{"id":8186,"date":"2025-07-19T15:27:04","date_gmt":"2025-07-19T13:27:04","guid":{"rendered":"https:\/\/sajberinfo.com\/?p=8186"},"modified":"2025-07-19T15:27:04","modified_gmt":"2025-07-19T13:27:04","slug":"otkrivena-esim-ranjivost","status":"publish","type":"post","link":"http:\/\/sajberinfo.com\/en\/2025\/07\/19\/otkrivena-esim-ranjivost\/","title":{"rendered":"Otkrivena eSIM ranjivost"},"content":{"rendered":"<p>U zabrinjavaju\u0107em razvoju doga\u0111aja za globalnu <em>eSIM<\/em> zajednicu, sigurnosni istra\u017eiva\u010di kompanije <em>AG Security Research<\/em> su <a href=\"https:\/\/security-explorations.com\/esim-security.html\" target=\"_blank\" rel=\"noopener\">otkrili kriti\u010dnu ranjivost<\/a> u <em>GSMA TS.48 <\/em>standardnom testnom profilu, koja posebno uti\u010de na verziju 6.0 i starije. Ova ranjivost omogu\u0107ava <a href=\"https:\/\/sajberinfo.com\/en\/2022\/03\/19\/hakeri-crni-sesiri-epizoda-3\/\" target=\"_blank\" rel=\"nofollow noopener\">zlonamjernim akterima<\/a> da instaliraju neprovjerene <em>JavaCard<\/em> mini aplikacija na <em>eSIM<\/em> ure\u0111aje, ugro\u017eavaju\u0107i bezbjednost ure\u0111aja i potencijalno dovode\u0107i do neovla\u0161tenog pristupa ili ugro\u017eavanja podataka.<\/p>\n<div id=\"attachment_8187\" style=\"width: 1034px\" class=\"wp-caption aligncenter\"><img loading=\"lazy\" decoding=\"async\" aria-describedby=\"caption-attachment-8187\" class=\"size-full wp-image-8187\" src=\"https:\/\/sajberinfo.com\/wp-content\/uploads\/2025\/07\/eSIM-Vulnerability.jpg\" alt=\"eSIM\" width=\"1024\" height=\"1024\" srcset=\"https:\/\/sajberinfo.com\/wp-content\/uploads\/2025\/07\/eSIM-Vulnerability.jpg 1024w, https:\/\/sajberinfo.com\/wp-content\/uploads\/2025\/07\/eSIM-Vulnerability-300x300.jpg 300w, https:\/\/sajberinfo.com\/wp-content\/uploads\/2025\/07\/eSIM-Vulnerability-150x150.jpg 150w, https:\/\/sajberinfo.com\/wp-content\/uploads\/2025\/07\/eSIM-Vulnerability-768x768.jpg 768w, https:\/\/sajberinfo.com\/wp-content\/uploads\/2025\/07\/eSIM-Vulnerability-12x12.jpg 12w, https:\/\/sajberinfo.com\/wp-content\/uploads\/2025\/07\/eSIM-Vulnerability-80x80.jpg 80w, https:\/\/sajberinfo.com\/wp-content\/uploads\/2025\/07\/eSIM-Vulnerability-320x320.jpg 320w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><p id=\"caption-attachment-8187\" class=\"wp-caption-text\"><em>Otkrivena eSIM ranjivost; Source: Bing Image Creator<\/em><\/p><\/div>\n<div id=\"ez-toc-container\" class=\"ez-toc-v2_0_82 counter-hierarchy ez-toc-counter ez-toc-custom ez-toc-container-direction\">\n<div class=\"ez-toc-title-container\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">Sadr\u017eaj<\/p>\n<span class=\"ez-toc-title-toggle\"><a href=\"#\" class=\"ez-toc-pull-right ez-toc-btn ez-toc-btn-xs ez-toc-btn-default ez-toc-toggle\" aria-label=\"Toggle Table of Content\"><span class=\"ez-toc-js-icon-con\"><span class=\"\"><span class=\"eztoc-hide\" style=\"display:none;\">Toggle<\/span><span class=\"ez-toc-icon-toggle-span\"><svg style=\"fill: #ffffff;color:#ffffff\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" class=\"list-377408\" width=\"20px\" height=\"20px\" viewbox=\"0 0 24 24\" fill=\"none\"><path d=\"M6 6H4v2h2V6zm14 0H8v2h12V6zM4 11h2v2H4v-2zm16 0H8v2h12v-2zM4 16h2v2H4v-2zm16 0H8v2h12v-2z\" fill=\"currentColor\"><\/path><\/svg><svg style=\"fill: #ffffff;color:#ffffff\" class=\"arrow-unsorted-368013\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" width=\"10px\" height=\"10px\" viewbox=\"0 0 24 24\" version=\"1.2\" baseprofile=\"tiny\"><path d=\"M18.2 9.3l-6.2-6.3-6.2 6.3c-.2.2-.3.4-.3.7s.1.5.3.7c.2.2.4.3.7.3h11c.3 0 .5-.1.7-.3.2-.2.3-.5.3-.7s-.1-.5-.3-.7zM5.8 14.7l6.2 6.3 6.2-6.3c.2-.2.3-.5.3-.7s-.1-.5-.3-.7c-.2-.2-.4-.3-.7-.3h-11c-.3 0-.5.1-.7.3-.2.2-.3.5-.3.7s.1.5.3.7z\"\/><\/svg><\/span><\/span><\/span><\/a><\/span><\/div>\n<nav><ul class='ez-toc-list ez-toc-list-level-1' ><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"http:\/\/sajberinfo.com\/en\/2025\/07\/19\/otkrivena-esim-ranjivost\/#eSIM_RANJIVOST\">eSIM RANJIVOST<\/a><ul class='ez-toc-list-level-3' ><li class='ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"http:\/\/sajberinfo.com\/en\/2025\/07\/19\/otkrivena-esim-ranjivost\/#Prozor_mogucnosti_za_zlonamjerne_aktere\">Prozor mogu\u0107nosti za zlonamjerne aktere<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"http:\/\/sajberinfo.com\/en\/2025\/07\/19\/otkrivena-esim-ranjivost\/#Funkcionisanje\">Funkcionisanje<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-4\" href=\"http:\/\/sajberinfo.com\/en\/2025\/07\/19\/otkrivena-esim-ranjivost\/#Uticaj\">Uticaj<\/a><\/li><\/ul><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-5\" href=\"http:\/\/sajberinfo.com\/en\/2025\/07\/19\/otkrivena-esim-ranjivost\/#ODGOVOR_DOBAVLJACA\">ODGOVOR DOBAVLJA\u010cA<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-6\" href=\"http:\/\/sajberinfo.com\/en\/2025\/07\/19\/otkrivena-esim-ranjivost\/#ZAKLJUCAK\">ZAKLJU\u010cAK<\/a><\/li><\/ul><\/nav><\/div>\n\n<h2><span class=\"ez-toc-section\" id=\"eSIM_RANJIVOST\"><\/span><strong><em>eSIM<\/em> RANJIVOST<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Ugra\u0111ena <em>SIM<\/em> kartica (eng. <em>embedded SIM \u2013 eSIM<\/em>) je digitalna <em>SIM<\/em> kartica koja postoji kao softver instaliran na \u010dip ugra\u0111ene univerzalne integrisane kartice (eng. <em>Universal Integrated Circuit Card \u2013 eUICC<\/em>) unutar ure\u0111aja. Ovo omogu\u0107ava daljinsko obezbje\u0111ivanje i upravljanje mobilnim planovima bez potrebe za fizi\u010dkim <em>SIM<\/em> karticama.<\/p>\n<p>\u0160to se ti\u010de mogu\u0107nosti, <em>eSIM<\/em> kartice nude funkcije kao \u0161to su prebacivanje profila operatera, daljinsko obezbje\u0111ivanje i upravljanje <em>SIM<\/em> profilom putem kanala kao \u0161to su <em>SMSPP<\/em>, <em>CBS<\/em> ili <em>BIP<\/em>. Me\u0111utim, ova arhitektura tako\u0111e predstavlja potencijalne ranjivosti, \u010dine\u0107i <em>eSIM<\/em> metom za <a href=\"https:\/\/sajberinfo.com\/en\/2020\/12\/08\/apt-sponzorisani-napadi\/\" target=\"_blank\" rel=\"nofollow noopener\">napredne trajne prijetnje<\/a> (eng. <em>advanced persistent threat \u2013 APT<\/em>) koje su dr\u017eavno sponzorisane ili za grupe koje se bave sajber kriminalom i koje \u017eele da iskoriste <a href=\"https:\/\/sajberinfo.com\/en\/2023\/04\/11\/backdoor\/\" target=\"_blank\" rel=\"nofollow noopener\">tajni pristup<\/a> (eng. <em>backdoor<\/em>) u sistemu bez saglasnosti korisnika.