Como É Que um eSIM Funciona por Dentro?

Um cartão SIM é um computador minúsculo que guarda um segredo. Esse segredo prova a uma rede que quem o usa é um assinante que paga, e o plástico existe só para levar esse computador até ao telemóvel. Um eSIM mantém o computador, soldado de vez, e entrega o segredo pela internet.

Para a versão prática, o que muda numa viagem e se o telemóvel é compatível, comece por o que é um eSIM. Esta página trata do mecanismo.

O hardware chama-se eUICC, sigla inglesa de cartão de circuito integrado universal e embutido. É um elemento seguro, a mesma classe de componente que guarda credenciais de pagamento, desenhado para que aquilo que lá entra não possa voltar a ser lido. Nada disto é invenção de um fabricante: é uma especificação da GSMA, e é por isso que o mesmo formato de perfil serve em qualquer telemóvel e com qualquer fornecedor.

A propriedade útil do chip é guardar vários perfis ao mesmo tempo. Um cartão SIM é uma subscrição por cada bocado de plástico; um eUICC guarda normalmente oito ou mais, e quantos funcionam em simultâneo é um limite do telemóvel, não do chip: a página da Apple sobre Dual SIM, no manual do iPhone aponta dois eSIM no iPhone 13 e nos modelos seguintes. É assim que a linha de casa e um plano de viagem cabem no mesmo telemóvel, sem trocar nada.

Um perfil são os dados que um cartão SIM teria transportado: a identidade do assinante, as chaves criptográficas que a provam e as definições de rede. Transferir um perfil escreve exatamente isso dentro do eUICC. Dizer que se «transfere um SIM» é mais literal do que parece: o que falta mesmo é o plástico.

Os perfis são emitidos para um dispositivo. O eUICC tem identidade própria, o EID, e o perfil é preparado para aquele chip em concreto, razão pela qual um código QR costuma instalar-se uma única vez. Passar uma linha para um telemóvel novo não copia o perfil: os fluxos de transferência que as duas plataformas já oferecem, como os passos da Google para levar um SIM para um telemóvel novo, fazem o operador emitir um perfil novo para o chip novo, e só resultam onde o operador os permite. A transferência em si é um processo curto quando resulta.

O perfil não está. O código guarda um endereço, o de um servidor SM-DP+, e um código de ativação. O telemóvel contacta esse servidor, apresenta o código de ativação e o EID do chip, e o servidor devolve um perfil preparado para esse chip, por um canal cifrado.

Transferir um perfil não avisa a rede de que chegou. Em regra o plano começa quando o perfil se regista pela primeira vez numa rede móvel, porque esse é o primeiro momento em que o operador o vê a consumir alguma coisa.

É esse mecanismo que faz de «instalar em casa, ativar ao aterrar» um conselho seguro na maioria dos planos, e que compensa identificar antes de pagar a minoria que começa na compra.

O elemento seguro foi construído para que as credenciais não possam ser extraídas, apenas instaladas e apagadas. Não há cópia do perfil de onde o recuperar: nem numa cópia de segurança, nem do lado do fornecedor num formato que o telemóvel aceitasse. Repô-lo significa emitir um perfil novo. É essa restrição a razão pela qual apagar é irreversível, e não um descuido do software.

O mecanismo é igual em todos os fornecedores: o mesmo chip, o mesmo formato de perfil, os mesmos servidores. O que muda é comercial: o preço por GB, quanto tempo dura o plano, se dá para carregar e a que rede local o telemóvel acaba por se ligar. Classificamos pelo primeiro desses critérios e mostramos os restantes, por destino ou por fornecedor.