2023面向物联网设备的嵌入式集成电路卡（eUICC）安全能力技术要求

面向物联网设备的嵌入式通用集成电路卡（eUICC）安全能力技术要求II目次前言 II引言 III面向联设的入通用成路（eUICC）安全力术求 1范围 1规性用件 1术、义缩语 1语义 1略语 2eUICC2eUICC架概述 3eUICC全题义 8全产 8户主体 11全胁 12织全略 145.515安目标 15TOE安目标 15行境安目标 17全标本理 20扩要求 27展族 27安要求 29全能求 30全障求 54全求本理 61附 录 A（范附） 72附 录 B（料附） 73参考献 74PAGEPAGE1TAF-WG4-AS0055-V1.0.0:2020面向物联网设备的嵌入式通用集成电路卡（eUICC）安全能力技术要求范围本标准规定了物联网嵌入式通用集成电路卡的安全技术要求,包括安全问题定义、安全目标、安全功能和安全保障要求等内容。GSMASGP.05:eUICCProtectionProfileVersion1.1PP-JCS:CommonCriteriaProtectionProfileJavaCard™SystemOpenConfiguration，Version3.0PP0084:SecurityICPlatformProtectionProfilewithAugmentationPackagesVersion1.0GSMA:SGP.02:RemoteProvisioningArchitectureforEmbeddedUICCTechnicalSpecificationversion3.0GP-SecurityGuidelines-BasicApplications:GlobalPlatformCard-CompositionModel-SecurityGuidelinesforBasicApplications-Version1.0GPC_GUI_010:GlobalPlatformCardSpecificationv2.2.1UICCConfigurationv1.0.1GlobalPlatform_Card_Specification:GlobalPlatformCardSpecificationv2.2.1SCP80:ETSITS102225[SecuredpacketstructureforUICCbasedapplications;Release9]ETSITS102226[RemoteAPDUstructureforUICCbasedapplications;Release9]SCP81:GlobalPlatformCardSpecificationv.2.2AmendmentB:RemoteApplicationManagementoverHTTPv1.1.1MILENAGE:3GPPTS35.205,3GPPTS35.206,3GPPTS35.207,3GPPTS35.208,3GPPTR35.909(Release11)Tuak:3GPPTS35.231,3GPPTS35.232,3GPPTS35.233(Release12)KS2011:W.Killmann,W.Schindler,Aproposalfor:Functionalityclassesforrandomnumbergenerators,Version2.0UICCEmbeddedUICC不容易接触或替换的UICC，在终端中不能被删除或替换，并可安全的进行Profile变更。Profile配置在或出现在eUICC上的文件结构、数据和应用程序的集合。ProvisioningProfile一个包含NAA参数且有能力访问通信网络的Profile，为eUICC管理和Profile管理提供eUICC和远程签约管理平台之间的传输能力。EnabledProfileProfile的一种状态，它的文件和/或应用程序（例如NAA）可通过UICC-终端接口选择。ProfileProfilePolicyAuthorisationRule(PPAR)可以管理Profile所有者使用Profile策略规则的能力的一组数据。ProfileProfilePolicyEnablerProfile管理系统内的一个功能原件，用于解释以及执行Profile策略规则。缩略语下列缩略语适用于本文件。CASDControllingAuthoritySecurityDomain授权控制安全域CICertificateIssuer证书发行方ECASDeUICCControllingAuthoritySecurityDomaineUICC授权控制安全域EUMeUICCManufacturereUICC卡制造商EIDeUICC-IDeUICC标识eUICCEmbeddedUICC嵌入式UICCISDIssuerSecurityDomain主安全域ISD-PIssuerSecurityDomainProfileProfile集主安全域ISD-RIssuerSecurityDomainRoot根主安全域MNOMobileNetworkOperator移动网络运营商NAANetworkAccessApplication网络接入应用PPARProfilePolicyAuthorisationRuleProfile策略授权规则PPEProfilePolicyEnablerProfile策略规则使能器PPRProfilePolicyRulesProfile策略规则RATRulesAuthorisationTable规则授权表SMSubscriptionManager签约管理SM-DP+SubscriptionManagerDataPreparation签约管理数据准备UICCUniversalIntegratedCircuitCard通用集成电路卡eUICCPAGEPAGE10eUICC本节主要描述当前广泛被使用的基于eUICC架构的电信标准，以及非常适合建立角色分离和数据隔离的GlobalPlatform标准。尤其是，每个实体都拥有一个具有不同权限和配置的专用安全域。eUICC体系结构包含以下安全域，用于平台和Profile管理：ISD-R是卡外实体SM-SRECASDCIISD-PSM-DPeUICCISD-P。图1安全域架构概述在GlobalPlatform卡规范中定义的ISD在eUICC的体系结构中不存在。ISD-R一个eUICC上只能有一个ISD-R。ISD-R应当在eUICC的制造期间由EUM进行安装和个人化。ISD-R应与自身相关联。在eUICC制造完成之后，ISD-R应处于GlobalPlatform卡规范第5.3节中所定义的生命周期中的PERSONALIZED状态。ISD-R不支持LOCKED状态。ISD-R的权限应根据附录B授予。ISD-R只能在ISD-P上执行平台管理功能。ECASD一个eUICC上只有一个ECASD。ECASD应在eUICC制造期间由EUM安装和个人化。ECASD应与ISD-R相关联。在eUICC制造完毕之后，ECASD应处于GlobalPlatform卡规范第5.3节中的定义的PERSONALIZED状态。ECASD包含以下功能：为Profile下载和安装建立SM-DPSM-SR变更建立SM-SRECASD应在eUICC制造期间由EUM进行个人化，需要安装以下数据：PK.CI.ECDSA；SK.ECASD.ECKA；eUICCEUMkeysetEID。