることもできるかもしれません。研究者は調査中に5枚のカードを破損させたと述べています。

Security Explorationsによれば、Oracleも今回の最新研究についてあまり懸念していないようです。しかし、セキュリティ企業は、Oracleが2019年のバグをもっと真剣に受け止めていれば、今回の攻撃は防げたかもしれないと考えています。

Security Explorationsは、eSIMで使用されているJava Card VMが攻撃に対して脆弱かどうかを判定するためのツールセットを作成しました。このツールセットは必要なキーの抽出も可能ですが、この機能はKigenカード専用であり、他の種類のeUICCカードごとにカスタムの攻撃手法が必要になる可能性があります。