<\/p>\n<p>Zbog ovih postoje\u0107ih prijetnji, bezbjednost modernih mobilnih ure\u0111aja je posebno ugro\u017eena ranjivostima otkrivenim u \u0161iroko kori\u0161\u0107enim <em>eSIM<\/em> tehnologijama, posebno usmjerenim na <em>Kigen<\/em> ugra\u0111ene univerzalne integrisane \u010dip kartice (<em>eUICC<\/em>) kao jedne od najrasprostranjenijih. Ove kartice su ugra\u0111ene u pametne telefone kako bi omogu\u0107ile <em>eSIM<\/em> funkcionalnost i oslanjaju se na <em>GSMA<\/em> potro\u0161a\u010dke certifikate za autentifikaciju.<\/p>\n<p>&nbsp;<\/p>\n<h3><span class=\"ez-toc-section\" id=\"Prozor_mogucnosti_za_zlonamjerne_aktere\"><\/span><strong>Prozor mogu\u0107nosti za zlonamjerne aktere<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p>Kako bi se osiguralo da ure\u0111aji ispunjavaju standarde radio performansi u testnim okru\u017eenjima, standardni testni profil <em>TS.48<\/em> globalnog sistema za mobilne komunikacije (eng. <em>Global System for Mobile Communications \u2013 GSMA<\/em>) je primijenjen u mobilnoj industriji<\/p>\n<p>U svom originalnom obliku, standardni testni profil <em>GSMA TS.48<\/em> je bio namijenjen da olak\u0161a testiranje i provjeru funkcionalnosti <em>eSIM<\/em> kartice bez ugro\u017eavanja bezbjednosti. Me\u0111utim, kao \u0161to \u0107e se pokazati, nedovoljno restriktivan pristup ovog profila stvara priliku zlonamjernim akterima da zaobi\u0111u bezbjednosne provjere na ranjivim ure\u0111ajima i iskoriste.<\/p>\n<p>Dalje,<em> Kigen<\/em> ugra\u0111ene univerzalne integrisane \u010dip kartice (<em>eUICC<\/em>) koriste implementaciju virtuelne ma\u0161ine <em>JavaCard<\/em>, koja je dizajnirana da obezbijedi bezbjedno okru\u017eenje za izvr\u0161avanje mini aplikacija. Me\u0111utim, sigurnosni istra\u017eiva\u010di su otkrili fundamentalne slabosti u ovoj implementaciji koje postoje od 2019. godine.<\/p>\n<p>Sigurnosni istra\u017eiva\u010di otkrili su da mogu da iskoriste ranjivosti konfuzije tipova kako bi dobili neovla\u0161teni pristup memoriji bezbjednog elementa i izvukli kriti\u010dne kriptografske klju\u010deve, uklju\u010duju\u0107i privatne klju\u010deve zasnovane na elipti\u010dnoj kriptografiji (eng. <em>Elliptic Curve Cryptography \u2013 ECC<\/em>). Ova eksploatacija pokazuje zna\u010dajno ugro\u017eavanje bezbjednosnih protokola dizajniranih da za\u0161tite osjetljive informacije sa\u010duvane na ugra\u0111enim univerzalnim integrisanim \u010dip karticama (<em>eUICC<\/em>).<\/p>\n<p>Izdvajanje privatnih klju\u010deva zasnovanih na elipti\u010dnoj kriptografiji (<em>ECC<\/em>) iz ugro\u017eenih ugra\u0111enih univerzalnih integrisanih \u010dip kartica (<em>eUICC<\/em>) ima ozbiljne implikacije za operatere mobilnih mre\u017ea i proizvo\u0111a\u010de ure\u0111aja. Ovi klju\u010devi se koriste za autentifikaciju korisni\u010dkih identiteta, \u0161to ih \u010dini klju\u010dnim komponentama u odr\u017eavanju integriteta profila pretplatnika.