ECASD应符合在GlobalPlatform卡规范UICC配置中CASD的要求，除了以下几点：AID和应按2.2.3SCP02；ISD-RISD-P才能使用ECASDISD-P一个ISD-P拥有唯一的Profile。在任何时间点，eUICC上只有一个ISD-P处于启用状态。ISD-PISD-RSM-DPeUICC个带有ProfileISD-P，并由EUMeUICC除了ISD-R，ISD-P外部的任何组件都不具有对其Profile的可见性或访问权限，ISD-R应具有对POL1的读访问权限。ProfileISD-PISD-PISD-P在不同的Profile中可以分配相同的AID。Profile组件不得使用保留的ISD-R、ISD-P和ECASD的AID。在不同的Profile中可以分配相同的TAR。Profile组件不得使用保留的ISD-R、ISD-P和ECASD的TAR。ISD-PISD-RISD-RISD-PISD-RISD-PISD-PMasterProfileSM-DPISD-PSCP03/SCP03tISD-P应基于GlobalPlatform卡规范第5.3节中定义的安全域生命周期遵循图2所示的生命周期。图2ISD-P生命周期转换ISD-P生成后处于SELECTABLE状态，在密钥对建立后处于PERSONALIZED状态。注意：ISD-P创建命令跳过了GlobalPlatform卡规范中定义的安全域的INSTALLED状态。在Profile下载和安装，或者执行了Profile禁用的流程之后，ISD-P应处于禁用状态。如果另一个ISD-P被启用，或者启动了回滚机制，ISD-P也可能转换到禁用状态。执行Profile启用的过程后，ISD-P应处于启用状态。如果回滚机制被激活，ISD-P也可能转换到启用状态。ISD-PeUICCISD-PProfile。ISD-PLOCKED对于状态编码，本标准对GlobalPlatform卡规范的表11-5修改如下：表1ISD-P状态编码这些状态可以映射到SGP.01中定义的体系结构状态，如下所示：表2ISD-P状态映射ISD-P权限应根据附录B授予。所有Profile组件，特别是MNO-SD，应保持与ISD-P的关联，以便实现以下目标：ProfileISD-P的ProfileISD-PMasterProfileProfile启用和禁用：启用和禁用对所有Profile更新POL1；在平台管理功能需要时提供对POL1分配给一个Profile在GlobalPlatform）应按照附录BISD-PProfileISD-P的从属关系，任何ProfileISD-P的当ISD-P未处于启用状态时，eUICC应确保：无法通过ES6接口远程管理任何ProfileeUICC上选择Profile无法选择、触发或删除Profile（。ProfileProfile的结构由一组Profile组件组成，该结构由MNO定义并且完全处于MNO的控制下。整体的Profile结构应包含在唯一的ISD-P中。Profile结构应包含一个名为MNO-SD的Profile组件，它与UICC的ISD处于相同的角色（参见GlobalPlatform卡规范。MNO-SDMNOProfileMNO图3Profile的结构概述图3中的Profile提供了Profile结构的示例。Profile结构应包括：MNO-SD；NAA；POL1ProfileProfile结构可能包含：除NOD如GobaPaom；一个CASD（GlobalPlatformUICC。MNOETSITS102225和ETSITS102226MNOOTA平台和ProfileMNO-SDMNO-SD是ProfileMNO-SDeUICC与MNO的平台之间的安全通道，用来管理处于启用状态的Profile。图4MNO与MNO-SD之间的安全通道MNO-SD的AID和TAR由MNO在定义Profile时自由分配。MNO-SD的权限分配应遵循附录B。eUICC（OETSF数据备注：虽然底层的运行时环境中列出的资产不包括在此标准中，但安全目标编写者仍应考虑的所有资产。用户数据包括：由ISD-R控制的用户数据:ISD-R密钥组(D.ISDR_KEYS)由ISD-P控制的用户数据:ISD-P(D.ISDP_KEYS)（D.PROFILE-CODE）（D.PROFILE_NAA_PARAMS）POL1（D.PROFILE_POL1）包含在D.PROFILE-CODE）MOSDD.OS与Profile（D.PROFILE_IDENTITY）MNO-SD（D.MNO_KEYS）Profile密钥安全域拥有的密钥。所有密钥都应受到保护以免受未经授权的泄露和修改。D.MNO_KEYSMNOISD-P,MNOSDD.ISDR_KEYSSM-SR使用此平台管理密钥集，通过其卡上代表ISD-R执行平台管理功能。D.ISDP_KEYSSM-DP使用此Profile管理密钥集，通过其卡上代表ISD-P执行Profile管理功能。Profile这些数据需要保护免受未经授权的披露和修改。D.PROFILE_NAA_PARAMS用于网络鉴权的参数，包括密钥。这些参数可能包括例如Opc、Ri、Ci等。参数在配置过程中加载并在ISD-P的控制下存储。它们可以传输到包含鉴权算法的电信框架。D.PROFILE_IDENTITY移动用户标识（IMSI）是用于MNO的网络鉴权算法中的用户身份标识。IMSI是用户的身份标识，MNO将使用其作为其HLR中用户的索引。用户身份标识在配置过程中在ISD-P的控制下存储。IMSI应受到保护，避免未经授权的修改。D.PROFILE_POL1Profile中策略控制规则的数据。这些规则在配置过程中加载，并在ISD-P的控制下存储。它们由MNOOTA平台管理。应保护POL1ProfileROFILE_CODEProfile中应用包括一级和二级应用，特别是：MNO-SDMNO-SD如CASD／SSD）MNO-SD（）,此资产还包括Profile所有这些应用都在MNOSD的控制下。必须保护这些资产，防止未经授权的修改。TSFTSF数据包括三类数据:TSFProfile）eUICCTSF_CODESF_CODETSF代码包含：ISD-RISD-P、ECASDTSF。应用说明：MNO-SD(ProfileSF_DATAPSF环境的数据，例如，smsr-id,mno-idsmdp-ideUICCeUICC的配置状态或“ISD-PPERSONALIZED,DISABLEDENABLED）Profile"true"）“配置状态”是一组在ISD-P的配置周期中定义的数据，它与eUICC生命周期完全不同。这些数据可以部分实现在ISD-R和PSF代码逻辑中，而不是笼统地说是“数据”。因此，该资产与D.TSP_CODE密切相关。必须保护这些资产，防止未经授权的修改。身份管理数据用于保证参与者身份的真实性。这包括：EID，eUICCeUICCCIEUMD.eUICC_PRIVKEYeUICC私钥由eUICC用于证明其身份并与远程参与者生成共享秘密，存储在ECASD中。必须保护它免受未经授权的披露和修改。D.eUICC_CERTEUM为特定的个人eUICC颁发的证书。可以使用EUM证书验证此证书。存储在ECASD中。必须保护eUICC证书免受未经授权的修改。备注：eUICCEUMCIEUM没有针对其在eUICCD.CI_ROOT_PUBKEYCI的根公钥用于验证eUICC和远程参与者的认证链。它存储在ECASD中。必须保护CI的根公钥免受未经授权的修改。