OTA SMS의 Security

APDU command를 통해 UICC(USIM)의 파일(EF)을 업데이트를 하기 위해서는 해당 EF의 Access Condition에 따라 PIN 혹은 ADM키로 인증(Verify)가 되어야 가능하다.
그렇다면 OTA SMS를 통한 EF 업데이트의 경우에도 Access Condition을 만족해야 하는가?

실제로 OTA SMS를 spy해보면 OTA Header와 바로 이어서 APDU Command가 붙어서 내려오는 것을 확인할 수 있다.
만약 이 경우에 PIN, ADM 키 값이 들어가 있다면 Spy만 한다면 해당 UICC(USIM)의 키 값을 알 수 있기 때문에 보안에 심각한 문제가 발생된다.
즉, OTA SMS를 이용한 EF 업데이트는 Access Condition에 무관하게 동작하며 PIN, ADM 키값 노출을 막기 위해 MAC 인증을 이용한다.
MAC 인증이 되었다면 Access Condition은 전부 인증(Verify)되었다고 처리되며 이후 모든 EF의 업데이트가 가능해 진다.
MAC 인증에 대해서는 지난번 Key Set 포스트를 참고하자.

그리고 인증 방식은 OTA SMS Header(23.048 Header)에서 SPI1 Field의 값에 따라 달라진다.

1. Redundancy Check: CRC32를 통해 인증
   
2. Cryptographic Checksum: MAC 인증
   
3. Digital Signature: 

Network 사업자(이통사)에 따라 다르겠지만 한번에 보낼 수 있는 SMS의 사이즈는 80~120 byte 정도이다.
즉, Command Set이 하나의 OTA SMS의 사이즈로 처리할 수 없는 경우에는 Concatenated SMS로 처리 될 수 있다.