<\/p>\n<p>Istra\u017eiva\u010dki tim je demonstrirao svoju sposobnost preuzimanja <em>eSIM<\/em> profila od glavnih operatera mobilnih mre\u017ea, uklju\u010duju\u0107i <em>AT&amp;T<\/em>, <em>Vodafone<\/em>, <em>O2<\/em>, <em>Orange<\/em> i <em>T-Mobile<\/em>, u formatu jasnog teksta. Ovo dostignu\u0107e isti\u010de potencijal zlonamjernih aktera da pristupe osjetljivim informacijama sa\u010duvanim na ugro\u017eenim ugra\u0111enim univerzalnim integrisanim \u010dip karticama (<em>eUICC<\/em>).<\/p>\n<p>U takvim scenarijima, zlonamjerni akteri bi mogli da iskoriste ovu ranjivost da u\u010ditaju la\u017ene <em>JavaCard<\/em> mini aplikacije koje presretnu ili izmjene osjetljive <em>SIM<\/em> operacije. Ovo bi im efikasno omogu\u0107ilo da preuzmu kontrolu nad mobilnim identitetom ure\u0111aja, omogu\u0107avaju\u0107i kloniranje <em>eSIM<\/em> kartice i druge zlonamjerne aktivnosti. Potencijalne posljedice po korisnike i organizacije ne mogu se dovoljno naglasiti.<\/p>\n<p>&nbsp;<\/p>\n<h3><span class=\"ez-toc-section\" id=\"Funkcionisanje\"><\/span><strong>Funkcionisanje<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p>Sigurnosni istra\u017eiva\u010di su identifikovali ranjivost konfuzije tipova u implementaciji <em>JavaCard<\/em> virtuelne ma\u0161ine koja omogu\u0107ava zlonamjernim akterima da zaobi\u0111u vi\u0161e bezbjednosnih mehanizama, uklju\u010duju\u0107i <em>EAL4\/5<\/em> certifikaciju, kontramjere za napade bo\u010dnim kanalima i bezbjednosne <em>JavaCard <\/em>funkcije.<\/p>\n<p>Ranjivost zahteva ili fizi\u010dki pristup ciljnoj kartici zajedno sa poznavanjem instalacionih klju\u010deva ili daljinsko iskori\u0161\u0107avanje putem be\u017ei\u010dnih komunikacionih (eng. <em>Over-the-Air \u2013 OTA<\/em>) kanala. Kriti\u010dni tehni\u010dki elementi koji su ugro\u017eeni uklju\u010duju <em>OPc<\/em> klju\u010deve mre\u017enih operatera i polje za upravljanje autentifikacijom (eng. <em>Authentication Management Field \u2013 AMF<\/em>) \u2013 dva su\u0161tinska povjerljiva kriptografska elementa ugra\u0111ena u <em>eSIM<\/em> profile koje mre\u017eni operateri treba da za\u0161tite po svaku cijenu. Sigurnosni istra\u017eiva\u010di istra\u017eiva\u010di su razvili dokaz koncepta (eng. <em>Proof of Concept \u2013 PoC<\/em>) kako bi demonstrirali izvodljivost ovog napada.<\/p>\n<p>Da bi se razumio obim i ozbiljnost ove ranjivosti, neophodno je detaljno ispitati vektor napada. Kao \u0161to je ranije pomenuto, zlonamjerni akteri mogu ili dobiti fizi\u010dki pristup ciljnoj kartici zajedno sa znanjem o instalacijskim klju\u010devima ili iskoristiti udaljene ranjivosti putem be\u017ei\u010dnih komunikacionih (<em>OTA<\/em>) kanala. Potonji scenario predstavlja zna\u010dajan rizik jer omogu\u0107ava zlonamjernim akterima da zaobi\u0111u tradicionalne bezbjednosne mjere.