2022消费电子设备的嵌入式通用集成电路卡（eUICC）安全能力技术要求

面向消费电子设备的嵌入式通用集成电路卡（eUICC）安全能力技术要求II目次面向费子备嵌式通集电卡（eUICC）安能技要求 1范围 1规性用件 1术、义缩语 1语义 2略语 2eUICC3eUICC架概述 3eUICC全题义 7全产 7户主体 11全胁 12织全略 155.515安目标 16TOE安目标 16行境安目标 18全标本理 21扩要求 28展族 28安要求 30全能求 30全障求 51全求本理 58LPAe 66LPAe架构 66LPAe安问定义 66LPAe安目标 69LPAe安要求 74附 录 A（范附） 86附 录 B（料附） 87PAGEPAGE2面向消费电子设备的嵌入式通用集成电路卡（eUICC）安全能力技术要求范围(GSMASGP.25:eUICCforConsumerDeviceProtectionProfileVersion1.0PP-JCS:JavaCard™System-OpenConfigurationProtectionProfile,version3.0.5PP0084:SecurityICPlatformProtectionProfilewithAugmentationPackagesversion1.0GMSASGP.02:RemoteProvisioningArchitectureforEmbeddedUICCTechnicalSpecificationVersion3.2PP-USIM:(U)SIMJavaCardPlatformProtectionProfileBasicandSCWSConfigurationsversion2.0.2GP-SecurityGuidelines-BasicApplications:GlobalPlatformCardCompositionModelSecurityGuidelinesforBasicApplications,version2.0CC1:CommonCriteriaforInformationTechnologySecurityEvaluation,Part1:Introductionandgeneralmodelversion3.1,Revision5CC2:CommonCriteriaforInformationTechnologySecurityEvaluation,Part2:Securityfunctionalcomponents,version3.1,Revision5CC3:CommonCriteriaforInformationTechnologySecurityEvaluation,Part2:Securityassurancecomponents,version3.1,Revision5GlobalPlatform_Card_Specification:GlobalPlatformCardSpecificationv2.3SCP80:ETSITS102225-SecuredpacketstructureforUICCbasedapplications,version9.0.0,release9ETSITS102226-RemoteAPDUstructureforUICCbasedapplications,version12.0.0,release9SCP81:GlobalPlatformCardSpecificationAmendmentB–RemoteApplicationManagementoverHTTPversion1.1.3KS2011:W.Killmann,W.Schindler,„Aproposalfor:Functionalityclassesforrandomnumbergenerators“version2.0GSMASGP.22:RemoteSIMProvisioning(RSP)TechnicalSpecification,version2.1MILENAGE:3GPPTS35.205,3GPPTS35.206,3GPPTS35.207,3GPPTS35.208,3GPPTR35.909(Release11)Tuak:3GPPTS35.231,3GPPTS35.232,3GPPTS35.233version12.1.0release12下列术语和定义适用于本文件。UICCEmbeddedUICC嵌入式UICC即嵌入式通用集成电路卡，能够支持安全的远程/本地Profile配置管理。ProvisioningProfile允许连接到商业移动网络的Profile，仅用于提供系统服务，如Profile的配置管理。缩略语下列缩略语适用于本文件。CASDControllingAuthoritySecurityDomain授权控制安全域CICertificateIssuer证书发行方ECASDeUICCControllingAuthoritySecurityDomaineUICC授权控制安全域EUMeUICCManufacturereUICC卡制造商EIDeUICC-IDeUICC标识eUICCEmbeddedUICC嵌入式UICCISDIssuerSecurityDomain主安全域ISD-PIssuerSecurityDomainProfileProfile集主安全域ISD-RIssuerSecurityDomainRoot根主安全域LPALocalProfileAssistantProfile代理LPAdLocalProfileAssistantinthedevice在终端设备上的LPALPAeLocalProfileAssistantintheeUICC在eUICC上的LPAMNOMobileNetworkOperator移动网络运营商NAANetworkAccessApplication网络接入应用PPARProfilePolicyAuthorisationRuleProfile策略授权规则PPEProfilePolicyEnablerProfile策略规则使能器PPRProfilePolicyRulesProfile策略规则RATRulesAuthorisationTable规则授权表SMSubscriptionManager签约管理SM-DP+SubscriptionManagerDataPreparation签约管理数据准备SSDSupplementarySecurityDomains补充安全域TOETargetofEvaluation评估对象TSFTOESecurityFunctionalityTOE安全功能UICCUniversalIntegratedCircuitCard通用集成电路卡eUICCeUICC本节描述消费类电子eUICCeUICCProfileeUICCGlobalPlatformProfile其余ProfileSIM.图1消费电子设备eUICC架构ECASDECASD负责eUICC上支持的所需安全域所需的证书的安全存储。一个eUICC上只有一个ECASD。ECASD应在eUICC制造期间由EUM安装和个人化。在eUICC制造之后，ECASD应处于GlobalPlatformCardSpecification卡规范第5.3节中的定义的PERSONALIZED状态。ECASD的AIDSGP.02规范.ECASD应包含：SK.EUICC.ECDSA，eUICCPK.EUICC.ECDSAeUICCeUICC认证；PK.CI.ECDSA，CI的公钥。