D.EIDEID（eUICC-ID）eUICCeUICCeUICC会改变。它存储在ECASDEIDSM-SReUICC。应保护EID免受未经授权的修改。ECRETS该资产包括：用于保护ProfileSM-SRISD-RISD-PECASD应保护共享秘密免受未经授权的披露和修改。用户主体本节包含两个部分：用户，TOE外的实体，可访问TOE主体，TOED.TSF_CODE用户U.SM-SR安全执行平台管理命令以及Profile管理命令的传输功能的角色。U.SM-DP准备Profile和管理Profile在eUICC上的安全下载和安装的角色。U.MNO-OTA远程管理UICC和eUICC上激活的MNOProfile内容的MNO平台。U.MNO-SDMNO-SD是Profile的一个安全域部分，归MNO所有，提供与MNOOTA平台（U.MNO-OTA）的安全通道。用于Profile激活后Profile内容的管理。一个eUICC可以包含多于一个MNO-SD。主体S.ISD-RISD-R是卡外实体U.SM-SR的代表。S.ISD-PISD-P是卡外实体U.SM-DP的代表。S.ECASDECASD是卡外实体CI的代表。S.PSFPSF是具有特定权限的（一组）应用程序，负责管理eUICC，在D.TSF_CODE中描述。S.TELECOM网络访问应用程序用于在移动网络上验证eUICC的一组算法。电信框架在D.TSF_CODE中描述。profile卡外参与者或卡上应用程序可能会尝试执行以下操作来破坏eUICC：未经授权的ProfileProfileProfile，或泄漏存储在Profile）;通常尝试禁用已启用的Profile）。T.UNAUTHORIZED-PROFILE-MNGISD-PMNO-SD的功能内容;T.UNAUTHORIZED-PLATFORM-MNG/ISD-RTPROEMNGNTRPTNSP或SD令或Profile（eUICC）;//修改/SM-SR（eUICC）。NAUTHORIZED-PROFILE-MNG恶意的卡上应用程序：ISD-P或MNO-SD的Profile数据;执行或修改Profile（ISD-P，MNO-SD和MNO-SD）ISD-PMNO-SD直接访问Java利用APDUISD-PMNO-SDISD-P中的应用程序试图破坏在其自己的MNO-SDISD-P这些案例被认为是MNO的责任，因为它们只会损害自己的ProfileMNO的Profile产生任何副作用。本标准解决了以下情况：ISD-PMNO-SDISD-PISD-PMNO-SD或ISD-PISD-PISD-P。前两个案例会对其他MNOProfileISD-P直接威胁资产：D.ISDP_KEYS，D.MNO_KEYS，D.TSF_CODE（ISD-P），D.PROFILE_*NAUTHORIZED-PLATFORM-MNG卡上应用程序：ISD-R数据;ISD-R直接访问Java利用APDU注意：通过改变ISD-R的行为，攻击者间接地威胁到eUICC的初始配置状态，因此也威胁到D.PSF_DATAT.UNAUTHORIZED-PROFILE-MNGROFILE-MNG-INTERCEPTION攻击者改变或窃听eUICC和SM-DP或MNOOTA平台之间的传输，以便：eUICC期间，泄露、替换或修改ProfileeUICC上下载Profile；SM-DPMNOOTAMNOOTA平台更新时，替换或修改POL1OTAeUICC直接威胁资产：D.ISDP_KEYS，D.MNO_KEYS，D.TSF_CODE（ISD-P），D.PROFILE_*LATFORM-MNG-INTERCEPTION攻击者改变或窃听eUICC和SM-SR之间的传输，以便：SM-SR切换期间发送的SM-SR凭证;SM-SROTAeUICC直接威胁资产：D.ISDR_KEYS，D.TSF_CODE（ISD-R）ISD-ReUICCD.PSF_DATAT.UNAUTHORIZED-PROFILE-MNGNAUTHORIZED-IDENTITY-MNG恶意的卡上应用程序：泄露或修改在ECASDD.eUICC_PRIVKEY修改D.EIDD.eUICC_PUBKEYD.CI_ROOT_PUBKEYECASD直接访问Java利用APDU直接威胁资产：D.TSF_CODE（ECASD），D.eUICC_PRIVKEY，D.eUICC_CERT，D.CI_ROOT_PUBKEY，D.EID，D.SECRETST.IDENTITY-INTERCEPTION攻击者可能会尝试拦截凭证，无论是在卡上还是在卡外，以便eUICC/SM-SR切换或ProfileProfileSM-DP（T.PROFILE-MNG-INTERCEPTION考虑）SM-SRSM-SR（T.PLATFORM-MNG-INTERCEPTION考虑）直接威胁资产：D.SECRETSprofileT.UNAUTHORIZED-eUICC攻击者在未经授权的UCCSM上使用合法Po。D.TSF_CODE（ECASD），D.eUICC_PRIVKEYD.eUICC_CERT，D.CI_ROOT_PUBKEY，D.EID，D.SECRETST.UNAUTHORIZED-MOBILE-ACCESS卡上或卡外的攻击者尝试代替合法的Profile在MNO的移动网络上进行身份验证。直接威胁资产：D.PROFILE_NAA_PARAMS其他OGICAL-ATTACK卡上的恶意应用程序通过逻辑方式绕过PSF措施，以便在平台处理敏感数据时泄露或修改敏感数据：ICOS软件例如由JCS）GPOPEN访问POL1）。直接威胁资产：D.TSF_CODE，D.PROFILE_NAA_PARAMS，D.PROFILE_POL1，D.PSF_DATAT.PHYSICAL-ATTACK攻击者通过物理（相对于逻辑）篡改手段泄露或修改TOE设计、其敏感数据或应用程序代码。这种威胁包括环境压力、IC失效分析、电子探针、意外拆解和侧信道。这还包括通过物理篡改技术更改（一组）指令的预期执行顺序来修改TOE运行时执行。直接威胁：所有资产。OSP.LIFECYCLETOE必须强制执行GSMASGP.02规范中定义的eUICC生命周期。特别是：ISD-P;ProfileeUICCPOL1种情况下，即使POL1声明无法禁用或删除Profile，eUICC也可以禁用和删除当前启用的Profile。应用说明：GSMASGP.02eUICCProfileSM-SRPP假设CTORS（CISM-DPSM-SR3GPPTS33.102eUICCK在ProfileMNORAND在属于MNOMNOSQN三元组MNOA.APPLICATIONS应用程序应符合所用平台的安全准则文档。TOESFTOE应提供PSF的功能（加载、安装、启用、禁用、删除应用程序和GP注册表更新），负责整个eUICC和已安装应用程序的生命周期，以及相应的授权控制。特别地，PSF确保：ISD-P;Profile使POL1声明无法禁用或删除Profile，eUICC也可以禁用和删除当前启用的Profile。此功能应依赖于运行环境安全服务来进行包加载、应用程序的安装和删除。应用说明：TOETOEPSFISD-R（SM-DP，MNO）POL1O.eUICC-DOMAIN-RIGHTSTOE应确保未经授权的参与者不得访问或更改个人化的ISD-R、ISD-P或MNO-SD密钥。这些安全域密钥集仅限其相应的所有者（SM-SR、SM-DP、MNOOTA平台）修改。TOE不允许在个人化后更改ECASD密钥集。