SIM卡密鑰被盜？

美國國家安全局（National Security Agency，簡稱NSA）和英國情報機構“政府通信總部”（Government Communications Headquarters，簡稱GCHQ）入侵最大的SIM卡制造商盜走密鑰，事件一經曝光，制造商和專家們開始就這個事件展開激烈爭論。

多年來，英國和美國的情報機構及其盟友一直通過入侵最大的SIM卡制造商金雅拓，盜取SIM卡密鑰并用它來獲取其用戶的敏感信息。“The Intercept（攔截）”網站援引“棱鏡”事件揭秘者斯諾登提供的機密文件：根據政府通信總部2010年的一份秘密文件，英美兩國情報機構入侵了全球最大的SIM卡制造商金雅拓的內部電腦網絡，竊取用于計費和銷售系統以及訪問認證服務器的手機通訊安全密鑰。在竊取密鑰后，英國和美國的情報機構可以在無需制造商或移動電話供應商的協助或允許下，對全球大部分的手機通訊偷偷進行監控，監視移動通信的聲音和數據。

這意味著英國和美國的情報機構可以不再需要任何司法裁決而隨心所欲地對移動通訊進行監控，而且不會留下任何痕跡，這必然會出現濫用的情況。而對于SIM生產商的這種攻擊是非常嚴重的，手機的通訊安全完全依靠SIM密鑰的保護，而SIM卡并非由手機或者移動通訊服務商所掌控，而是由少數幾家公司生產的。此次被曝光的金雅拓就是全球SIM卡市場最大的生產商，各個國家都有大量的用戶使用其制造的SIM卡。更可怕的是，在相關的文件被披露時，生產商表示完全不知情，聲稱沒有任何跡象表明其網絡被入侵。

在隨后的新聞發布會上，被曝光的入侵行動又被該公司修改成為“可能發生”，很明顯該公司低估了攻擊事件的影響，同時也希望淡化該事件對公司產生的不良影響。按照該公司的說法：“大規模盜竊SIM卡的加密信息是不可能的”，并且他們還指出：“2010年以來，金雅拓一直在使用一種新的、安全的方法給移動通信服務提供商分配密鑰，只有在極其特殊的情況下才可能被黑客入侵和竊取?！辈贿^，金雅拓所提供的說法起碼有一部分是不真實的，如金雅拓與部分移動通信運營商的業務關系。

針對相關公司在事件被曝光之后的態度，專家懷疑是否仍有可能全面調查這一事件。德國的移動通信服務提供商捷德公司在回復德國CHIP雜志對于相關事件的詢問時也安撫說：“沒有跡象表明我們曾經受到了攻擊”。捷德公司的移動安全負責人斯特凡奧爾巴赫表示，他們已經檢查了自己的系統，并沒有發現這種攻擊的跡象。德國沃達豐等移動運營商也對此三緘其口，沃達豐的公共關系部門在回復德國CHIP雜志對于相關事件的詢問時表示：“沃達豐有自己的加密算法，相當于金雅拓密鑰以外的第二個防火墻，并且在與金雅拓協商后，我們認為沒有跡象表明，被入侵或者被黑客攻擊。”德國電信對此的回復則是他們有額外的安全措施，目前他們認為這些措施并沒有被破壞。不過他們表示，也不能完全排除這種可能性。無論如何，目前沒有任何一個移動通信供應商因此事件的影響提出更換受到影響的SIM卡。

2G加密已經過時

間諜機構此次的行為揭示了移動通信的安全性存在隱患，事實上對于2G網絡連接來說，確實是完全沒有任何安全性可言。SIM卡主要用于移動通信服務的計費，而在移動電話市場走向繁榮之后，20世紀90年代中期SIM卡開始引入加密等各種安全措施，但這些相關的技術早已過時。早在2010年國際黑客大會（Defcon）上，安全專家克里斯·佩吉特就展示了如何通過一個價值約一千美元的設備突破GSM和2G的安全措施。不過，佩吉特所展示的設備和介紹的方法需要讓終端設備連接到被操縱的基站，攻擊的過程不可避免地會留下痕跡。許多新的移動通信技術可以提供更好的安全性，例如3G或4G/LTE網絡，但是仍然有可能由于2G網絡的脆弱而受到攻擊：使用所謂的“干擾器”，可以通過無線傳輸技術設備產生電涌，使終端設備切換回2G模式，然后再對用戶進行攻擊。

目前仍不清楚在入侵事件發生之后，如何才能保護移動通信的安全。雖然金雅拓聲稱，3G和4G的密鑰都沒有受到影響，但是加密專家馬修·格林已經通過“The Intercept（攔截）”網站敦促用戶要小心，格林認為：“沒有什么加密機制可以在被入侵之后仍然是安全的。金雅拓只是假設沒有其他密鑰被盜，并假設NSA和GCHQ無法破解所謂的額外安全機制?！苯鹧磐匦技词故艿焦?，也不準備采取任何法律措施。該公司首席執行官奧利弗表示，很難拿出證據，所以他們沒有理由采取法律行動。

因此，作為一個用戶，目前唯一可以做的事就是自求多福，例如使用一些技術和應用程序來進行終端到終端加密。安全公司Lookout的專家杰里米·林登表示，SIM卡密鑰的安全風險不會影響到軟件加密設備的使用，他和愛德華·斯諾登一樣，敦促人們在使用軟件和服務時盡可能地使用更強大的加密方式。

相關信息

移動終端設備和網絡提供商的基礎設施之間的加密方式

加密密鑰存儲在SIM卡和所謂的核心網絡提供商，它保護終端設備和移動電話供應商之間的通信。如果掌握加密密鑰，那么可以輕松地讀取明文，可以偽造或克隆終端設備，也可以安裝間諜軟件。

SIM卡

SIM卡可以存儲用戶數據，提供供應商的特殊功能和啟用加密功能。這使得它們成為間諜和罪犯的目標。

SIM卡在1991年首次被使用，前300個SIM卡是捷德公司為芬蘭的移動通信服務商Radiolinja生產的，現在手機可以使用的SIM卡已經多達5種（普通、Mini、Micro、Nano、嵌入式）。SIM卡開發最初的主要目的是計費，隨后功能逐漸擴大，它們現在可以提供加密功能，可以控制是否允許安裝移動電話供應商的應用程序，或通過密鑰加密機器（M2M）之間的通信。如果掌握SIM卡的密鑰，不僅能夠入侵手機之類的個人終端設備，還可以攻擊汽車和其他利用移動電話技術進行通信的工業應用。