<\/p>\n<p>Alat koji su koristili sigurnosni istra\u017eiva\u010di implementira komandu osnovne bezbjednosne provjere (eng. <em>Basic Security Check \u2013 BSC<\/em>) koja procjenjuje bezbjednost ugra\u0111ene univerzalne integrisane \u010dip kartice (<em>eUICC<\/em>) kompatibilne sa <em>JavaCard<\/em> putem razli\u010ditih procjena ranjivosti programskih instrukcija srednjeg nivoa. Ova funkcija isti\u010de va\u017enost redovnih bezbjednosnih revizija i a\u017euriranja u spre\u010davanju takvih napada. Me\u0111utim, \u010dak i uz ove mjere predostro\u017enosti, zlonamjerni akteri i dalje mogu iskoristiti ranjivosti poput ove da bi dobili neovla\u0161teni pristup.<\/p>\n<p>Jedna od najalarmantnijih demonstracija uklju\u010divala je uspje\u0161ne testove kloniranja <em>eSIM<\/em> kartice sprovedene na mre\u017ei kompanije <em>Orange<\/em> <em>Poland<\/em> u julu 2025. godine. Sigurnosni istra\u017eiva\u010di su instalirali identi\u010dne <em>Orange<\/em> <em>eSIM<\/em> profile na dvije razli\u010dite fizi\u010dke ugra\u0111ene univerzalne integrisane \u010dip kartice (<em>eUICC<\/em>) i demonstrirali potpuno otimanje identiteta pretplatnika. Kada je zlonamjerni ure\u0111aj aktiviran, odmah je po\u010deo da prima sve pozive i <em>SMS<\/em> poruke namijenjene legitimnom pretplatniku.<\/p>\n<p>Ova mogu\u0107nost kloniranja predstavlja ozbiljan rizik za sisteme autentifikacije u dva koraka, jer zlonamjerni akteri mogu da presretnu verifikacione k\u00f4dove zasnovane na <em>SMS<\/em> porukama za usluge poput <em>Gmail<\/em> i platformi za internet bankarstvo. Sigurnosni istra\u017eiva\u010di su potvrdili da legitimni korisnici ostaju nesvjesni otmice, jer se na strani korisnika ne pojavljuje vidljiv trag. Ovaj nedostatak vidljivosti \u010dini otkrivanje i reagovanje na takve napade jo\u0161 te\u017eim.<\/p>\n<p>&nbsp;<\/p>\n<h3><span class=\"ez-toc-section\" id=\"Uticaj\"><\/span><strong>Uticaj<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p>Otkri\u0107e kriti\u010dne ranjivosti u <em>eSIM<\/em> tehnologiji ima zna\u010dajan uticaj na bezbjednost i integritet mobilnih ure\u0111aja. Sposobnost zlonamjernog aktera da kloniraju profile mobilnih pretplatnika i preuzmu identitete telefona predstavlja zna\u010dajan rizik za korisni\u010dke podatke i kontrolu ure\u0111aja.<\/p>\n<p>Ova prijetnja dobija poseban zna\u010daj s obzirom na \u0161iroko rasprostranjeno usvajanje <em>eSIM<\/em> tehnologije u razli\u010ditim industrijama, uklju\u010duju\u0107i telekomunikacije, finansije i zdravstvo. Kao \u0161to je pokazao otkri\u0107e sigurnosnih istra\u017eiva\u010da, ova ranjivost se mo\u017ee iskoristiti kroz kompromitovane profile, omogu\u0107avaju\u0107i zlonamjernim akterima pristup osjetljivim informacijama ili preuzimanje kontrole nad cijelim ure\u0111ajima.<\/p>\n<p>Posljedice uspje\u0161nog napada su dalekose\u017ene, sa potencijalnim uticajem na pojedina\u010dne korisnike, organizacije i dru\u0161tvo u cjelini. Zlonamjerni akteri mogu iskoristiti kompromitovane profile da manipuli\u0161u korisni\u010dkim podacima, kompromituju identitete ure\u0111aja ili \u010dak dobiju neovla\u0161teni pristup kriti\u010dnim sistemima.