以同样的方式，TOE应确保只有每个安全域的合法所有者才能访问或更改其机密或完整性敏感数据，例如身份数据（用于ECASD）或D.PROFILE_NAA_PARAMS（用于ISD-P）。此域的分离功能依赖于应用程序的运行环境保护。ECURE-CHANNELSeUICCISD-PSM-DPISD-RSM-SRMNO-SDMNOOTATOE应随时确保：应保护通信免受未经授权的披露、修改和重放。该保护机制应依赖于运行环境和PSF（参见O.PSF）提供的通信保护措施。O.INTERNAL-SECURE-CHANNELSTOEECASDISD-RISD-PeUICCO.PROOF_OF_IDENTITYTOE确保eUICC由唯一的EID所标识，这是基于eUICC的硬件标识。eUICC必须提供一种加密手段，以便根据此EID向卡外参与者证明其身份。应用说明：例如，可以通过在eUICC证书中包含EID值来获得该证明，该证书由eUICC制造商签署。O.OPERATE属于TOE的PSF应用说明：FPT_TST.1TOE（TSFPP-JCSSFRPI属于TOE的平台代码应提供APITOEATA-CONFIDENTIALITY在TOE对数据进行存储和操作时，TOE应避免未经授权泄露以下数据：D.SECRETS;D.eUICC_PRIVKEY;D.MNO_KEYS，D.ISDR_KEYS，D.ISDP_KEYS，D.PROFILE_NAA_PARAMS。应用说明：在TOE的组件中，ATA-INTEGRITYTOE对数据进行管理或操作时，TOE应避免未经授权修改以下数据：D.EIDD.SECRETS;D.MNO_KEYS，D.ISDR_KEYS，D.ISDP_KEYSProfile。D.PROFILE_IDENTITY。D.PROFILE_POL1。应用说明：在TOE的组件中，连通性O.ALGORITHMSeUICC应提供对移动网络进行身份验证的机制。参与者OE.CICISM-DPCI必须确保其自身凭据的安全性。应用说明：OE.SM-SRSM-SR应是负责安全路由和相关OTA服务器的可信赖的参与者。SM-SR站点必须遵循相关规范。SM-SR具有与MNO和SM-DP的安全通信信道。SM-SR必须确保从EUM或其他SM-SR收到的平台管理证书的安全性。应用说明：根据相关规范进行了认证，从而证明了安全规则的实施。OE.SM-DPSM-DP应是负责数据准备工作和相关OTA服务器的可信赖的参与者。SM-DP站点必须遵循相关规范。它必须确保其管理和加载到eUICC上的Profile的安全性，包括但不仅限于：MO密钥包括OA（由P或MO，ISD-PPD，（CASD密钥。SM-DP必须确保ISD-P中使用的任何密钥在传输到eUICC之前都是安全生成的。SM-DP必须确保ISD-P中使用的任何密钥在传输到eUICC之前没有受到损害。ISD-PSM-DP应用说明：安全规则的实现应通过相关规范的认证来证明。平台OE.IC.PROOF_OF_IDENTITYTOE使用的底层IC是唯一标识的OE.IC.SUPPORTIC嵌入式软件应支持以下功能：TSF，也不允许访问除API（）。（S.PSFS.TELECOM）S.PSFS.TELECOM）S.PSFS.TELECOM应用说明：该目标相当于PP-JCS规范中的OE.SCP-SUPPORT。OE.IC.RECOVERYICTOEOE.RE.PSF运行环境应为卡管理活动提供安全的手段，包括：应用说明：PP-JCSPP-JCSJavaSTPP-JCS。OE.RE.SECURE-COMM运行环境应提供保护应用程序通信的机密性和完整性的方法。应用说明：该目标特别要求运行环境提供PP-JCSPP-JCSJavaSTPP-JCS：T.CONFID-APPLI-DATAOE.RE.API运行环境应确保只能通过API调用本机代码。应用说明：PP-JCSPP-JCSJavaST编写者可以通过重新使用与以下威胁相关的PP-JCS规范的安全目标来转换这一目标：T.CONFID-JCS-CODE，T.INTEG-JCS-CODE，T.CONFID-JCS-DATA，T.INTEG-JCS-DATA。OE.RE.DATA-CONFIDENTIALITY运行环境应提供一种始终保护其处理的TOE敏感数据的机密性的方法。应用说明：PP-JCSPP-JCSJava重用PP-JCS规范中与以下威胁相关的安全目标：T.CONFID-APPLI-DATAOE.RE.DATA-INTEGRITY运行环境应提供一种始终保护其处理的TOE敏感数据的完整性的方法。应用说明：PP-JCSPP-JCSJavaSTPP-JCST.INTEG-APPLI-DATA，T.INTEG-APPLI-DATA.LOAD，T.INTEG-APPLI-CODE，T.INTEG-APPLI-CODE.LOADOE.RE.IDENTITY运行环境应确保安全地识别它所执行的应用程序。OE.RE.CODE-EXE运行环境应阻止应用程序执行未经授权的代码。应用说明：PP-JCSPP-JCSJavaST作者可以通过重用与以下威胁相关的PP-JCS规范的安全目标来转换这一目标：T.EXE-CODE.1，T.EXE-CODE.2，T.EXE-CODE-REMOTET.NATIVE。ProfileOE.APPLICATIONS应用程序应符合GP-SecurityGuidelines-BasicApplications规范要求。OE.MNOSD根据GSMASGP.02规范，安全域U.MNO-SD必须使用TOE提供的安全信道SCP80/81。威胁ProfileNAUTHORIZED-PROFILE-MNG此威胁通过要求合法参与者的身份验证和授权来应对：PSFO.eUICC-DOMAIN-RIGHTS（SM-DPMNO平台）才能访问安全域的功能和内容。OE.SM-DP和OE.MNO卡上访问控制策略依赖于底层运行环境，该环境确保应用程序数据的机密性和完整性（OE.RE.DATA-CONFIDENTIALITY和OE.RE.DATA-INTEGRITY）。身份验证通过相应的安全通道支持：O.SECURE-CHANNELS和O.INTERNAL-SECURE-CHANNELSSM-DPMNOOERESUECOM由于MNO-SD安全域不是TOE的一部分，因此操作环境必须保证它能够安全地使用TOE提供的SCP80/81安全信道（OE.MNOSD）。为了确保应用程序防火墙的安全运行，针对操作环境的以下目标也需要满足：NAUTHORIZED-PLATFORM-MNG此威胁通过要求合法参与者的身份验证和授权来应对：PSFO.eUICC-DOMAIN-RIGHTSOE.SM-SR卡上访问控制策略依赖于底层运行环境，该环境确保应用程序数据的机密性和完整性（EREACNDNTATY和EREANTERTY身份验证通过相应的安全通道支持：O.SECURE-CHANNELSO.INTERNAL-SECURE-CHANNELS提供与SM-SR（ERESUECOM为了确保应用程序防火墙的安全运行，针对操作环境的以下目标也需要满足：ROFILE-MNG-INTERCEPTION命令和Profile由SM-DP发送到其卡上代表（ISD-P），而POL1由MNOOTA平台发送到其卡上代表（MNO-SD）。因此，TSF确保：SM-DP和MNO修改和重放，确保传输到安全域（O.SECURE-CHANNELS和（ERESUECOM为了确保应用程序防火墙的安全运行，针对操作环境的以下目标也需要满足：由于MNO-SD安全域不是TOE的一部分，因此操作环境必须保证它能够安全地使用TOE（OE.MNOSD）提供的SCP80/81安全信道。