为了实现eSIM的业务需求RSP技术标准定义了一套包含管理平台、终端、eUICC以及相关配套设施的技术体系。
主要实体包括以下6个方面。
①Profile：运营商向用户提供服务所需的卡数据和卡应用的集合，需要通过空中下载的方式安装到eUICC上。
②eUICC：Profile的硬件载体，类似于传统USIM卡的UICC，但软硬件更复杂，可满足动态加载运营商数据的需要。同一张eUICC上可以加载属于不同运营商的多份Profile．但同一时间只有一份能使用。
③SM-DP+:负责生产、存储、提供Profile的网络服务平台。SM-DP+需具备必要的软硬件能力以确保Profile的安全。
④终端：需要接入移动网络的实体。eUICC预置在终端中，终端也负责从SM-DP+下载Profile并写入eUICC。
⑤DS:发现服务器，协助终端寻址SM-DP+。
⑥CA:标准PKI证书权威机构，为体系内的通信各方颁发可信数字证书。
RSP标准的安全机制
RSP标准要求eSIM在生产、管理、安装和使用等任何环节的安全级别都不低于传统可插拔SIM卡。标准要求体系中各实体通过GSMA定义的安全认证：卡商、SM-DP+、DS等需通过SAS认证，eUICC需通过专门定义的Protection Profile认证(GSMA尚未制定该标准)。在技术层面，标准中定义了多种安全机制。
(1)公钥基础设施
公钥基础设施(PKI)是RSP安全机制的基础。系统各个实体需要配置同根的数字证书，用于签名认证和密钥协商。数字证书需支持撤销机制。
为了实现全球互通，GSMA希望根证书统一由经过认证的CA签发。不过CA的使用受各个国家法律的严格约束，可以预见，CA将成为eSIM互通的最大障碍。
(2)安全算法
RSP使用的安全算法包括非对称加密、对称加密、散列算法和HMAC等。其中最核心的非对称加密选用了椭圆曲线算法(ECC)。相对于业界常用的RSA算法，ECC算法秘钥更短，单位安全强度更高，但实现难度较大。
(3)安全通信
安全通信机制用于实现远程操作和数据交换，保障Profile在传输过程中不会出现数据泄露、窃取、失效等问题。实体之间的通信采用基于TLSl.2的安全连接。在TLS之上，RSP还制定了专用安全协议。RSP安全通信遵循下列规则。
①双向认证
任意两个实体之间的通信必须进行双向认证，认证的基础是通信双方拥有同根证书。认证分两步，第一步是请求方(如eUICC)对被请求方（如SM-DP+）进行认证，认证方法是对被请求方的公钥证书进行检验；第二步是被请求方通过同样的方法对请求方进行认证。
②通信保护
通信双方协商一套最小的公共机密工具集，进行端到端的认证、完整性保护和一致性保护，并且尽量采用前向安全机制(Forward Secrecy)。
③信息保密
要求eUICC不得向任何未经认证的服务器提供私密数据；在通过服务器的认证之前，eUICC不对任何资料进行签名。
④授权检查
被请求方必须检查请求方是否具有访问指定信息的权限。
Profile加密
Profile加密是eSIM体系中最重要的安全措施之一，用于确保Profile明文仅出现在生成服务器内部和eUICC内部，在其他任何环节的任何时刻仅以密文形式存在，保障Profile数据不被泄露。RSP标准定义了一种基于SCPlla和SCP03t的安全加密方法。SCP03t是一种面向TLV格式数据、基于对称秘钥的加密方法，SCPlla定义了一种符合前向安全思想的秘钥协商机制。
Profile加密保护分为两种模式：预加密模式和即时加密模式。Profile预加密是指在生成Profile的同时生成一个AES随机秘钥(PPK)，使用PPK加密Profile；在下载时，SM-DP+与eUICC协商生成会话秘钥，但会话密钥仅用于加密PPK。即时加密模式是指在下载Profile时．SM-DP+与eUICC协商生成会话秘钥，使用会话秘钥对Profile进行加密。
eUICC安全架构
eUICC在接口，物理电气特性等方面保留了传统UICC的技术要求，确保卡外实体无法访问卡内的敏感信息。同时，eUICC还借鉴了全球平台组织（Global Platform）卡规范的技术，通过安全域机制对安装到eUICC中的多个Profile进行严格的隔离，以避免Profile被卡内应用非法访问。安全域技术是防止Profile数据失效的重要手段。
终端透传
由于终端在本质上是非安全的，因此，需要确保终端无法接触敏感数据的明文。RSP标准定义终端负责与SM-DP+建立TLS连接，但在TLS之上由eUICC与SM-DP+直接建立逻辑安全信道进行端到端数据传输。终端仅负责加密数据的透传。
用户确认
RSP标准强制要求用户手动确认，以确保任何对eUICC的操作都体现用户的真实意图。其中定义了用户确认码机制用于防止Profile被非法用户窃取。对于分配给用户的Profile，运营商可以设置一个口令（确认码），在下载之前，用户必须输入正确的口令。
M2M设备的服务对象通常是行业用户，行业用户会选择直接与运营商合作为批量M2M设备提供通信服务。由于M2M设备所处的环境限制且M2M业务通常由平台侧发起，M2M eUICC中必须包含预置号码使得平台能够与eUICC建立初始连接。而消费电子设备比较灵活，可以通过Wifi、蓝牙等方式建立通信连接，因此不是必须包含预置号码，而是在架构中增加了SM-DS网元，设备的LPA模块实现SM-DS的寻址功能，从而通过SM-DS实现与远程管理平台的初始连接。