L'infrastruttura di ricarica per veicoli elettrici offre un'opportunità di attacco informatico elettrico

Mentre l'infrastruttura di ricarica per veicoli elettrici (EV) si affretta a tenere il passo con il drammatico aumento delle vendite di veicoli elettrici negli Stati Uniti, i cyberattaccanti e i ricercatori di sicurezza hanno già iniziato a concentrarsi sui punti deboli della sicurezza nell'infrastruttura.

A febbraio, i ricercatori della società di sicurezza informatica delle reti energetiche Saiflow hanno scoperto due vulnerabilità nell'Open Charge Point Protocol (OCPP) che potrebbero essere utilizzate in un attacco DDoS (Distributed Denial-of-Service) e per rubare informazioni sensibili. E l'Idaho National Laboratory ha recentemente scoperto che ogni caricatore che ha esaminato - più formalmente noto come Electric Vehicle Supply Equipment (EVSE) - eseguiva versioni obsolete di Linux, aveva servizi non necessari e consentiva l'esecuzione di molti servizi come root, secondo un'indagine sulla ricerca sulla vulnerabilità della ricarica dei veicoli elettrici sulla rivista Energies. Altri potenziali attacchi includono adversary-in-the-middle (AitM) e servizi esposti a Internet pubblico, secondo il documento.

I rischi non sono solo teorici: un anno fa, dopo che la Russia ha invaso l'Ucraina, gli attivisti informatici hanno compromesso le stazioni di ricarica vicino a Mosca per disabilitarle e mostrare il loro sostegno all'Ucraina e il loro disprezzo per il presidente russo Vladamir Putin.

Le preoccupazioni per la sicurezza informatica arrivano quando le vendite di veicoli elettrici sono decollate negli Stati Uniti, rappresentando il 5.8% di tutti i veicoli venduti nel 2022, rispetto al 3.2% dell'anno precedente, secondo JD Power. Attualmente, negli Stati Uniti sono disponibili meno di 51,000 stazioni di ricarica rapida di livello 2 e DC, che rappresentano la capacità di ricaricare 130,000 veicoli contemporaneamente, secondo il Dipartimento dell'Energia degli Stati Uniti. Con oltre 1.5 milioni di veicoli elettrici immatricolato a giugno 2022, ciò significa che ci sono 11 veicoli per ogni porta di ricarica pubblica.

Per stare al passo con la domanda, i principali attori nel settore della ricarica dei veicoli elettrici hanno tutti piani di espansione significativi e l'amministrazione Biden mira ad aumentare il numero di caricabatterie per veicoli a 500,000 per 2030.

Mentre gli esperti di sicurezza informatica temono che la fretta di creare un'infrastruttura di ricarica completa potrebbe vanno a scapito della sicurezza informatica, la questione della sua preparazione alla sicurezza informatica è particolarmente piccante data la connessione dell'infrastruttura e la capacità di causare potenzialmente danni utilizzando l'accesso all'alta tensione disponibile, afferma Phil Tonkin, direttore senior della strategia presso Dragos, un fornitore di sicurezza informatica industriale.

"La maggior parte dei caricabatterie per veicoli elettrici può essere considerata una tecnologia Internet of Things (IoT), ma sono tra i primi ad avere il controllo su una quantità così significativa di carico elettrico", afferma. Aggiunge: "Il rischio aggregato di così tanti dispositivi, spesso collegati a un numero limitato di singoli sistemi, significa che dispositivi di questo tipo devono essere implementati con cura".

Caricabatterie per veicoli elettrici: IoT, OT e infrastrutture critiche

In molti modi, l'infrastruttura di ricarica dei veicoli elettrici rappresenta una tempesta perfetta di tecnologie. I dispositivi sono connessi tramite applicazioni mobili e comportano gli stessi rischi di altri dispositivi IoT, ma sono anche destinati a diventare una parte fondamentale della rete di trasporto negli Stati Uniti, come altre tecnologie operative (OT). E poiché le stazioni di ricarica dei veicoli elettrici devono essere collegate alle reti pubbliche, garantire che le loro comunicazioni siano crittografate sarà fondamentale per mantenere la sicurezza dei dispositivi, afferma Tonkin di Dragos.

"Gli attivisti informatici cercheranno sempre dispositivi scarsamente protetti sulle reti pubbliche, è importante che i proprietari di veicoli elettrici mettano in atto controlli per garantire che non siano bersagli facili", afferma. "I gioielli della corona degli operatori di caricabatterie per veicoli elettrici devono essere le loro piattaforme centrali, gli stessi caricabatterie si fidano intrinsecamente delle istruzioni spinte dal centro".

Anche i dispositivi di consumo sono un problema. Circa l'80% della ricarica avviene in casa, in base ai dati della sessione ChargePoint. Ma sfortunatamente, quei dispositivi potrebbero essere più facili da interrompere perché i consumatori non sono concentrati, né dovrebbero essere concentrati, sulla sicurezza informatica, afferma Tonkin.

"Non è pratico per il cliente domestico medio dover mettere in atto la giusta sicurezza, quindi assicurarsi che il dispositivo stesso e i metodi che utilizza per comunicare con i servizi basati su cloud siano sempre sul fornitore", afferma.

Il ruolo del governo nella sicurezza informatica dei veicoli elettrici

Il governo degli Stati Uniti dovrebbe mettere a disposizione delle aziende standard e best practice per prevenire le debolezze della sicurezza informatica, dicono alcuni. I Sandia National Laboratories, ad esempio, hanno raccomandato una serie di iniziative per rafforzare la sicurezza informatica, tra cui il miglioramento dell'autenticazione e dell'autorizzazione dei proprietari di veicoli elettrici, l'aggiunta di maggiore sicurezza alla componente cloud dell'infrastruttura di ricarica e il rafforzamento delle unità di ricarica effettive contro la manomissione fisica.

"Il governo può dire 'produrre caricabatterie per veicoli elettrici sicuri', ma le aziende orientate al budget non sempre scelgono le implementazioni più sicure dal punto di vista informatico", Brian Wright, un esperto di sicurezza informatica di Sandia che lavora al progetto di vulnerabilità, ha detto in una dichiarazione. "Invece, il governo può supportare direttamente il settore fornendo correzioni, consigli, standard e best practice".

• Distribuzione di contenuti basati su SEO e PR. Ricevi amplificazione oggi.
• Platoblockchain. Web3 Metaverse Intelligence. Conoscenza amplificata. Accedi qui.
• Fonte: https://www.darkreading.com/ics-ot/ev-charging-infrastructure-electric-cyberattack-opportunity