OE.SM-DP和OE.MNO确保在由卡外人员使用时不会泄露与安全通道相关的凭证。LATFORM-MNG-INTERCEPTION命令和Profile由SM-SR发送给其卡上代表（ISD-R）。因此，TSF确保：SM-SRO.INTERNAL-SECURE-CHANNELS）OEE.EUECOM为了确保应用程序防火墙的安全运行，针对操作环境的以下目标也需要满足：OE.SM-SR确保在由卡外人员使用时不会泄露与安全通道相关的凭证。T.UNAUTHORIZED-IDENTITY-MNGO.PSF和O.eUICC-DOMAIN-RIGHTS通过为ECASD卡上访问控制策略依赖于底层运行环境，该环境确保应用程序数据的机密性和完整性（OE.RE.DATA-CONFIDENTIALITY和OE.RE.DATA-INTEGRITY）。OE.RE.IDENTITY确保在Java卡级别，应用程序无法模拟其他参与者或修改其权限。ECASDeUICC程角色被授权访问ECASDT.IDENTITY-INTERCEPTIONO.INTERNAL-SECURE-CHANNELS确保从ECASD到ISD-R和ISD-P的共享秘密的安全传输。这些安全通道依赖于底层运行环境，它可以保护应用程序之间的通信（OE.RE.SECURE-COMM）。ECASDeUICC程角色被授权访问ECASDOE.CI确保CI根目录安全地管理其卡外凭证。profileT.UNAUTHORIZED-eUICCO.PROOF_OF_IDENTITY保证可以基于EID向卡外参与者提供加密身份证明。O.PROOF_OF_IDENTITY还可以基于eUICC硬件标识（由OE.IC.PROOF_OF_IDENTITY来确保其唯一）来保证此EID唯一性。T.UNAUTHORIZED-MOBILE-ACCESS目标O.ALGORITHMS确保Profile只能使用安全身份验证方法访问移动网络，这样可以防止攻击者冒充。其他OGICAL-ATTACK通过控制安全域与平台支持功能、电信框架或TOE的任何本机/操作系统部分之间的信息流来应对此威胁。因此它包括：由运行环境提供的APIs（OE.RE.API）通过TSF的P（OPPI每当应用程序处理TOE的敏感数据时，运行环境必须始终保护其机密性和完整性能和电信框架处理，但是，其功能不受运行环境的保护。因此，还需要满足以下操作环境目标：（OE.RE.CODE-EXE）IC嵌入式软件通过目标OE.IC.SUPPORT来支持这些目标。特别地，IC嵌入式软件：（S.PSFS.TELECOM）S.PSFS.TELECOM（层控制访问（分段故障检测）S.PSFS.TELECOMT.PHYSICAL-ATTACK这种威胁主要受到依赖于底层平台的物理保护的影响，因此也是一个环境问题。安全目标OE.IC.SUPPORT和OE.IC.RECOVERY保护平台的敏感数据的完整性和机密性，特别是确保TSF不能绕过或更改。特别是，安全目标OE.IC.SUPPORT能够确保敏感操作的原子性，安全的底层访问控制和防止绕过TOE的安全功能等。特别是，它确保了对平台数据完整性的独立保护。TOEICTOE（O.DATA-CONFIDENTIALITY）。出于同样的原因，运行环境安全体系结构必须涵盖侧通道（OE.RE.DATA-CONFIDENTIALITY）。PERATE OSP.LIFECYCLESF确保SM-SR可以删除阻塞的孤立Profile，并且只能由SM-SR删除。此删除功能依赖于OE.RE.PSF提供的安全应用程序删除机制。O.PSF确保每时每刻都仅启用一个ISD-P。O.OPERATE通过确保始终强制执行PSF安全功能来为此OSP服务。假设A.ACTORS目标OE.CI，OE.SM-SR，OE.SM-DP和OE.MNO支持这一假设，它确保了基础设施的每个参与者正确地管理凭证和其他敏感数据。A.APPLICATIONS这一假设由目标OE.APPLICATIONS直接支持。SPD表3威胁和安全目标——覆盖范围威胁安全目标T.UNAUTHORIZED-PROFILE-MNGO.eUICC-DOMAIN-RIGHTS,OE.SM-DP,OE.MNO,O.PSF,O.SECURE-CHANNELS,OE.APPLICATIONS,O.INTERNAL-SECURE-CHANNELS,OE.RE.SECURE-COMM,OE.RE.DATA-CONFIDENTIALITY,OE.RE.DATA-INTEGRITY,OE.MNOSDT.UNAUTHORIZED-PLATFORM-MNGO.eUICC-DOMAIN-RIGHTS,O.PSF,O.SECURE-CHANNELS,OE.SM-SR,OE.APPLICATIONS,O.INTERNAL-SECURE-CHANNELS,OE.RE.SECURE-COMM,OE.RE.DATA-CONFIDENTIALITY,OE.RE.DATA-INTEGRITY威胁安全目标T.PROFILE-MNG-INTERCEPTIONOE.SM-DP,OE.MNO,O.SECURE-CHANNELS,OE.APPLICATIONS,O.INTERNAL-SECURE-CHANNELS,OE.RE.SECURE-COMM,OE.MNOSDT.PLATFORM-MNG-INTERCEPTIONO.SECURE-CHANNELS,OE.SM-SR,OE.APPLICATIONS,O.INTERNAL-SECURE-CHANNELS,OE.RE.SECURE-COMMT.UNAUTHORIZED-IDENTITY-MNGO.eUICC-DOMAIN-RIGHTS,O.PSF,OE.RE.DATA-CONFIDENTIALITY,OE.RE.DATA-INTEGRITY,OE.RE.IDENTITYT.IDENTITY-INTERCEPTIONOE.CI,O.INTERNAL-SECURE-CHANNELS,OE.RE.SECURE-COMMT.UNAUTHORIZED-eUICCO.PROOF_OF_IDENTITY,OE.IC.PROOF_OF_IDENTITYT.UNAUTHORIZED-MOBILE-ACCESSO.ALGORITHMST.LOGICAL-ATTACKO.API,OE.RE.API,OE.RE.CODE-EXE,OE.RE.DATA-INTEGRITYT.PHYSICAL-ATTACKOE.RE.DATA-CONFIDENTIALITY表4安全目标和威胁——覆盖范围安全目标威胁O.PSFT.UNAUTHORIZED-PROFILE-MNG,T.UNAUTHORIZED-PLATFORM-MNG,T.UNAUTHORIZED-IDENTITY-MNGO.eUICC-DOMAIN-RIGHTST.UNAUTHORIZED-PROFILE-MNG,T.UNAUTHORIZED-PLATFORM-MNG,T.UNAUTHORIZED-IDENTITY-MNGO.SECURE-CHANNELST.UNAUTHORIZED-PROFILE-MNG,T.UNAUTHORIZED-PLATFORM-MNG,T.PROFILE-MNG-INTERCEPTION,T.PLATFORM-MNG-INTERCEPTIONO.INTERNAL-SECURE-CHANNELST.UNAUTHORIZED-PROFILE-MNG,T.UNAUTHORIZED-PLATFORM-MNG,T.PROFILE-MNG-INTERCEPTION,T.PLATFORM-MNG-INTERCEPTION,T.IDENTITY-INTERCEPTION安全目标威胁O.PROOF_OF_IDENTITYT.UNAUTHORIZED-eUICCO.OPERATET.LOGICAL-ATTACK,T.PHYSICAL-ATTACKO.APIT.LOGICAL-ATTACKO.DATA-CONFIDENTIALITYT.LOGICAL-ATTACK,T.PHYSICAL-ATTACKO.DATA-INTEGRITYT.LOGICAL-ATTACKO.ALGORITHMST.UNAUTHORIZED-MOBILE-ACCESSOE.CIT.IDENTITY-INTERCEPTIONOE.SM-SRT.UNAUTHORIZED-PLATFORM-MNG,T.PLATFORM-MNG-INTERCEPTIONOE.SM-DPT.UNAUTHORIZED-PROFILE-MNG,T.PROFILE-MNG-INTERCEPTIONOE.MNOT.UNAUTHORIZED-PROFILE-MNG,T.PROFILE-MNG-INTERCEPTIONOE.IC.PROOF_OF_IDENTITYT.UNAUTHORIZED-eUICCOE.IC.SUPPORTT.LOGICAL-ATTACK,T.PHYSICAL-ATTACKOE.IC.RECOVERYT.PHYSICAL-ATTACKOE.RE.PSFOE.RE.SECURE-COMMT.UNAUTHORIZED-PROFILE-MNG,T.UNAUTHORIZED-PLATFORM-MNG,T.PROFILE-MNG-INTERCEPTION,T.PLATFORM-MNG-INTERCEPTION,T.IDENTITY-INTERCEPTIONOE.RE.APIT.LOGICAL-ATTACKOE.RE.DATA-CONFIDENTIALITYT.UNAUTHORIZED-PROFILE-MNG,T.UNAUTHORIZED-PLATFORM-MNG,OE.RE.DATA-INTEGRITYT.UNAUTHORIZED-PROFILE-MNG,T.UNAUTHORIZED-PLATFORM-MNG,T.UNAUTHORIZED-IDENTITY-MNGOE.RE.IDENTITYT.UNAUTHORIZED-IDENTITY-MNGOE.RE.CODE-EXET.LOGICAL-ATTACKOE.APPLICATIONST.UNAUTHORIZED-PROFILE-MNG,T.UNAUTHORIZED-PLATFORM-MNG,T.PROFILE-MNG-INTERCEPTION,T.PLATFORM-MNG-INTERCEPTION,T.LOGICAL-ATTACKOE.MNOSDT.UNAUTHORIZED-PROFILE-MNG,T.PROFILE-MNG-INTERCEPTION表5OSP和安全目标——覆盖范围组织安全策略安全目标OSP.LIFECYCLEO.PSF,OE.RE.PSF,O.OPERATE表6OSP——覆盖范围安全目标组织安全策略O.PSFOSP.LIFECYCLEO.eUICC-DOMAIN-RIGHTSO.SECURE-CHANNELSO.INTERNAL-SECURE-CHANNELSO.PROOF_OF_IDENTITYO.OPERATEOSP.LIFECYCLEO.APIO.DATA-CONFIDENTIALITYO.DATA-INTEGRITYO.ALGORITHMSOE.CIOE.SM-SROE.SM-DPOE.MNOOE.IC.PROOF_OF_IDENTITYOE.IC.SUPPORTOE.IC.RECOVERYOE.RE.PSFOSP.LIFECYCLEOE.RE.SECURE-COMMOE.RE.APIOE.RE.DATA-CONFIDENTIALITYOE.RE.DATA-INTEGRITYOE.RE.IDENTITYOE.RE.CODE-EXEOE.APPLICATIONSOE.MNOSD表7假设和运行环境安全目标——覆盖范围假设运行环境安全目标A.ACTORSOE.CI,OE.SM-SR,OE.SM-DP,OE.MNOA.APPLICATIONSOE.APPLICATIONS表8运行环境安全目标和假设——覆盖范围运行环境安全目标假设运行环境安全目标假设OE.CIA.ACTORSOE.SM-SRA.ACTORSOE.SM-DPA.ACTORSOE.MNOA.ACTORSOE.IC.PROOF_OF_IDENTITYOE.IC.SUPPORTOE.IC.RECOVERYOE.RE.PSFOE.RE.SECURE-COMMOE.RE.APIOE.RE.DATA-CONFIDENTIALITYOE.RE.DATA-INTEGRITYOE.RE.IDENTITYOE.RE.CODE-EXEOE.APPLICATIONSA.APPLICATIONSOE.MNOSD扩展族FIA_API描述为了描述TOEIT。该族描述了TOETOE的其他族仅描述TOE的其他族仅描述CC2部分的风格，从的角度定义了族FIA_API。族行为：该族定义了TOE提供的证明其身份、并由TOEIT环境中的外部实体进行验证的功能。组件层次：FIA_API.1身份验证证明，向外部实体提供TOE、对象、授权用户或角色的身份证明。管理：FIA_API.1FMT中的管理功能可以考虑以下行动：用于证明所声称身份的认证信息的管理。审计：FIA_API.1没有可审计的行为定义。扩展组件FIA_API.1FIA_API.1身份验证证明FIA_API.1.1TSF应提供][]]依赖关系：没有依赖关系FPT_EMSTOE描述为了描述TOE的IT安全功能要求，此处定义了类FPT（TSF保护）的功能族FPT_EMS（TOE发散）。TOE应防止基于TOE的外部可观察物理现象而针对TOE秘密数据实施的攻击。这种攻击的例子是TOE的电磁辐射评估、简单功耗分析（SPA）、差分功耗分析（DPA）、时间攻击、无线电放射等。该族描述了限制可理解发散的功能要求。FPT_EMS族属于FPT类，因为它是TSF保护的类。FPT类中的其他族无法涵盖TOE发散。族行为：该族定义了减轻可理解发散的要求。组件层次：FPT_EMS.1TOE发散有两个组成部分：发散限制要求不能发出能够访问TSF数据或用户数据的可识别的发散。接口发散要求不发出能够访问TSF数据或用户数据的接口发散。管理：FPT_EMS.1没有可预见的管理活动。审计：FPT_EMS.1）包含在使用FPT_EMS.1的PPSTPT_EMS.1发散FPT_EMS.1.1TOE不应发出超过[赋值：指定限制]的[赋值：发散类型]，以便能够访问[赋值：TSF数据类型列表]和[赋值：用户数据类型列表]。FPT_EMS.1.2TSF应确保][来访问数据]和。依赖关系：没有依赖关系FCS_RNG描述FCS_RNG-随机数生成族行为：AIS20/31（DRGPTG）KS2011STRNG（定性NP_T.1组件层次：FCS_RNG随机数生成有两个组成部分：要求提供随机数生成。需要定义质量指标。管理：FCS_RNG.1没有可预见的管理活动。审计：FCS_RNG.1没有可审计的行为定义。