ECASD可以包含属于同一CI或不同CI的几组公钥。每一个PK.CI.ECDSA应该至少与来自于其所属的CERT.CI.ECDSA的如下信息一起存储：证书序列号：用来管理CRLCI的回收；ID：CIOID；EUMeUICC更新EUM更新CI的公钥ECASD要为ISD-R提供以下服务：ISD-RECASDeUICC用PK.CI.ECDSAISD-RISD-RISD-R负责新的ISD-P的生成和所有ISD-P生命周期的管理.一个eUICC上只能有一个ISD-R。ISD-ReUICCEUMISD-RISD-R应按BISD-R不能被删除和禁用。ISD-PISD-PSM-DP+,Profile（。ISD-P用于Profile的,并且通过与Profile包解释器的合作对收到的Profile一个ISD-P拥有唯一的Profile。除了ISD-R，ISD-P外部的组件对任何Profile组件不具有可见性或访问权限，ISD-R具有对Profile元数据的访问权限。一个Profile组件对ISD-P之外的任何组件不具有可见性或访问权限。一个ISD-P对任何其他ISD-P不具有可见性或访问权限。删除一个Profile应当移除包含它的ISD-P和所有属于它的Profile组件。Profile一个Profile由以下组件组成：MNO-SD；SSD和一个CASD；应用；NAA；Profile元数据，包括PPR。MNO-SDOTAOTA所有ProfileMNO-SDSD拥有一个处于激活状态的Profile的eUICC其行为等同于一个UICC卡，这个尤其适用于Profile内的NAA和应用。当一个Profile被禁用，eUICC应确保：任何ProfileES6ProfileeUICCProfileNAAOperationalProfileTAF-WG4-XXXX-V1.0.0:2019TAF-WG4-XXXX-V1.0.0:2019PAGEPAGE18一个OpeaonalPoePoe元数据中把PoeCasOpeaonaA和UCC按照适用于OperationalProfile的方式处理。ProvisioningProfile一个PosonngPoe要在Poe元数据中把PoeCasPosonngA和eUC按照适用于ProvisioningProfileProvisioningProfile和其他所有ProfileTestProfile一个eUICC可以支持TestProfile.一个etPoePoe元数据中把PoeCaseA和eUCCTestProfile的方式处理。在其他方面，一个TestProfile和其他所有Profile拥有相同的格式构造。LPALPA服务对LPA功能所需的服务和数据提供必要的访问。这些服务是：将绑定的ProfileISD-P；提供已安装的Profile获取EID；提供本地ProfileeUICCLPAe，LPA。支持不带LPAe的嵌入式eUICC的设备应提供LPAd。符合此规范的eUICCLPALPAdLPAe实现适当的机制，使LPALPAd(LPAinDevice)在设备端实现的LPA服务。图2RSP系统中LPAd结构图上图提供了LPA在设备（LPAd）中时消费类远程SIM配置和管理系统的完整描述。LPAe(LPAineUICC)eUICCLPA服务。图3RSP系统中LPAe结构图LPDe，LDSe的技术实现取决于EUMISD-ReUICC（）TOE（TSF数据）用户数据包括：ISD-P（D.PROFILE_CODE）（DProe_APaasPPRDPoePoc_RueDPoe_Cde；MNO-SD与PoeDPoe_dentMOSDD._e与PoeDProe_Us_Cds此标准旨在保护Profile的数据和应用程序，而不考虑格式。因此，在资产描述中，格式将不详细说明。密钥安全域拥有的密钥。所有密钥都需要被保护，防止未经授权的泄露和修改。D.MNO_KEYSMNOOTA平台用于从ISD-P请求管理操作的密钥。密钥在配置过程中加载并在MNOSD的控制下存储。ProfileD.PROFILE_NAA_PARAMSISD-P需要被保护，防止未经授权的泄露和修改。D.PROFILE_IDENTITYMNOIMSIMNOHLRIMSIISD-P应保护IMSI免受未经授权的修改。D.PROFILE_POLICY_RULES描述Profile的Profile策略规则（PPR）的数据。ISD-PMNOOTA应保护PPRROFILE_USER_CODES该资产包括：（LUId）启动Profile（LUId）Profile（。请注意，虽然这些代码是由最终用户在TOE之外的LUId输入的，但是代码被发送到TOE以进行签名（例如euiccSigned2数据结构）。需要防止未经授权的修改。ProfileROFILE_CODEProfile应用程序包括第一级和第二级应用程序，特别是：MNO-SDMNO-SD（CASD，SSD）;MNO-SD）。按照惯例，此资产还包括Profile所有这些应用都在MNOSD的控制之下。需要保护这些资产免受未经授权的修改。TSFTSF数据包括三类数据：TSF代码，确保对Profile；eUICCTSFSF_CODETSF代码分为：ISD-RISD-P和ECASD；TSF绕过TSF应用说明：MNO-SD（Profile）；__。LATFORM_DATA平台环境的数据，例如，SM-DSOID、MNOSM-DP+OIDISD-P安全域的eUICC这些数据可以部分地在ISD-R和平台代码的逻辑中实现，而不是“数据”。因此，这一资产与D.TSF_CODE紧密相连。需要保护免受未经授权的修改。D.DEVICE_INFOLPAdeUICC（TAC）（（CRL））。需要保护免受未经授权的修改。D.PLATFORM_RAT描述eUICC规则授权表（RAT）的数据。这些规则在eUICC制造时或在初始设备设置期间初始化，是在没有安装可操作的Profile之前进行的。OEM或EUM负责设置RAT的内容。规则授权表储存在eUICC中。必须保护免受未经授权的修改。身份管理数据被用来保证参与者身份的真实性。它包括：EID、eUICCeUICCCI（）EUMD.SK.EUICC.ECDSAeUICC私钥，存储在ECASD中，由eUICC使用以证明其身份并与远程参与者生成共享密文。必须保护其免受未经授权的泄露和修改。D.CERT.EUICC.ECDSAEMUCP.UCCCAAD中。可以使用EUM证书验证该证书。eUICC证书必须被保护以避免未经授权的修改。K.CI.ECDSACI（PK.CI.ECDSA）eUICCECASDECASD可包含属于同一CI或不同CI的多个公钥。每个PK.CI.ECDSA应与来自其所属CERT.CI.ECDSA的信息一起存储，至少包括：证书序列号：需要通过CRLCI撤销；CIOID；D.EIDeUICCeUICCeUICCECASDEIDSM-DP+SM-DSEID应被保护免受未经授权的修改。ECRETS此资产包括：eUICCSM-DP+和otPK.DP.ECKA；用于保护Profile（ShS）；（S-ENC和S-MAC）MACD.CERT.EUM.ECDSAEUM证书（CERT.EUM.ECDSA）。应保护免受未经授权的修改。D.CRLseUICC中存储的可选证书撤销列表。需要被保护以防止未经授权的修改。5.2 用户主体本节包含两个部分：用户，TOETOE主体，TOED.TSF_CODE用户U.SM-DPplus准备Profile并管理Profile的安全下载和安装到eUICC上的角色。