Publiczne ładowarki słabym punktem sieci. Hakerzy mogą mieć pole do popisu

Sprawą zajął się niemiecki Federalny Urząd ds. Bezpieczeństwa Informacji (BSI), który przeanalizował poziom zabezpieczeń publicznych sieci ładowania. Wnioski są dalekie od uspokajających.

Eksperci BSI wskazują, że kluczowe regulacje, takie jak norma UNECE R 155, wyglądają solidnie wyłącznie na papierze.

Sztandarowym przykładem jest powszechnie stosowany protokół Open Charge Point Protocol (OCPP). Jego niejednolite wdrożenia, a także słabości w zakresie uwierzytelniania i zarządzania sesjami, mogą ułatwić zadanie ewentualnym napastnikom. Operatorzy często wprowadzają zabezpieczenia takie jak szyfrowanie transmisji, listy blokad czy nowoczesną kryptografię w ograniczonym zakresie - między innymi po to, by zachować kompatybilność ze starszymi urządzeniami wciąż obecnymi w sieci.

BSI zwraca uwagę na "wyraźne luki" w systemach po stronie operatorów stacji. Szczególnie wrażliwym elementem ma być model zarządzania certyfikatami zaufania, które odpowiadają za potwierdzanie tożsamości i bezpieczną komunikację w całej infrastrukturze ładowania.

Wystarczy, że ktoś naruszy pojedynczy element tego systemu, by cała sieć była zagrożona. Mówiąc obrazowo - złamanie jednego zamka może otworzyć drzwi do wielu pomieszczeń jednocześnie..

Konsekwencje udanego ataku nie muszą ograniczać się do zakłócenia samej sesji ładowania. W zależności od konstrukcji sprzętu może dojść do uszkodzenia podzespołów, przegrzania elementów elektrycznych lub - w optymistycznym wariancie - zadziałania funkcji zabezpieczających, które na czas odetną zasilanie.

Najbardziej niepokojący scenariusz dotyczy jednak skoordynowanych ataków na większą liczbę punktów ładowania lub na całe huby. W teorii tego typu działanie mogłoby wpłynąć na stabilność sieci energetycznej, gdyby napastnicy celowo manipulowali rozkładem obciążeń. Mówiąc prościej - włączając i wyłączając w odpowiednim momencie dużą liczbę ładowarek, można próbować destabilizować lokalną sieć.

Dodatkowym wyzwaniem staje się coraz popularniejsze ładowanie dwukierunkowe, czyli technologia, w której samochód nie tylko pobiera energię, ale potrafi też oddawać ją z powrotem do sieci lub domu. BSI ostrzega, że w takim modelu skutki manipulacji systemami sterowania mogą być znacznie poważniejsze niż dzisiaj. Powód jest prosty - cyberatak nie wpłynie wówczas wyłącznie na pobór prądu, ale również na jego wprowadzanie do sieci.

VDA, czyli zrzeszenie producentów samochodów, podkreśla, że nowe wyzwania związane z funkcjami Plug & Charge oraz ładowaniem dwukierunkowym wymagają solidnej komunikacji, uwierzytelniania i zarządzania certyfikatami. Bezpieczeństwo informatyczne ma być już wpisane w proces projektowania i produkcji aut.

BDEW, czyli niemiecki związek branży energetycznej nie widzi powodów do paniki, wskazując, że dotychczas nie odnotowano poważnych incydentów. Branża domaga się przede wszystkim bardziej spójnych i jasno określonych przepisów, bo dziś poszczególne elementy systemu - od samego auta jako produktu cyfrowego, przez stacje ładowania, po akumulatory pełniące rolę wirtualnych elektrowni - podlegają różnym regulacjom obowiązującym równolegle.