扩展组件FCS_RNG.1FCS_RNG.1随机数生成TSF应提供[[RNG]。TSF[RNG]为了定义安全功能要求，使用了CC的第2部分。SFR选择操作用来选择CC提供的一个或多个选项来说明要求。由PP作者做出的选择表示为带下划线的文本。ST作者要填写的选择出现在方括号中，表示要进行选择[选择：]并用斜体表示。赋值操作用来将特定值分配给未指定的参数，例如口令的长度。由PP作者作出的赋值通过用粗体文字来表示。由ST作者填写的赋值显示在方括号中，表示要进行赋值[赋值：]并用斜体表示。ST参FCS_COP.1/Mobile_network）。ST例FIA_UID.1/EXT）当需要重复操作同一组件时，使用迭代操作。迭代通过斜杠"/"和组件标识符之后的迭代指示符来表示。简介此标准定义以下安全策略：安全通道协议信息流控制SFPSFPISD-RSFPISD-P访问控制SFPECASD内容访问控制SFP5.2TOE用户可以是远程（U.SM-SR，U.SM-DP，U.MNOOTA平台）或本地（U.MNO-SD，它是eUICC上的应用程序）。SFP图5安全通道协议信息流控制SFPeUICC应支持SCP03（t），SCP80，SCP81。SFP图6平台服务信息流控制SFPISD-RSFP图7ISD-R访问控制SFPISD-PSFP图8ISD-P内容访问控制SFPECASDSFP图9ECASD内容访问控制SFPSFR表9安全属性定义安全属性细节与资产的关系AIDAID是JCS运行环境中应用程序的标识符。由JCSSTAID属于运行环境（是PP-JCS规范的一部分）S.ISD-R状态主体S.ISD-R的状态。此状态的可能值为：生成可选择个人化该属性是D.PSF_DATA的一部分S.ISD-P状态主体S.ISD-P的状态。此状态的可能值为：生成选择个人化启用禁用该属性是D.PSF_DATA的一部分回滚属性对于一个且仅有一个S.ISD-P，回滚属性为"true"。这意味着，如果TOE执行回滚操作，则必须启用此特定S.ISD-P，而同时其他的必须禁用。该属性是D.PSF_DATA的一部分安全属性细节与资产的关系POL1POL1S.ISD-PISD-P不允许禁用此Profile不允许删除此Profile当Profile除Profile该属性描述为D.PROFILE_POL1密钥集D.ISDR_KEYS,D.ISDP_KEYS)TOE使用密钥集在远程参与者与eUICC上的本地对等方之间建立安全通道。这些属性（D.MNO_KEYS,D.ISDR_KEYS,D.ISDP_KEYS）CERT.DP.ECDSACERT.SR.ECDSA用U.SM-SR和U.SM-DPCI可以使用CI这些属性不是此标准的一部分。CI根公钥在身份管理数据中被描述为资产D.CI_ROOT_PUBKEYsmsr-idsmdp-idmno-idsmsr-id是当前负责eUICC管理的SM-SR的标eUICCsmdp-id是最初下载并安装了Profile的SM-DPeUICC期间加载了Profile，信息与ProfileProfilemno-idProfileMNO旦此信息与ProfileProfile周期内保持不变。这些属性包含在D.PSF_DATA中EIDEID是实现TOE的物理eUICC的标识符。EID是硬件标识符，不属于此标准的部分。该要求包描述了TOE的识别和认证措施：TOE必须：U.SM-SRsmdp-idU.SM-DPmno-id识别远程用户通过AID识别卡上用户U.MNO-SDTOE必须：验证U.Sm-SR：使用对于U.SM-SRSCP80/81SCP80/81验证U.Sm-DP：使用U.SM-DPSCP03(t);MNOProfile中加载的密钥集通过SCP80/81。U.MNO-SD未经TOE认证。它是在U.SM-DP下载和安装Profile时在eUICC上创建的。因此，U.MNO-SD与内部主体S.ISD-P绑定，并且此绑定需要USM-DP身份验证。在TOE的使用寿命期间，U.MNO-SD代表U.MNO-OTA执行操作，因此需要U.MNO-OTA认证。TOE应将卡外和卡上用户绑定到内部主体：U.SM-SRS.ISD-RU.SM-DP与S.ISD-P与U.MNO-SDU.MNO-SDMNOProfileS.ISD-PFIA_UID.1/EXT标识的时机FIA_UID.1.1/EXTTSF应允许应用选择eUICC的数据[赋值：TSFFIA_UID.1.2/EXT在允许代表该用户执行任何其他TSF介导的操作之前，TSF应要求成功识别每个用户。应用说明：此SFR与TOE的外部（远程）用户的标识有关：U.SM-SRU.SM-DPU.MNO-OTA（U.MNO-SD）FIA_UID.1/MNO-SDSFReUICCFIA_UAU.1/EXT鉴别的时机FIA_UAU.1.1/EXTTSF应允许应用选择eUICC的数据用户识别[赋值：TSF]在用户通过身份验证之前代表用户执行。FIA_UAU.1.2/EXT在允许代表该用户进行任何其他TSF介导的操作之前，TSF应要求每个用户成功通过身份验证。应用说明：此SFR与TOE的以下外部（远程）用户的身份验证有关：U.SM-SRU.SM-DPU.MNO-OTAFCS_COP.1SFR。STFCS_COP.1GSMASGP.02U.SM-SRCERT.SR.ECDSAECDSA（这SM-SRFCS_CKM.1/SCP-SMD.ISDR_KEYSSCP80SCP81。D.ISDR_KEYSSCP80SCP81USM-SRU.SM-DPCERT.DP.ECDSAECDSA（这使新的SM-DPFCS_CKM.1/SCP-SMD.ISDP_KEYSSCP03(t)D.ISDP_KEYSSCP03(tU.S.M-DPU.MNO-OTASCP80SCP81（FCS_CKM.2/SCP-MNO进ECDSANISTP-256（FIPSPUB186-3）brainpoolP256r1（BSITR-031111.11，RFC5639）FRP25VANSIECF256V1FIA_USB.1/EXT用户主体绑定FIA_USB.1.1/EXTTSF应将以下用户安全属性与代表该用户的主体相关联：S.ISD-RU.SM-SRsmdp-idS.ISD-PU.SM-DPmno-idU.MNO-SD。FIA_USB.1.2/EXTTSF应对用户安全属性与代表用户的主体的初始关联强制执行以下规则：U.SM-SR进行身份验证smdp-idmno-id的初始关联要求通过USM-DPFIA_USB.1.3/EXTTSF的更改要求通过U.SM-SR进行身份验证smdp-idmno-id。应用说明：此SFR与外部（远程）用户与TOE的本地主体或用户的绑定有关：U.SM-SR（S.ISD-R）绑定U.SM-DP（S.ISD-P）绑定U.MNO-OTA（U.MNO-SD）STU.MNO-SDTOEU.MNO-OTA，U.MNO-OTA此SFR与以下命令相关：ES8.EstablishISDPKeySetD.ISDP_KEYSES5.EstablishISDRKeySetD.ISDR_KEYSES8.DownloadAndInstallationD.MNO_KEYSFIA_UAU.4/EXT一次性身份验证机制FIA_UAU.4.1/EXTTSF应防止重用用于在eUICC和下述用户之间打开安全通信信道的认证机制相关的认证数据：U.SM-SRU.SM-DPU.MNO-OTA。