U.MNO-OTA一个远程管理UICC和eUICC上启用的MNOProfile内容的平台。U.MNO-SDMNO-SD是Profile的一个安全域部分，归MNO所有，提供与MNOOTA平台（U.MNO-OTA）的安全通道。用于Profile启用后Profile内容的管理。一个eUICC可以包含多于一个MNO-SD。主体S.ISD-RISD-R负责创建新的ISD-P，以及所有ISD-P的生命周期管理。ISD-R包含LPA服务，提供对LPA功能所需的服务和数据的必要访问，S.ISD-PISD-P是SM-DP+的卡上代表，是拥有一个Profile的安全容器（安全域）。S.ECASD嵌入式UICC授权控制安全域（ECASD）。S.PPIProfileeUICCeUICC的特定内部格式将Profile换为已安装的Profile.PEProfile策略激活，包含两个功能：验证一个包含PPR的ProfileRAT实施Profile中的PPRS.TELECOM电信框架是一种操作系统服务，为ISD-Ps中托管的NAA提供标准化的网络认证算法。5.3 ProfileeUICC：未经授权的ProfileProfileProfile，或泄漏存储在Profile）；Profile）。NAUTHORIZED-PROFILE-MNG恶意的卡上应用程序：ISD-P或MNO-SD的Profile执行或修改Profile（ISD-P，MNO-SD和MNO-SD）ISD-PMNO-SD直接访问Java;利用APDUISD-PMNO-SD；ISD-P中的应用程序试图破坏在其自己的MNO-SDISD-PMNOProfileMNO的Profile产生任何副作用。本标准解决了以下情况：ISD-PMNO-SDISD-P；ISD-PMNO-SD或ISD-PISD-P中的应用程序试图破坏其自身的ISD-PMNO的ProfileISD-P直接威胁资产：D.ISDP_KEYS，D.MNO_KEYS，D.TSF_CODE（ISD-P），D.PROFILE_*。NAUTHORIZED-PLATFORM-MNG卡上应用程序：ISD-R或PPE的数据;ISD-R或PPE的操作;修改存储在PPE（RAT）直接访问Java利用APDU直接受威胁的资产是D.TSF_CODE，D.PLATFORM_DATA和D.PLATFORM_RAT。通过改变ISD-R或PPE的行为，攻击者间接地威胁到eUICC的初始配置状态，因此也威胁到与T.UNAUTHORIZED-PROFILE-MNG相同的资产。ROFILE-MNG-INTERCEPTION攻击者改变或窃听eUICCSM-DP+（ES8+）eUICCMNOOTA（ES6）eUICC期间，泄露、替换或修改ProfileeUICC上下载Profile；SM-DP+MNOOTAMNOOTAProfileProfile（Profile（PPR））的内容。OTAeUICC直接威胁资产：D.MNO_KEYS，D.TSF_CODE（ISD-P），D.PROFILE_*。ROFILE-MNG-ELIGIBILITY攻击者改变或窃听eUICCLPAdeUICC信息，以便损害eUICCeUICC的Profile;eUICC标识符来获取未经授权的Profile。OTA直接威胁资产：D.TSF_CODE，D.DEVICE_INFO，D.EID。NAUTHORIZED-IDENTITY-MNG恶意卡上应用程序：TSFD.SK.EUICC.ECDSAD.SECRETS，修改D.PK.CI.ECDSA,D.EID,D.CRLs，D.S_CDE即用.SRTS；ECASD（D.TSF_CODE）。直接访问Java利用APDU直接威胁资产：D.TSF_CODE,D.SK.EUICC.ECDSA,D.SECRETS,D.CERT.EUICC.ECDSA,D.PK.CI.ECDSA,D.EID,D.CERT.EUM.ECDSA,D.CRLs。T.IDENTITY-INTERCEPTION攻击者可能试图拦截凭据，无论是在卡外还是在卡上，以便eUICC/在Profile（D.SECRETS）eUICCID（D.EID）在ProfileSM-DP+T.PROFILE-MNG-INTERCEPTION考虑）直接威胁资产：D.SECRETS,D.EID。eUICCT.UNAUTHORIZED-eUICC攻击者在未经授权的UCCSM上使用合法Po。D.TSF_CODEECASDD.SK.EUICC.ECDSA,D.EIDD.SECRETS。LPAdPAd-INTERFACE-EXPLOIT攻击者利用LPAd（ES10a、ES10b和ES10c）来：LPAd（），或利用接口中的缺陷来修改或泄露敏感资产，或执行代码（特别针对LPAd接口的T.LOGICAL-ATTACK和T.PHYSICAL-ATTACK的扩展）。因此，攻击者可以执行未经授权的Profile攻击者还可以通过在下载和安装ProfileLPAeUICC资格检查过程。与威胁 T.UNAUTHORIZED-PROFILE-MNG, T.UNAUTHORIZED-PLATFORM-MNG, 和T.PROFILE-MNG-ELIGIBILITY的不同之处在于本威胁利用的接口(ES10a，b，c)。直接威胁资产：D.DEVICE_INFO,D.PLATFORM_DATA.。T.UNAUTHORIZED-MOBILE-ACCESS一个卡上或卡外的参与者试图代替合法的Profile在MNO的移动网络上进行身份验证。直接威胁资产：D.PROFILE_NAA_PARAMS其他OGICAL-ATTACK例如JCS）ProfileProfile。直接威胁资产：D.TSF_CODE,D.PROFILE_NAA_PARAMS,D.PROFILE_POLICY_RULES,D.PLATFORM_DATA,D.PLATFORM_RAT。T.PHYSICAL-ATTACK攻击者通过物理(与逻辑相反)篡改手段泄露或修改TOE设计、其敏感数据或应用程序代码。这种威胁包括环境压力、IC失效分析、电子探针、意外拆解和侧信道。这还包括通过物理篡改技术更改（一组）指令的预期执行顺序来修改TOE运行时执行。直接威胁：所有资产。5.4 OSP.LIFE-CYCLE这个安全目标必须强制执行所定义的eUICC生命周期。特别地：ISD-PeUICCProfile（PPR）Profile删除Profile）eUICC禁用和删除当前启用的Profile，即使PPR声明该ProfileeUICC必须在包含PPR的ProfileeUICC(RAT)。5.5 假设A.TRUSTED-PATHS-LPAd当LPAd存在和启用时，假设接口ES10a、ES10b和ES10c是eUICC和LPAd之间的可信途径。其他CTORS、EUMSM-DP+MNO）3GPPTS33.102eUICCK在ProfileMNORAND在属于MNOMNOSQN三元组MNOA.APPLICATIONS（（）TOE。TOEPE-PPITOEeUICCPoePP）和PoePP）特别是，PPE确保：ISD-P；验证包含PPR的Profile是否由RAT执行Profile中的PPR。PPI使用目标eUICC的特定内部格式将Profile包数据按照SIMallianceeUICCProfile包规范中的定义转换为已安装的Profile。此功能应依赖于运行环境安全服务来进行包加载、应用程序的安装和删除。