致全体同仁：
我们成功突破了安装GSMA消费者证书的Kigen eUICC卡安全体系。
eUICC卡支持在目标芯片上安装eSIM配置文件。这些配置文件是移动订阅服务的软件载体。多年来，此类服务一直以物理SIM卡形式存在（标准SIM/microSIM/nanoSIM），而eSIM则实现了纯数字化订阅（作为软件包），并可携带Java Card应用程序。
据Kigen宣称：
- eSIM"通过GSMA多层认证体系保障，具有与SIM卡同等的安全性和互操作性…可保护设备制造商、所有者和移动网络运营商(MNO)"
- “Kigen OS在任何SIM形态（包括安全飞地）上都能提供最高逻辑安全等级”，且"Kigen SIM OS在零妥协安全前提下实现功能差异化与收益增长"
本次攻击验证了我们2019年Java Card研究的重要性。Oracle当时认为我们报告的漏洞只是"安全顾虑"，不影响其生产级Java Card VM，现被证实为真实漏洞。
这可能是首次公开成功的：
- 消费者版GSMA eUICC攻击
- Kigen eSIM破解（其宣传材料称超20亿SIM采用Kigen安全系统）
- 对EAL认证GSMA安全芯片的攻击（基于英飞凌32位ARM SecurCore SC300的SLC37芯片）
攻击需同时具备：
- 目标卡的物理接触
- 恶意Java应用的安装密钥 但远程OTA攻击不能排除——我们的PoC代码模拟了通过OTA SMS-PP协议在目标eUICC上安装恶意小程序的场景。在此情境下，获取密钥是攻陷目标卡的首要条件。
此次攻击证明eSIM配置文件和Java应用不存在安全隔离（eUICC存储内容无保护）。
值得注意的是，虽然本研究基于2019年Java Card成果（及25年Java攻防经验），但仍需开发新的利用技术。
我们希望此研究能促使MNO、厂商、安全研究者和企业重新审视eSIM安全风险。在当前eUICC厂商过度自信（如有效期100年的证书）、MNO对配置文件存储环境防篡改特性的盲目信任背景下，这点尤为重要。
完整技术细节、修复方案和影响分析详见： https://security-explorations.com/esim-security.html
此致
敬礼
Adam Gowdiak