应用说明：此SFR与TOE的外部（远程）用户的身份验证有关：U.SM-SRU.SM-DPU.MNO-OTAFIA_UID.1/MNO-SDFIA_UID.1.1/MNO-SDTSF应允许申请选择FIA_UID.1.2/MNO-SD在允许代表该用户进行任何其他TSF介导的操作之前，TSF应要求成功识别每个用户。应用说明：SFRU.MNO-SDFIA_UID.1/EXTSFRU.MNO-SDFDP_ACF.1/ISDPTOEU.MNO-SDUSM-DPS.ISD-PUSM-DPFIA_USB.1/EXT应用程序选择在识别之前授权，因为可能需要向远程用户提供eUICC的标识。FIA_USB.1/MNO-SD用户主体绑定FIA_USB.1.1/MNO-SDTSFAID与代U.MNO-SDS.ISD-P相关联。FIA_USB.1.2/MNO-SDTSF应对用户安全属性与代表用户的主体的初始关联强制执行以下规则：AID的初始关联要求通过CERT.DP.ECDSA对USM-DP进行身份验证。FIA_USB.1.3/MNO-SDTSF应强制执行以下规则，以管理与代表用户操作的主体相关联的用户安全属性的更改：不允许更改AID。应用说明：该SFR与本地用户U.MNO-SD的识别有关。TOEU.MNO-SD“Profile装它。Profile安装由FDP_ACC.1/ISDRSFP控制。由S.ISD-P执行，需要USM-DP的认证。为了执行诸如POL1U.MNO-SD该命令将其发送到S.ISD-P;S.ISD-PFDP_ACC.1/ISDPSFPMNOOTAS.S-P.ISPU.M-SDProfile。FIA_ATD.1用户属性定义FIA_ATD.1.1TSF应维护属于各个用户的以下安全属性列表：CERT.SR.ECDSAU.SM-SRsmsr-idCERT.DP.ECDSAU.SM-DPsmdp-idU.MNO-OTAmno-idU.MNO-SDAID。FIA_API.1身份验证证明FIA_API.1.1TSF应根据eUICC的EID提供加密认证机制，以向外部实体证明TOE的身份。应用说明：该证明是通过在eUICC证书中包含EID值获得的，该证书由eUICC制造商签署。通信该要求包描述了TSF如何保护与外部用户的通信。TSF应强制执行安全通道（FTP_ITC.1/SCP和FTP_ITC.2/SCP）：U.SM-SRS.ISD-R之间U.SM-DP和S.ISD-PU.MNO-OTA和U.MNO-SD（FDP_IFC.1/SCPFDP_IFF.1/SCPTSFD.ISDP_KEYS和D.ISDR_KEYS（FCS_CKM.1/SCP-SM和FCS_CKM.4/SCP-SM）D.MNO_KEYS（FCS_CKM.2/SCP-MNOFCS_CKM.4/SCP-MNO）FDP_IFC.1/SCP子集信息流控制FDP_IFC.1.1/SCPTSF应在下述场景强制执行安全通道协议信息流控制SFP用户/主体：U.SM-SRS.ISD-RU.SM-DPS.ISD-PU.MNO_OTAU.MNO-SD信息：命令的传输。FDP_IFF.1/SCP简单的安全属性FDP_IFF.1.1/SCPTSF应根据以下类型的主体和信息安全属性强制执行安全通道协议信息流控制SFP：用户/主体：U.SM-SRS.ISD-RD.ISDR_KEYSU.SM-DPS.ISD-PD.ISDP_KEYSU.MNO_OTAU.MNO-SDD.MNO_KEYS信息：命令的传输。FDP_IFF.1.2/SCP如果遵守以下规则，TSF应允许通过受控操作在受控主体和受控信息之间传递信息：U.MNO-SDSCP80SCP81。FDP_IFF.1.3/SCPTSF应强制执行[赋值：附加信息流控制SFP规则]。TSF。FDP_IFF.1.5/SCPTSF应根据以下规则明确拒绝信息流：SMSCAT_TPHTTPSSCP80SCP81TOE应拒绝U.SM-SR与S.ISD-R之间的通信U.SM-SRS.ISD-RSCP03(t)TOE将拒绝USM-DP与S.ISD-P之间的通信。应用说明：有关安全通道的更多详细信息，请参见GSMASGP.02规范SM-SR2.4SM-DP2.5MNO-SD：2.7FTP_ITC.1/SCPTSF间可信信道FTP_ITC.1.1/SCPTSF应在其自身与另一个可信的IT产品之间提供一个通信通道，该产品在逻辑上与其他通信通道不同，提供对其端点的确定识别以及保护通道数据不被修改或泄露。FTP_ITC.1.2/SCPTSF应允许其他可信IT产品通过可信通道发起通信。FTP_ITC.1.3/SCPTSF应通过可信信道发起[赋值：需要可信通道的功能列表]的通信。应用说明：FCS_COP.1SFRFCS_COP.1GSMASGP.022.2.5SM-DP的安全通道必须是CP0（tobalPatfrmDSMASGP.022.5AESSCP80SM-SRMNOOTATSFSCP81SCP80SCP80GSMASGP.022.4.3AES。SCP81TLSGSMASGP.022.4.4相关密钥是：ProfileSM-SR请参阅FCS_CKM.1/SCP-SMProfile（D.MNO_KEYS）;FCS_CKM.2/SCP-MNOTSFTSF应允许SM-SR打开SCP80安全通道以执行Profile下载和安装，分为以下步骤：TSFSM-SRES5.CreateISDP然后，TSFSM-DPSCP03（t）ES8.EstablishISDPKeySetES8.DownloadAndInstallationTSFSM-SRES5.EnableProfile）TSFSM-SRSCP80ES5.EnableProfileES5.DisableProfileES5.DeleteProfileES5.eUICCCapabilityAuditES5.MasterDeleteES5.SetFallbackAttributeES5.HandleNotificationConfirmationTSF应允许SM-SR打开SCP80安全信道，以发送以下eUICC管理命令：ES5.EstablishISDRKeySetES5.FinaliseISDRhandoverES5.UpdateSMSRAddressingParametersTSF应允许SM-SR打开SCP80安全信道以修改SM-DP的连接参数：TSFSM-DPES8.UpdateConnectivityParametersSCP03命令TSF应允许远程OTA平台打开SCP80安全通道，以传输以下Profile管理操作：ES6.UpdatePOL1byMNOTSFES5.HandleDefaultNotificationFDP_ITC.2/SCP使用安全属性导入用户数据FDP_ITC.2.1/SCPSFPSFP。FDP_ITC.2.2/SCPTSF应使用与导入的用户数据关联的安全属性。FDP_ITC.2.3/SCPTSF应确保所使用的协议提供安全属性与接收的用户数据之间的明确关联。FDP_ITC.2.4/SCPTSF应确保对导入的用户数据的安全属性的解释符合用户数据源的预期。FDP_ITC.2.5/SCPSFP。FPT_TDC.1/SCPTSF间基本TSF数据一致性FPT_TDC.1.1/SCPTSF应对下述内容提供一致的解释能力U.SM-SR，U.SM-DPU.MNO-OTA的命令U.SM-SR，U.SM-DPU.MNO-OTA下载的对象当在TSFITFPT_TDC.1.2/SCPITTSF数据时，TSF应