应用说明：PPITOETOEPPEPPIIS-RSM-PMN）PPRRATO.eUICC-DOMAIN-RIGHTSMNO-SD（MNO平台。TOE针对EA）或DPOE_NAAM（针对SDP域分离功能依赖于应用程序的运行环境保护。ECURE-CHANNELSeUICC应保持以下两者之间的安全通道ISD-RSM-DP+；MNO-SDMNOOTATOE应在任何时候都确保：;该保护机制应依赖于运行环境和PPE/PPI（参见O.PPE-PPI）提供的通信保护措施。O.INTERNAL-SECURE-CHANNELSTOE确保从ECASD传送到ISD-R或ISD-P的通信共享秘密受到保护，以防止未经授权的泄露或修改。该保护机制应依赖于运行环境提供的通信保护措施。eUICCO.PROOF_OF_IDENTITYTOE确保eUICC由唯一的EID标识，基于eUICC的硬件标识。eUICC必须提供密码学手段，基于此EID向卡外参与者证明其身份。应用说明：例如，可以通过在eUICC证书中包含EID值来获得该证明，该证书由eUICC制造商签署。O.OPERATE属于TOE的PPEPPI应用说明：FPT_TST.1TOE（TSFPP-JCSSFRPI属于TOE的平台代码应提供API：TOETOE在对数据进行存储和操作时，应避免未经授权泄露以下数据：D.SK.EUICC.ECDSA；D.SECRETS；D.MNO_KEYS，。应用说明：在TOE的组件中，PPE、PPITOE对数据进行管理或操作时，应避免未经授权修改以下数据：D.MNO_KEYS；ProfileD.PROFILE_IDENTITY，D.PROFILE_POLICY_RULES，D.PROFILE_USER_CODES；D.DEVICE_INFO，D.SK.EUICC.ECDSA，D.PK.CI.ECDSA，D.EID，D.CRLs，D.SECRETS。应用说明：在TOE的组件中，连通性O.ALGORITHMSeUICC应提供向移动网络进行身份验证的机制。参与者OE.CICIEUMSM-DSSM-DP+OE.SM-DPplusSM-DP+OTASM-DP+规范。它必须确保其管理和加载到eUICC的Profile的安全性，包括但不限于：MO密钥包括OA（由P+或O，PD，（CASD密钥。SM-DP+ISD-PeUICCSM-DP+ISD-PeUICCISD-PSM-DP+应用说明：SM-DP+取代PP-USIM规范中定义的OE.PERSONALIZER。OE.MNOMNOs必须确保在SDMNOOTA平台传输到eUICCMNO必须确保在Profile（ISD-P，MNOSDSSD）中使用的任何密钥在通过MNOOTAeUICC移动运营商OTAOTAES6OTAGSMASGP.022.4ES5应用说明：OTA平台OE.IC.PROOF_OF_IDENTITYTOE使用的底层IC是唯一标识的。OE.IC.SUPPORTIC嵌入式软件应支持以下功能：TSFAPI。它为Poe策略使能器PPPoePP）和电信框架（SPPESPPI和S.TELECOM）提供安全的底层加密处理。S.PPES.PPIS.TELECOM。S.PPE、S.PPIS.TELECOM应用说明：注：相当于PP-JCS规范的OE.SCP-SUPPORT。OE.IC.RECOVERYICTOEOE.RE.PPE-PPI运行环境应为卡管理活动提供安全的手段，包括：TAF-WG4-XXXX-V1.0.0:2019应用说明：TAF-WG4-XXXX-V1.0.0:2019应用说明：PAGEPAGE20PP-JCSPP-JCSJavaSTPP-JCS：T.DELETION，T.INSTALL。OE.RE.SECURE-COMM运行环境应提供方法保护应用程序通信的机密性和完整性。应用说明：该目标特别需要运行环境提供：PP-JCSPP-JCSJavaST可以通过重用与以下威胁相关的PP-JCS规范的安全目标来转换此目标：T.CONFID-APPLI-DATA和T.INTEG-APPLI-DATA。OE.RE.API运行环境应确保只能通过API调用本地代码。应用说明：PP-JCSPP-JCSJavaST者可以通过重用与以下威胁相关的PP-JCS规范安全目标来转换这一目标：T.CONFID-JCS-CODE，T.INTEG-JCS-CODE，T.CONFID-JCS-DATA，T.INTEGJCS-DATA。OE.RE.DATA-CONFIDENTIALITY运行环境应提供一种方法始终保护其处理的TOE敏感数据机密性。应用说明：PP-JCSPP-JCSJavaSTPP-JCS：T.CONFID-APPLI-DATA；ADV_ARCSTTOEOE.RE.DATA-INTEGRITY运行环境应提供方法始终保护其处理的TOE敏感数据的完整性。应用说明：PP-JCSPP-JCSJavaST者可以通过重用与以下威胁相关的PP-JCS规范安全目标来转换这一目标：T.INTEG-APPLI-DATA，T.INTEG-APPLI-DATA.LOAD，T.INTEG-APPLI-CODE，T.INTEG-APPLI-CODE.LOAD。OE.RE.IDENTITY运行环境应确保安全地识别它执行的应用程序。OE.RE.CODE-EXE运行环境应防止应用程序执行未授权的代码。PP-JCSPP-JCSJavaST者可以通过重用与以下威胁相关的PP-JCS规范的安全目标来转换这一目标：T.EXE-CODE.1T.NATIVE。OE.TRUSTED-PATHS-LPAd当LPAd存在且运行时，接口ES10a，ES10b和ES10c是eUICC和LPAd之间的可信路径。ProfileOE.APPLICATIONS（（）TOE。应用说明：该目标意指来自JCS保护配置文件（PP-JCS规范）的目标OE.VERIFICATION。GlobalPlatformGP-SecurityGuidelines-BasicApplicationsOE.MNO-SD根据GSMASGP.02，安全域U.MNO-SD必须使用TOE提供的安全通道SCP80/81。威胁ProfileNAUTHORIZED-PROFILE-MNG O.PPE-PPI和O.eUICC-DOMAIN-RIGHTS确保只有经过授权和认证的参与者（SM-DP+和MNOOTA平台）才能访问安全域功能和内容；OE.SM-DPplus和OE.MNO卡上访问控制策略依赖于底层运行环境，该环境确保应用程序数据的机密性和完整性（OE.RE.DATA-CONFIDENTIALITY和OE.RE.DATA-INTEGRITY）。身份验证通过相应的安全通道支持：O.SECURE-CHANNELS和O.INTERNAL-SECURE-CHANNELS提供与SM-DP+MNOERESCECOMMNO-SDTOETOESCP80/81安全通道（OE.MNO-SD）。为了确保应用程序防火墙的安全运行，操作环境的以下目标也应满足：（EPPCTONNAUTHORIZED-PLATFORM-MNG TAF-WG4-XXXX-V1.0.0:2019TAF-WG4-XXXX-V1.0.0:2019PAGEPAGE60O.PPE-PPIO.eUICC-DOMAIN-RIGHTS卡上访问控制策略依赖于底层运行环境，该环境确保应用程序数据的机密性和完整性（OE.RE.DATA-CONFIDENTIALITY和OE.RE.DATA-INTEGRITY）。