先講結論：SIM 卡本身不會幫你做 PGP 加密。市面上叫「PGP SIM」的東西，加密發生在手機裡的 App，SIM 能改變的是「電信端看得到你多少」。這篇用 SIM 的運作方式拆一下這個詞，順便整理一份買之前可以自己檢查的清單。

（利益揭露：這個帳號跟 GhostSims 有關，文中會提到他們的產品頁，但下面的技術內容任何一張 SIM 都適用。）

SIM 卡裡到底有什麼

一張 SIM（現在其實是 USIM 應用程式）最重要的是兩個東西：

1. IMSI：最多 15 位數字，結構是 MCC（國碼，3 位）+ MNC（電信代碼，2 或 3 位）+ MSIN（用戶編號）。台灣的 MCC 是 466，例如中華電信是 466-92、台灣大哥大是 466-97。所以光看 IMSI，基地台就知道你是哪個國家、哪家電信的用戶。
2. Ki：一把 128 位元的金鑰，只存在 SIM 和電信商的認證中心（AuC），理論上永遠不會被讀出來。開機註冊網路時，網路丟一個亂數過來，SIM 用 Ki 算出回應，3G/4G 常見的是 Milenage 演算法。

所以 SIM 是一個「身分 + 認證」的晶片，不是加密通訊軟體。你傳的 Signal 訊息、PGP 郵件，從頭到尾都不經過 SIM 的運算。

空中介面的加密，跟你以為的不一樣

手機到基地台這一段確實有加密，但有幾個常被忽略的點：

• 2G 只有單向認證：網路驗證手機，手機不驗證網路。偽基地台（IMSI catcher）最常見的手法，就是干擾 4G 訊號，逼手機降到 2G，再要你報出 IMSI。2G 用的 A5/1 也早就被破解了。
• 4G 是雙向認證（EPS-AKA），但在安全通道建立之前，網路可以發 Identity Request，手機會用明文回 IMSI。這就是 4G 時代偽基地台還能抓到 IMSI 的原因。
• 5G SA 才有 SUCI：手機用 SIM 裡的電信商公鑰，以 ECIES 把身分加密後才送出，偽基地台拿到的是密文。但前提是你連的是 5G 獨立組網，而且電信商真的有在 SIM 裡佈建金鑰；沒有的話會退回「null scheme」，等於沒加密。
• 加密只到基地台：電信商核心網路看得到你的通話對象、簡訊內容和流量位址。空中加密防的是旁邊的人，防不了電信端。

EFF 有一頁整理偽基地台的運作方式，寫得滿清楚：Cell-Site Simulators/IMSI Catchers。

那「PGP SIM」這個詞是怎麼來的

這個詞是從「PGP 手機」那圈流傳出來的。早年的加密 BlackBerry 跑 PGP 郵件，賣家通常會附一張只開數據、不綁門號、走海外電信的 SIM。重點從來不是 SIM 會加密，而是：

• 沒有門號，就沒有簡訊和一般語音這兩個最容易被攔的管道
• 開卡不綁個人身分，電信端記錄的 IMSI 不會直接對到你的名字
• 走海外漫遊，本地電信看到的是外國用戶

現在的版本也差不多，只是 BlackBerry 換成 GrapheneOS 或一般 Android，PGP 郵件換成 Signal 這類端對端加密 App。像 GhostSims 的 PGP SIM 方案頁 寫的就是這個方向：不需要提供個人資料、可在 180 多個國家使用，另外有提到 IMSI masking。

買之前自己檢查的清單

不管買哪一家，我會問這幾題：

1. 開卡要什麼資料？ 付款方式也算。用信用卡付款，身分其實已經留在金流那一端了。
2. IMSI 是哪個國家、哪家電信的？ 問 MCC/MNC，答不出來的賣家可以直接跳過。
3. 「IMSI masking」具體是什麼？ 多數是 SIM 裡放多組 IMSI 輪替使用，能降低長期追蹤，但不是讓你隱形。
4. 有沒有門號？ 有門號就有簡訊，簡訊是明文，2FA 簡訊碼別依賴它。
5. IMEI 怎麼辦？ IMEI 是手機的序號，換 SIM 不會換 IMEI。同一支手機插過實名卡，電信端就能把新舊 IMSI 和同一個 IMEI 連起來。想切乾淨，就要搭配一支沒插過實名卡的手機。如果打算用 GrapheneOS，也先確認機型還在官方更新期內，這份 GrapheneOS 支援機型整理 有列出各代 Pixel 的支援截止時間，買二手機前很好用。
6. 手機端有沒有關 2G？ Pixel 在 Android 12 之後，設定 > 網路和網際網路 > SIM 卡裡有「允許使用 2G」可以關；iPhone 開「鎖定模式」（iOS 17 起）會停用 2G；GrapheneOS 另外有 LTE-only 模式，詳見 GrapheneOS features。

最後

在台灣辦一般預付卡基本上要雙證件，這是法規要求，本文不是教人規避。上面講的比較適合常出國、記者、或是本來就在意電信端資料的人，用之前先確認當地法規。

如果只能記一件事：SIM 決定的是電信商知道你多少，加密決定的是內容有沒有人看得懂。兩件事分開看，才不會被行銷用語帶著走。