新能源汽车充电系统曝安全漏洞，可伪造身份验证窃取数据

最近的网络安全研究中发现，在多个电动汽车 (EV) 充电系统中发现的 2 个新的安全漏洞可被利用来远程关闭充电站，甚至可以实现数据窃取和偷电的攻击。

根据中国网络安全行业门户极牛网(GeekNB.com)的梳理，这些问题已在开放充电点协议 OCPP 标准的 1.6J 版中发现，该标准使用 WebSockets 在 EV 充电站和充电站管理系统 (CSMS) 提供商之间进行通信。OCPP 的当前版本是 2.0.1。

安全研究人员表示，OCPP 标准没有定义 CSMS 充电站管理系统应该如何在已经存在活跃连接的情况下接受来自充电点的新连接。攻击者可能会利用缺乏针对多个活动连接的明确指南来破坏和劫持充电点与 CSMS 充电站管理系统之间的连接。

这也意味着黑客攻击者可以在已经连接时欺骗从有效充电器到其 CSMS 提供商的连接，从而导致以下两种情况之一：

• CSMS 提供程序在建立新连接时关闭原始 WebSocket 连接时出现的拒绝服务 (DoS) 情况；

• 信息窃取源于保持两个连接处于活动状态但返回对“新”流氓连接的响应，从而允许对手访问驾驶员的个人数据、信用卡详细信息和 CSMS 凭据；

由于 CSMS 充电站管理系统提供商被配置为仅依赖充电点身份进行身份验证，因此使得伪造成为可能。

安全研究人员表示，将新连接的不当处理与薄弱的 OCPP 身份验证和充电器身份策略相结合，可能会导致对电动汽车充电设备网络的大规模分布式 DDoS 攻击。

OCPP 2.0.1 标准通过要求充电点凭据来修复弱身份验证策略，从而堵住了漏洞。也就是说，当单个充电点存在多个连接时，缓解措施应该需要通过发送 ping 或心跳请求来验证连接。如果其中一个连接没有响应，CSMS 应该将其消除，如果两个连接都有响应，运营商应该能够直接或通过 CSMS 集成的网络安全模块消除恶意连接。