为了确保应用程序防火墙的安全运行，操作环境的以下目标也应满足：（EPPCTONRFLEMNTCTIN 命令和Poe由SP（SDPPoe数据包括元数据，如PR也由OAMOSD因此，TSF确保：通过求SM-DP+和MNO平的证以护传免未授的露改重，确 保 传 输 到 安 全 域 的 安 全 性 （ O.SECURE-CHANNELS 和O.NEASEUECAES。这些安全通道依赖于底层运行环境，它可以保护应用程序信ERESUECOMMNO-SDTOETOESCP80/81安全通道（OE.MNO-SD）。OE.SM-DPplus和OE.MNOROFILE-MNG-ELIGIBILITY SM-DP+ProfileeUICCeUICCSM-DP+的设备信息和eUICCInfo2进行资格审查。因此，TSF确保：SM-DP+OSCECNES和O.NRASECRECNESOEE.ERECMOE.SM-DPplus确保在由卡外参与者使用时不会泄露与安全通道相关的凭证。O.DATA-INTEGRITY和OE.RE.DATA-INTEGRITY确保设备信息和eUICCInfo2的完整性在eUICC级别受到保护。O.PPE-PPIO.eUICC-DOMAIN-RIGHTSECASD内EREACNDETATY和OEE.ANTGRYOE.RE.IDENTITY确保在Java卡级别，应用程序无法模拟其他参与者或修改其权限。O.INTERNAL-SECURE-CHANNELS确保从ECASD到ISD-R和ISD-P的共享秘密的安全传输。这些安全通道依赖于底层运行环境，它可以保护应用程序通信（ERESUECOMOE.CI确保CI根安全地管理其卡外的凭证。eUICCO.PROOF_OF_IDENTITYEIDO.PROOF_OF_IDENTITY基于eUICC硬件标识（由于OE.IC.PROOF_OF_IDENTITY而唯一）来保证此EID唯一性。LPAdES10a，ES10bES10c是LPAd的可信路径。T.UNAUTHORIZED-MOBILE-ACCESS O.ALGORITHMSProfile其他PPEPPI由运行环境提供的P（E.EP；TSF的P（OPPPE和PPI的PIOE.CSPPT。每当应用程序处理的敏感数据时，运行环境必须始终保护数据的机密性和完整性（EREACNDNTATYOEEDANTGRTYPPEPPI和电信框架处理，不受这些机制的保护。所以，E本身必须确保PPEPPI（OPRT，PPEPPIODACNDETATYODANTRTY操作环境的以下目标也应满足：EREOEEE（EPPCTON安全目标OE.IC.SUPPORT和OE.IC.RECOVERY特别是确保TSF不被绕过或更改。特别是，安全目标OE.IC.SUPPORT提供功能确保敏感操作的原子性，安全的底层访问控制和防止绕过TOE的安全功能。特别是，它明确确保平台数据完整性的独立保护。TOEICTOE（O.DATA-CONFIDENTIALITY）。出于同样的原因，Java卡平台安全体系结构必须可以应对侧信道（OE.RE.DATA-CONFIDENTIALITY）。 O.PPE-PPIISD-PProfile删除功能依赖于OE.RE.PPE-PPI提供的安全应用程序删除机制。O.OPERATE通过确保始终强制执行平台安全功能来支持此OSP。假设这一假设通过其他A.ACTORS 和OE.MNOSPD表1威胁和安全目标——覆盖范围威胁安全目标基本原理T.UNAUTHORIZED-PROFILE-MNGO.eUICC-DOMAIN-RIGHTS,OE.SM-DPplus,OE.MNO,O.PPE-PPI,O.SECURE-CHANNELS,OE.APPLICATIONS,O.INTERNAL-SECURE-CHANNELS,OE.RE.SECURE-COMM,OE.RE.DATA-CONFIDENTIALITY,OE.RE.DATA-INTEGRITY,OE.MNO-SD6.3.1小节T.UNAUTHORIZED-PLATFORM-MNGO.eUICC-DOMAIN-RIGHTS,O.PPE-PPI,OE.APPLICATIONS,OE.RE.DATA-CONFIDENTIALITY,OE.RE.DATA-INTEGRITY6.3.1小节T.PROFILE-MNG-INTERCEPTIONOE.SM-DPplus,OE.MNO,O.SECURE-CHANNELS,O.INTERNAL-SECURE-CHANNELS,OE.RE.SECURE-COMM,OE.MNO-SD6.3.1小节T.PROFILE-MNG-ELIGIBILITYOE.SM-DPplus,OE.RE.SECURE-COMM,O.SECURE-CHANNELS,O.INTERNAL-SECURE-CHANNELS,OE.RE.DATA-INTEGRITY,O.DATA-INTEGRITY6.3.1小节T.UNAUTHORIZED-IDENTITY-MNGO.eUICC-DOMAIN-RIGHTS,O.PPE-PPI,OE.RE.DATA-CONFIDENTIALITY,OE.RE.DATA-INTEGRITY,OE.RE.IDENTITY6.3.1小节T.IDENTITY-INTERCEPTIONOE.CI,O.INTERNAL-SECURE-CHANNELS,OE.RE.SECURE-COMM6.3.1小节T.UNAUTHORIZED-eUICCO.PROOF_OF_IDENTITY,OE.IC.PROOF_OF_IDENTITY6.3.1小节T.LPAd-INTERFACE-EXPLOITOE.TRUSTED-PATHS-LPAd6.3.1小节T.UNAUTHORIZED-MOBILE-ACCESSO.ALGORITHMS6.3.1小节威胁安全目标基本原理T.LOGICAL-ATTACKO.DATA-CONFIDENTIALITY,O.DATA-INTEGRITY,O.API,OE.APPLICATIONS,O.OPERATE,OE.RE.API,OE.RE.CODE-EXE,OE.IC.SUPPORT,OE.RE.DATA-CONFIDENTIALITY,OE.RE.DATA-INTEGRITY6.3.1小节T.PHYSICAL-ATTACKOE.IC.SUPPORT,OE.IC.RECOVERY,O.DATA-CONFIDENTIALITY,OE.RE.DATA-CONFIDENTIALITY6.3.1小节表2安全目标和威胁——覆盖范围安全目标威胁O.PPE-PPIT.UNAUTHORIZED-PROFILE-MNG,T.UNAUTHORIZED-PLATFORM-MNG,T.UNAUTHORIZED-IDENTITY-MNGO.eUICC-DOMAIN-RIGHTST.UNAUTHORIZED-PROFILE-MNG,T.UNAUTHORIZED-PLATFORM-MNG,T.UNAUTHORIZED-IDENTITY-MNGO.SECURE-CHANNELST.UNAUTHORIZED-PROFILE-MNG,T.PROFILE-MNG-INTERCEPTION,T.PROFILE-MNG-ELIGIBILITYO.INTERNAL-SECURE-CHANNELST.UNAUTHORIZED-PROFILE-MNG,T.PROFILE-MNG-INTERCEPTION,T.PROFILE-MNG-ELIGIBILITY,T.IDENTITY-INTERCEPTIONO.PROOF_OF_IDENTITYT.UNAUTHORIZED-eUICCO.OPERATET.LOGICAL-ATTACKO.APIT.LOGICAL-ATTACKO.DATA-CONFIDENTIALITYT.LOGICAL-ATTACK,T.PHYSICAL-ATTACKO.DATA-INTEGRITYT.PROFILE-MNG-ELIGIBILITY,T.LOGICAL-ATTACKO.ALGORITHMST.UNAUTHORIZED-MOBILE-ACCESSOE.CIT.IDENTITY-INTERCEPTIONOE.SM-DPplusT.UNAUTHORIZED-PROFILE-MNG,T.PROFILE-MNG-INTERCEPTION,T.PROFILE-MNG-ELIGIBILITYOE.MNOT.UNAUTHORIZED-PROFILE-MNG,T.PROFILE-MNG-INTERCEPTIONOE.IC.PROOF_OF_IDENTITYT.UNAUTHORIZED-eUICCOE.IC.SUPPORTT.LOGICAL-ATTACK,T.PHYSICAL-ATTACKOE.IC.RECOVERYT.PHYSICAL-ATTACK安全目标威胁OE.RE.PPE-PPIOE.RE.SECURE-COMMT.UNAUTHORIZED-PROFILE-MNG,T.PROFILE-MNG-INTERCEPTION,T.PROFILE-MNG-ELIGIBILITY,T.IDENTITY-INTERCEPTIONOE.RE.APIT.LOGICAL-ATTACKOE.RE.DATA-CONFIDENTIALITYT.UNAUTHORIZED-PROFILE-MNG,T.UNAUTHORIZED-PLATFORM-MNG,T.UNAUTHORIZED-IDENTITY-MNG,T.LOGICAL-ATTACK,T.PHYSICAL-ATTACKOE.RE.DATA-INTEGRITYT.UNAUTHORIZED-PROFILE-MNG,T.UNAUTHORIZED-PLATFORM-MNG,T.PROFILE-MNG-ELIGIBILITY,T.UNAUTHORIZED-IDENTITY-MNG,T.LOGICAL-ATTACKOE.RE.IDENTITYT.UNAUTHORIZED-IDENTITY-MNGOE.RE.CODE-EXET.LOGICAL-ATTACKOE.TRUSTED-PATHS-LPAdT.LPAd-INTERFACE-EXPLOITOE.APPLICATIONST.UNAUTHORIZED-PROFILE-MNG,T.UNAUTHORIZED-PLATFORM-MNG,T.LOGICAL-ATTACKOE.MNO-SDT.UNAUTHORIZED-PROFILE-MNG,T.PROFILE-MNG-INTERCEPTION表3OSP和安全目标——覆盖范围组织安全策略安全目标基本原理OSP.LIFE-CYCLEO.PPE-PPI,OE.RE.PPE-PPI,O.OPERATE6.3.2小节表4OSP——覆盖范围安全目标组织安全策略O.PPE-PPIOSP.LIFE-CYCLEO.eUICC-DOMAIN-RIGHTSO.SECURE-CHANNELSO.INTERNAL-SECURE-CHANNELSO.PROOF_OF_IDENTITYO.OPERATEOSP.LIFE-CYCLEO.APIO.DATA-CONFIDENTIALITYO.DATA-INTEGRITYO.ALGORITHMSOE.CI安全目标组织安全策略OE.SM-DPplusOE.MNOOE.IC.PROOF_OF_IDENTITYOE.IC.SUPPORTOE.IC.RECOVERYOE.RE.PPE-PPIOSP.LIFE-CYCLEOE.RE.SECURE-COMMOE.RE.APIOE.RE.DATA-CONFIDENTIALITYOE.RE.DATA-INTEGRITYOE.RE.IDENTITYOE.RE.CODE-EXEOE.TRUSTED-PATHS-LPAdOE.APPLICATIONSOE.MNO-SDOE.SM-DS表5假设和操作环境安全目标——覆盖范围假设操作环境安全目标基本原理A.TRUSTED-PATHS-LPAdOE.TRUSTED-PATHS-LPAd6.3.3小节A.ACTORSOE.CI,OE.SM-DPplus,OE.MNO6.3.3小节A.APPLICATIONSOE.APPLICATIONS6.3.3小节表6操作环境安全目标和假设——覆盖操作环境安全目标假设OE.CIA.ACTORSOE.SM-DPplusA.ACTORSOE.MNOA.ACTORSOE.IC.PROOF_OF_IDENTITYOE.IC.SUPPORTOE.IC.RECOVERYOE.RE.PPE-PPIOE.RE.SECURE-COMMOE.RE.APIOE.RE.DATA-CONFIDENTIALITYOE.RE.DATA-INTEGRITYOE.RE.IDENTITYOE.RE.CODE-EXEOE.TRUSTED-PATHS-LPAdA.TRUSTED-PATHS-LPAd操作环境安全目标假设OE.APPLICATIONSA.APPLICATIONSOE.MNO-SD扩展族FIA_API描述为了描述TOEIT。该族描述了TOE的其TOE类FIA的其他族仅描述TOE执行的用户身份的认证验证，并未描述用户证明其身份的功能。以下段落采用了CC第2部分的风格，从TOE的角度定义了族FIA_API。族行为：该族定义了TOE提供的证明其身份、并由TOEIT环境中的外部实体进行验证的功能。组件层次：FIA_API.1身份验证证明，向外部实体提供TOE、对象、授权用户或角色的身份证明。管理：FIA_API.1FMT中的管理功能可以考虑以下行动：用于证明所声称身份的认证信息的管理。审计：FIA_API.1没有可审计的行为定义。扩展组件FIA_API.1FIA_API.1身份验证证明FIA_API.1.1TSF应提供][]]依赖关系：没有依赖关系。FPT_EMS-TOE描述为了描述TOE的IT安全功能要求，此处定义了类FPT（TSF保护）的功能族FPT_EMS（TOE发散）。TOE应防止基于TOE的外部可观察物理现象而针对TOE秘密数据实施的攻击。这种攻击的例子是TOE的电磁辐射评估、简单功耗分析（SPA）、差分功耗分析（DPA）、时间攻击、无线电放射等。该族描述了限制可理解发散的功能要求。FPT_EMS族属于FPT类，因为它是TSF保护的类。FPT类中的其他族无法涵盖TOE发散。族行为：该族定义了减轻可理解发散的要求。组件层次：FPT_EMS.1TOE发散有两个组成部分：发散限制要求不能发出能够访问TSF数据或用户数据的可识别的发散。接口发散要求不发出能够访问TSF数据或用户数据的接口发散。管理：FPT_EMS.1没有可预见的管理活动。审计：FPT_EMS.1）包含在使用FPT_EMS.1的PPSTPT_EMS.1发散FPT_EMS.1.1TOE不应发出超过[赋值：指定限制]的[赋值：发散类型]，以便能够访问[赋值：TSF数据类型列表]和[赋值：用户数据类型列表]。FPT_EMS.1.2TSF应确保][来访问数据]和。依赖关系：没有依赖关系。