<\/p>\n<p>Osim toga, pun obim ove ranjivosti je jo\u0161 uvijek nepoznat, ostavljaju\u0107i mnoga pitanja bez odgovora o njenom obimu i uticaju. Kako istra\u017eiva\u010di nastavljaju da istra\u017euju ovu prijetnju, postaje jasno da ova ranjivost predstavlja ozbiljan poziv na bu\u0111enje za kreatore politike, lidere u industriji i korisnike.<\/p>\n<p>Uticaj ovog otkri\u0107a je jasan: \u0161iroko rasprostranjeno usvajanje <em>eSIM<\/em> tehnologije stvorilo je okru\u017eenje u kojem zlonamjerni akteri mogu da iskoriste ranjivosti kako bi postigli zna\u010dajne koristi u svojim zlonamjernim akcijama. Zbog toga je neophodno da zainteresovane strane daju prioritet bezbjednosti i preduzmu proaktivne mjere za ubla\u017eavanje ovih rizika.<\/p>\n<p>&nbsp;<\/p>\n<h2><span class=\"ez-toc-section\" id=\"ODGOVOR_DOBAVLJACA\"><\/span><strong>ODGOVOR DOBAVLJA\u010cA<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p><em>Kigen,<\/em> kao jedan od najuticajnijih i najrasprostranjenijih dobavlja\u010da <em>eSIM<\/em> kartica na svetu, <a href=\"https:\/\/kigen.com\/company\/policies\/security-center\/security-bulletin-kgnsb-07-2025\/\" target=\"_blank\" rel=\"noopener\">predstavio je robusnu dvostranu strategiju ubla\u017eavanja rizika<\/a> kako bi se rije\u0161ili rizici povezani sa neovla\u0161tenom instalacijom <em>JavaCard<\/em> mini aplikacija.<\/p>\n<p>Prvi dio <em>Kigen<\/em> strategije ubla\u017eavanja uklju\u010duje implementaciju bezbjednosne ispravke <em>GSMA TS.48 v7<\/em> putem standardizovanih be\u017ei\u010dnih komunikacionih (<em>OTA<\/em>) kanala daljinskog upravljanja datotekama. Ova ispravka blokira svaku neovla\u0161tenu instalaciju <em>JavaCard<\/em> mini aplikacija kad god je <em>TS.48<\/em> test profil aktivan na terenu, bez obzira na izlo\u017eenost klju\u010da. Kori\u0161tenje be\u017ei\u010dnih komunikacionih (<em>OTA<\/em>) kanala daljinskog upravljanja datotekama osigurava da se ovo bezbjednosno a\u017euriranje mo\u017ee efikasno i efektivno implementirati na sve pogo\u0111ene ure\u0111aje.<\/p>\n<p>Tehni\u010dke specifi\u010dnosti ove bezbjednosne ispravke su klju\u010dne za razumijevanje njene efikasnosti. Kori\u0161tenjem standardizovanih protokola, <em>Kigen<\/em> je obezbijedio besprijekornu integraciju sa postoje\u0107om infrastrukturom, smanjuju\u0107i poreme\u0107aje u radu korisnika. \u0160tavi\u0161e, \u010dinjenica da se ova ispravka isporu\u010duje putem be\u017ei\u010dnih komunikacionih (<em>OTA<\/em>) kanala daljinskog upravljanja datotekama zna\u010di da se mo\u017ee primijeniti bez potrebe za fizi\u010dkim pristupom pojedina\u010dnim ure\u0111ajima ili ru\u010dnom intervencijom <em>IT<\/em> osoblja.<\/p>\n<p>Drugi dio <em>Kigen<\/em> strategije ubla\u017eavanja rizika uklju\u010duje uvo\u0111enje novih \u201c<em>bezbjednijih<\/em>\u201d test profila koji se podrazumijevano pokre\u0107u bez <em>RAM<\/em> klju\u010deva. Ako je <em>RAM<\/em> memorija strogo neophodna, u ovim revidiranim test profilima koriste se samo nasumi\u010dni i povjerljivi klju\u010devi. Ovaj pristup zna\u010dajno smanjuje rizik povezan sa neovla\u0161tenom instalacijom mini aplikacija, jer elimini\u0161e vektor klju\u010da za eksploataciju.