FCS_RNG描述族行为：AIS20/31（DRGPTG）KS2011STRNG（定性NP_T.1组件层次：FCS_RNG随机数生成有两个组成部分：要求提供随机数生成。需要定义质量指标。管理：FCS_RNG.1没有可预见的管理活动。审计：FCS_RNG.1没有可审计的行为定义。TSF应提供[[RNG]。TSF[RNG]为了定义安全功能要求，使用了CC的第2部分。SFR选择操作用来选择CC提供的一个或多个选项来说明要求。由PP作者做出的选择表示为带下划线的文本。ST作者要填写的选择出现在方括号中，表示要进行选择[选择：]并用斜体表示。赋值操作用来将特定值分配给未指定的参数，例如口令的长度。由PP作者作出的赋值通过用粗体文字来表示。由ST作者填写的赋值显示在方括号中，表示要进行赋值[赋值：]并用斜体表示。ST参FCS_COP.1/Mobile_network）。ST例FIA_UID.1/EXT）当需要重复操作同一组件时，使用迭代操作。迭代通过斜杠“/”和组件标识符之后的迭代指示符来表示。简介此标准定义以下安全策略：安全通道协议信息流控制SFP，SFP，ISD-RSFP，ISD-P内容访问控制SFP，ECASD访问控制SFP。5.2ETOE（U.SM-DPplus，U.MNOOTAeUICC。SFP图4安全通道协议信息流控制SFPeUICC应支持SCP-SGP22，SCP80，SCP81。SFP图5平台服务信息流控制SFPISD-RSFP图6ISD-R访问控制SFPISD-PSFP图7ISD-P内容访问控制SFPECASDSFP图8ECASD访问控制SFPSFR表7安全属性定义安全属性细节与资产的关系AIDAID是JCS运行环境中应用程序的标识符。由于此标准不强制要求JCS，因此ST作者可以使用另一个等效的方法来标识应用程序。AIDPP-JCS规）S.ISD-P状态主体S.ISD-P的状态。此状态的可能值为：启用禁用已安装可选择该属性是D.PLATFORM_DATA的一部分安全属性细节与资产的关系PPRPPRS.ISD-P用ISD-PPPR可''该属性描述为D.PROFILE_POLICY_RULESRATRAT在eUICC个人化时安装，并由PPE和LPA用于确定包含PPR的Profile是否已获得授权并可以安装在eUICC上。密钥集和会话密钥(D.MNO_KEYS,D.SECRETS)eUICC上的本地对等方之间建立安全通道。这些属性（D.MNO_KEYS，D.SECRETS）在密钥中定义CERT.DPauth.ECDSACERT.DPpb.ECDSA用于验证用户的U.SM-DPplusCICI根这些属性不是此标准的资产。CI根公钥在身份管理数据中被描述为资产D.PK.CI.ECDSASM-DP+OIDMNOOIDSM-DPOID是默认SM-DP+SM-DSSM-DPeUICCSM-DP+SM-DP+OIDMNOOID是Profile的MNOProfile关联，它将在Profile的生命周期内保持不变。这些属性包含在D.PLATFORM_DATA中EIDEID是实现TOE的物理eUICC的标识符。EID是硬件标识符，不属于此标准的资产。该要求包描述了TOE的识别和认证措施：TOE必须：SM-DPOID识别远程用户U.SM-DPplusMNOOID识别远程用户U.MNO-OTA通过AID识别卡上用户U.MNO-SDTOE必须：使用U.SM-DPplus;MNOProfile中加载的密钥集通过SCP80/81。U.MNO-SDTOEU.SM-DPplusProfileeUICCS.ISD-PUSM-DP+TOEU.MNO-OTA操作，因此需要U.MNO-OTATOE应将卡外和卡上用户绑定到内部主体：U.SM-DPplus与S.ISD-R绑定，绑定到U.MNO-SD，并且U.MNO-SD绑定到管理相应MNOProfileS.ISD-P。FIA_UID.1/EXT标识的时机FIA_UID.1.1/EXTTSF应允许应用选择eUICC的数据[赋值：TSFFIA_UID.1.2/EXT在允许代表该用户执行任何其他TSF介导的操作之前，TSF应要求成功识别每个用户。应用说明：此SFR与TOE的以下外部（远程）用户的标识有关：U.SM-DPplus，U.MNO-OTA。唯一本地用户（U.MNO-SD）的标识由FIA_UID.1/MNO-SDSFR处理。应用程序选择在识别之前授权，因为可能需要向远程用户提供eUICC的标识。FIA_UAU.1/EXT鉴别的时机FIA_UAU.1.1/EXTTSF应允许应用选择eUICC的数据用户识别[赋值：TSF]在用户通过身份验证之前代表用户执行。FIA_UAU.1.2/EXT在允许代表该用户进行任何其他TSF介导的操作之前，TSF应要求每个用户成功通过身份验证。应用说明：此SFR与TOE的以下外部（远程）用户的身份验证有关：U.SM-DPplus，U.MNO-OTA。由于用于认证的加密机制可能由底层平台提供，因此该标准不包括相应的FCS_COP.1SFR。ST作者应添加FCS_COP.1要求以包括GSMASGP.22规范所述的要求：U.SM-DPplus（CERT.DPauth.ECDSACERT.DPpb.ECDSA）CI（D.PK.CI.ECDSA）ECDSASCP80GSMASGP.022.4.3SCP80GSMASGP.022.4FCS_CKM.2/SCP-MNO）SCP81U.MNO-OTA。关于ECDSA签名验证的使用，底层椭圆曲线加密必须符合以下之一：NISTP-256NIST）;brainpoolP256r1RFC5639BSI）;FRP256V1ANSSIECCANSSI。FIA_USB.1/EXT用户主体绑定FIA_USB.1.1/EXTTSF应将以下用户安全属性与代表该用户的主体相关联：SM-DP+OIDU.SM-DPplusS.ISD-R相关联，MNOOIDU.MNO-SD相关联。FIA_USB.1.2/EXTTSF应对用户安全属性与代表用户的主体的初始关联强制执行以下规则：SM-DP+OIDMNOOIDU.SM-DPplus进行身份验证。FIA_USB.1.3/EXTTSF应执行以下规则，管理与代表用户操作的主体相关的用户安全属性的更改：SM-DP+OIDU.SM-DPplusMNOOID。应用说明：此SFR与外部（远程）用户与TOE的本地主体或用户的绑定有关：U.SM-DP（S.ISD-R）绑定U.MNO-OTA（U.MNO-SD）STU.MNO-SDTOEU.MNO-OTA，U.MNO-OTA此SFR与以下命令相关：D.MNO_KEYSES8+.ConfigureISDPFIA_UAU.4/EXT一次性身份验证机制FIA_UAU.4.1/EXTTSF应防止重用用于在eUICC和下述用户之间打开安全通信信道的认证机制相关的认证数据：U.SM-DPplus。应用说明：此SFR与TOE的外部（远程）用户的身份验证有关：U.SM-DPplus，U.MNO-OTA。FIA_UID.1/MNO-SDFIA_UID.1.1/MNO-SDTSF应允许在识别用户前代表用户执行[赋值：其他TSF调解行动列表]。FIA_UID.1.2/MNO-SD在允许代表该用户进行任何其他TSF介导的操作之前，TSF应要求成功识别每个用户。应用说明：SFRU.MNO-SDFIA_UID.1/EXTSFR应该注意，U.MNO-SD被识别但未被认证。但是，U.SM-DPplus通过主体S.ISD-R（FDP_ACF.1/ISDR）TOEU.MNO-SD，U.SM-DPplusS.ISD-RU.SM-DPFIA_USB.1/EXTFIA_USB.1/MNO-SD用户主体绑定FIA_USB.1.1/MNO-SDTSF应将以下用户安全属性与代表该用户的主体相关联：U.MNO-SDAID与代表U.MNO-SD的S.ISD-P相关联。FIA_USB.1.2/MNO-SDTSF应对用户安全属性与代表用户的主体的初始关联强制执行以下规则：AID的初始关联要求U.SM-DP+通过CERT.DPauth.ECDSA进行身份验证。FIA_USB.1.3/MNO-SDTSF应强制执行以下规则，以管理与代表用户操作的主体相关联的用户安全属性的更改：不允许更改AID。应用说明：该SFR与本地用户U.MNO-SD的识别有关。TOEU.MNO-SD“ProfileProfileFDP_ACC.1/ISDRSFPS.ISD-RU.SM-DPplusPPRU.MNO-OTAU.MNO-SDS.ISD-PS.ISD-PFDP_ACC.1/ISDPSFPMNOOTAS.S-R.ISRU.M-SD和相关密钥集的Profile。FIA_ATD.1用户属性定义FIA_ATD.1.1TSF应维护属于各个用户的以下安全属性列表：U.SM-DPplusSM-DP+OID;MNOOID;U.MNO-SDAID。FIA_API.1身份验证证明FIA_API.1.1TSF应根据eUICC的EID提供加密认证机制，以向外部实体证明TOE的身份。应用说明：该证明是通过在eUICC证书中包含EID值获得的，该证书由eUICC制造商签署。通信该要求包描述了TSF如何保护与外部用户的通信。TSF（TP_TC.1P和TPTC.2SPU.SM-DPplus和S.ISD-R之间;和U.MNO-SD（FDP_IFC.1/SCPSP）（DP.1P）（PU.1PTSF必须使用加密方法来强制执行此保护，并安全地管理相关的密钥集：D.SECRETS（FCS_CKM.1/SCP-SM和FCS_CKM.4/SCP-SM）;D.O_ES（CS_CM.2SPMO和CS_CM.4SPMOFDP_IFC.1/SCP子集信息流控制FDP_IFC.1.1/SCPTSF应在下述场景强制执行安全通道协议信息流控制SFP用户主体：U.SM-DPplusS.ISD-RU.MNO-SD信息：命令的传输。FDP_IFF.1/SCP简单的安全属性FDP_IFF.1.1/SCPTSF应根据以下类型的主体和信息安全属性强制执行安全通道协议信息流控制SFP：用户主体：U.SM-DPplusS.ISD-RD.SECRETSU.MNO-SDD.MNO_KEYS信息：命令的传输。FDP_IFF.1.2/SCP如果遵守以下规则，TSF应允许通过受控操作在受控主体和受控信息之间传递信息：U.MNO-SDSCP80SCP81。FDP_IFF.1.3/SCPTSF应强制执行[赋值：附加信息流控制SFP规则]。TSF。FDP_IFF.1.5/SCPTSF应根据以下规则明确拒绝信息流：SCP-SGP22U.SM-DPplusS.ISD-R之间的通信。应用说明：有关安全通道的更多详情，请参阅GSMASGP.22规范SM-DP5.5MNO-SD：5.4FTP_ITC.1/SCPTSF间可信信道FTP_ITC.1.1/SCPTSF应在其自身与另一个可信的IT产品之间提供一个通信通道，该产品在逻辑上与其他通信通道不同，提供对其端点的确定识别以及保护通道数据不被修改或泄露。FTP_ITC.1.2/SCPTSF应允许其他可信IT产品通过可信通道发起通信。FTP_ITC.1.3/SCPTSF应通过可信信道发起[赋值：需要可信通道的功能列表]的通信。应用说明：FCS_COP.1SFRFCS_COP.1GSMASGP.22SM-DPSCP-SGP22GlobalPlatform_Card_Specification规范修正案FAESGSMASGP.222.65.5SCP80MNOOTA（GSMASGP.225.4TSFSCP81SCP80相关密钥是：（D.SECRETS）FCS_CKM.1/SCP-SM，Profile（D.MNO_KEYS）FCS_CKM.2/SCP-SM-MNO。在命令方面，TSF应允许远程参与者在以下情况下通过可信信道发起通信：TSFSM-DP+SCP-SGP22ES8+.InitialiseSecureChannelES8+.ConfigureISDPES8+.StoreMetadataES8+.ReplaceSessionKeysES8+.LoadProfileElements。TSFLPAdES10a.GetEuiccConfiguredAddressesES10a.SetDefaultDpAddressES10b.PrepareDownloadES10b.LoadBoundProfilePackageES10b.GetEUICCChallengeES10b.GetEUICCInfoES10b.ListNotificationES10b.RetrieveNotificationsListES10b.RemoveNotificationFromListES10b.AuthenticateServerES10b.CancelSessionES10c.GetProfilesInfoES10c.EnableProfileES10c.DisableProfileES10c.DeleteProfileES10c.eUICCMemoryResetES10c.GetEIDES10c.SetNicknameES10c.GetRAT。TSFOTASCP80SCP81ES6.UpdateMetadata。FDP_ITC.2/SCP使用安全属性导入用户数据FDP_ITC.2.1/SCPSFPSFP。FDP_ITC.2.2/SCPTSF应使用与导入的用户数据关联的安全属性。FDP_ITC.2.3/SCPTSF应确保所使用的协议提供安全属性与接收的用户数据之间的明确关联。FDP_ITC.2.4/SCPTSF应确保对导入的用户数据的安全属性的解释符合用户数据源的预期。FDP_ITC.2.5/SCPSFP。FPT_TDC.1/SCPTSF间基本TSF数据一致性FPT_TDC.1.1/SCPTSF应对下述内容提供一致的解释能力U.SM-DPplus的命令U.SM-DPplus下载的对象TSFITFPT_TDC.1.2/SCPITTSF数据时，TSF应使用[TSF]。应用说明：下面列出了与SFRFPT_TDC.1/SCP，FDP_IFC.1/SCP，FDP_IFF.1/SCP相关的命令以及与此SFRFPT_TDC.1/SCP相关的下载对象：SM-DP+命令ES8+.InitialiseSecureChannelES8+.ConfigureISDPES8+.StoreMetadataES8+.ReplaceSessionKeysES8+.LoadProfileElementsLPAdES10a.GetEuiccConfiguredAddressesES10a.SetDefaultDpAddressES10b.PrepareDownloadES10b.LoadBoundProfilePackageES10b.GetEUICCChallengeES10b.GetEUICCInfoES10b.ListNotificationES10b.RetrieveNotificationsListES10b.RemoveNotificationFromListES10b.AuthenticateServerES10b