<\/p>\n<p>Sa tehni\u010dke ta\u010dke gledi\u0161ta, ova promjena predstavlja zna\u010dajno pobolj\u0161anje u odnosu na postoje\u0107e prakse. Uklanjanjem javno poznatih <em>RAM<\/em> klju\u010deva iz podrazumijevanih test profila, <em>Kigen<\/em> je smanjio povr\u0161inu napada i smanjio mogu\u0107nosti za zlonamjerne aktere da iskoriste ranjivosti u <em>JavaCard<\/em> mini aplikacijama. Osim toga, upotreba nasumi\u010dnih i povjerljivih klju\u010deva dodaje dodatni sloj bezbjednosti, \u0161to ote\u017eava zlonamjernim akterima da dobiju neovla\u0161teni pristup.<\/p>\n<p>Pored ova dva dijela, <em>Kigen<\/em> je tako\u0111e objavio novi operativni sistem koji ovu strategiju ubla\u017eavanja dalje razvija tako \u0161to potpuno zabranjuje instalaciju mini aplikacija na ure\u0111ajima koji pokre\u0107u bilo koji test profil. Ovaj potez je neophodan s obzirom na ograni\u010denja trenutnih <em>JavaCard<\/em> standarda u sprovo\u0111enju verifikacije programskih instrukcija srednjeg nivoa na test profilima.<\/p>\n<p>Sa tehni\u010dke perspektive, ova promjena predstavlja zna\u010dajan korak napred u obezbje\u0111ivanju bezbjednosti ure\u0111aja. Spre\u010davanjem neovla\u0161tenih instalacija mini aplikacija u potpunosti, <em>Kigen<\/em> je efikasno eliminisao jedan od glavnih vektora napada za zlonamjerne aktere koji poku\u0161avaju da iskoriste ranjivosti u sistemima zasnovanim na <em>JavaCard<\/em> standardu. Ovaj potez tako\u0111e nagla\u0161ava va\u017enost robusnih kontrola na nivou operativnog sistema u odr\u017eavanju cjelokupnog integriteta sistema.<\/p>\n<p>&nbsp;<\/p>\n<h2><span class=\"ez-toc-section\" id=\"ZAKLJUCAK\"><\/span><strong>ZAKLJU\u010cAK<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Ugro\u017eavanje <em>Kigen<\/em> ugra\u0111enih univerzalnih integrisanih \u010dip kartica (<em>eUICC<\/em>) otkrilo je kriti\u010dne ranjivosti koje bi mogle imati dalekose\u017ene posljedice po globalnu bezbjednost. Iskori\u0161tavanje fundamentalnih nedostataka u implementaciji virtuelne ma\u0161ine <em>JavaCard<\/em> koju koriste ove kartice isti\u010de potrebu za robusnijim bezbjednosnim praksama u svim sektorima. Ovaj incident nagla\u0161ava va\u017enost kontinuirane budnosti i proaktivnih mjera za ubla\u017eavanje potencijalnih prijetnji.<\/p>\n<p>Ugro\u017eavanje, koje je omogu\u0107ilo zlonamjernim akterima da kloniraju profile mobilnih pretplatnika i otmu identitete telefona, pokazuje jasno nepo\u0161tovanje utvr\u0111enih protokola i procedura. \u010cinjenica da je ova ranjivost ranije prijavljena, ali odba\u010dena kao manji sigurnosni problem, posebno je zabrinjavaju\u0107a. Sada slu\u017ei kao dobar podsjetnik da samozadovoljstvo mo\u017ee imati razorne posljedice u svetu<a href=\"https:\/\/sajberinfo.com\/en\/2018\/12\/23\/sajber-bezbjednost\/\" target=\"_blank\" rel=\"nofollow noopener\"> sajber bezbjednosti<\/a>.<\/p>\n<p>Utvr\u0111eno je da su kompromitovane ugra\u0111ene univerzalne integrisane \u010dip kartice (<em>eUICC<\/em>) ranjive zbog otkrivenih javno poznatih klju\u010deva, \u0161to je olak\u0161alo neovla\u0161teni pristup osjetljivim informacijama. Ovo isti\u010de potrebu za stro\u017eim praksama upravljanja klju\u010devima i protokolima bezbjednog skladi\u0161tenja. \u010cinjenica da ve\u0107ina ugra\u0111enih univerzalnih integrisanih \u010dip kartica (<em>eUICC<\/em>) nije ranjiva je mala utjeha s obzirom na potencijalni uticaj na one koji su pogo\u0111eni ovim ugro\u017eavanjem.<\/p>\n<p>Protokol <em>GSMA TS.48 v7<\/em> je a\u017euriran kao odgovor na ove nalaze, ograni\u010davaju\u0107i pristup test profilima sa mogu\u0107nostima daljinskog u\u010ditavanja mini aplikacija. Me\u0111utim, ostaje nejasno da li \u0107e ovo biti dovoljno da se sprije\u010de sli\u010dni propusti u budu\u0107nosti. <em>Kigen<\/em> operativni sistem sada zabranjuje instalaciju <em>JavaCard<\/em> mini aplikacija na bilo kom test profilu.<\/p>\n<p>Propust u <em>eSIM<\/em> tehnologiji su podsjetnik da \u010dak i naizgled bezbjedni sistemi mogu da kriju ranjivosti koje \u010dekaju da budu iskori\u0161\u0107ene. Ovaj incident slu\u017ei kao poziv na bu\u0111enje svim uklju\u010denim zainteresovanim stranama, nagla\u0161avaju\u0107i potrebu za kontinuiranim ulaganjem u istra\u017eivanje i razvoj sajber bezbjednosti.<\/p>","protected":false},"excerpt":{"rendered":"<p>U zabrinjavaju\u0107em razvoju doga\u0111aja za globalnu eSIM zajednicu, sigurnosni istra\u017eiva\u010di kompanije AG Security Research su otkrili kriti\u010dnu ranjivost u GSMA TS.48 standardnom testnom profilu, koja posebno uti\u010de na verziju 6.0 i starije. Ova ranjivost&#46;&#46;&#46;<\/p>","protected":false},"author":1,"featured_media":8187,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[3291,3282,3287,3285,3286,3283,3290,3289,3284,3288,3293,3292,2630],"class_list":["post-8186","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-hronike","tag-att-hack","tag-esim-hack","tag-euicc-attack","tag-javacard-vulnerability","tag-kigen-exploit","tag-mobile-hacking","tag-o2-hack","tag-orange-hack","tag-phone-identity-theft","tag-t-mobile-hack","tag-telecom-security","tag-vodafone-hack","tag-vulnerability-disclosure"],"_links":{"self":[{"href":"http:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/posts\/8186","targetHints":{"allow":["GET"]}}],"collection":[{"href":"http:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/comments?post=8186"}],"version-history":[{"count":0,"href":"http:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/posts\/8186\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"http:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/media\/8187"}],"wp:attachment":[{"href":"http:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/media?parent=8186"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/categories?post=8186"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/tags?post=8186"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}