電動汽車充電基礎設施的網絡安全
近日，美國能源部桑迪亞國家實驗室發布消息稱，隨著電動汽車變得越來越普遍，對電動汽車充電設備和系統進行網絡攻擊的風險和危害也在增加。該實驗室的電氣工程師Jay Johnson在過去四年里一直在研究電動汽車充電基礎設施的各種漏洞。Johnson和他的團隊最近在科學期刊Energies上發表了一篇已知電動汽車充電樁漏洞總結的論文-（Review of Electric Vehicle Charger Cybersecurity Vulnerabilities, Potential Impacts, and Defenses）。論文摘要指出，全球范圍內電動汽車使用的增長促使私人和公共電動汽車供電設備 (EVSE) 的安裝和應用。EVSE設備支持交通運輸行業的電氣化，同時也是電力系統和交通基礎設施的關鍵。網絡安全研究人員最近發現了EVSE設備、電動汽車 (EV) 通信和上游服務（例如EVSE供應商云服務、第三方系統和電網運營商）中存在的多個漏洞。對這些系統的攻擊的潛在影響從局部的、相對較小的影響到長期的全國性破壞。
Jay Johnson表示，通過對電動汽車充電樁漏洞進行調查，他們可以優先向政策制定者提出建議，并告知行業需要哪些安全改進。美國兩黨基礎設施法為電動汽車充電基礎設施撥款75億美元。作為這筆資金的一部分，聯邦政府要求各州實施物理和網絡安全戰略。Johnson希望其的研究將有助于優先考慮各州制定的強化要求。他們的工作還將幫助聯邦政府標準化最佳實踐，并在未來強制規定電動汽車充電樁的最低安全級別。
全球范圍內推動交通電氣化的過程中，觀察人士表示，充電基礎設施的網絡安全沒有得到適當的關注。
智能充電樁漏洞隱憂
桑迪亞研究人員正在與阿貢、愛達荷和太平洋西北國家實驗室、國家可再生能源實驗室和其他國家安全實驗室團隊的專家合作。
電動汽車充電基礎設施存在多個漏洞，從竊取信用卡信息——就像在傳統的加油站或ATM上一樣——到使用云服務器劫持整個電動汽車充電樁網絡。
Jay Johnson稱，隨著我們使更多的運輸行業電氣化，他們專注于對關鍵基礎設施產生更大的影響。他們一直在研究對電網的潛在影響。此外，隨著執法部門和其他政府機構考慮改用電動汽車，他們一直在思考無法為車輛充電會如何影響運營的問題。
該項目的桑迪亞網絡安全專家布賴恩賴特同意挑戰的規模。“我們不希望電網發生壞事，我們希望確保電動汽車司機的安全并保護在設備上工作的人員，”賴特說。“電網會受到電動汽車充電設備的影響嗎？絕對地。這會是一次具有挑戰性的攻擊嗎？是的。這屬于壞人在未來10到15年內可以和將會做的事情。這就是為什么我們需要領先一步解決這些問題。”
該團隊研究了幾個切入點，包括車輛與充電器的連接、無線通信、電動汽車操作員界面、云服務和充電器維護端口。他們研究了傳統的交流充電樁、直流快速充電器和極速充電樁。漏洞的類型，按出現的位置可分為：
一是EV到EVSE接口漏洞；已經有多個通過EV到EVSE連接竊取憑證或影響充電會話的演示。
二是電動汽車操作界面漏洞；早期的EVSE基礎設施容易受到RFID克隆和其他授權繞過機制的影響，可以在本地訪問設備。
三是EVSE互聯網接口漏洞；EVSE設備通常包括本地Web服務器或連接到云環境以中繼來自充電點運營商、EVSE所有者或駕駛員的信息。
四是EVSE維護接口和硬件/軟件漏洞；維護接口在EVSE設備上很常見。這些可能是串行的（例如，RS485、RS232、USB串行或其他通用異步收發器 (UART) 接口）；Wi-Fi或以太網（例如，SSH、Telnet、HTTP 等）；藍牙; 或通過前面板/屏幕。網絡安全研究人員在EVSE上運行的硬件和軟件中發現了多個漏洞。
該團隊的研究指出了每個界面上的幾個漏洞。例如，車輛與充電樁之間的通信可能會在50多碼外被攔截并終止充電會話。電動汽車車主界面主要容易受到竊取私人信息或改變充電樁定價的影響。大多數電動汽車充電樁使用防火墻與互聯網隔離以提供保護，但阿貢國家實驗室的研究人員發現一些系統沒有這樣做。此外，愛達荷國家實驗室團隊發現一些系統容易受到惡意固件更新的攻擊。另有實驗室團隊發現了許多關于充電樁Wi-Fi、USB或以太網維護端口允許重新配置系統的報告。本地訪問可能允許黑客通過云從一個充電樁跳到整個充電樁網絡。
至于漏洞的影響，主要涉及EVSE和EV的功能和安全、個人和公司隱私、金融運營和電網運營。負面結果包括竊取能源、對EVSE附近的人員和設備造成危害、車輛失能和損壞以及干擾電網功能。后果影響可細分為功能、財務/隱私、安全和電網影響領域。
充電樁攻擊事件正在發生
充電樁軟件供應商和研究人員表示，美國電動汽車生態系統的持續擴張正在為國家電力系統帶來新的網絡安全風險，黑客可以通過分布廣泛且保護不力的充電站進行訪問，但解決方案正在出現。
公共和私營部門分析師表示， 今年年初黑客利用俄羅斯充電站嘲笑弗拉基米爾普京和英國充電站播放色情節目的網絡威脅是真實存在的。他們補充說，訪問客戶個人或財務數據的行為已經得到證明，并且由不斷增加的交通電氣化政策目標推動的電動汽車熱潮可能會在整個電力系統中傳播威脅。
據Clean Technica 9月13日報道，電動汽車目前約占美國2.5億輛輕型汽車的1%，占2022年第三季度美國新車銷量的比例從2021年第三季度的3.7%上升至6.1% 。根據9月20日報道的BloombergNEF估計，到2030年，它們可能占新車銷量的52% 。網絡安全專家一致認為，隨著電動汽車生態系統在整個電力系統攻擊面的快速擴張，漏洞將會增加。
電力行業、私人網絡安全提供商和網絡安全研究負責人表示，這些漏洞威脅的影響比嘲笑普京或隨機色情攻擊更嚴重。10月25日，美國國家網絡主管辦公室領導的論壇認識到，電動汽車生態系統網絡安全需要新的答案。
黑客無處不在。電動汽車生態系統的發展和知名度將放大賺錢或政治觀點的誘惑。未解決威脅的后果是真實的，因為充電基礎設施是金融、電動汽車生態系統或電力系統攻擊的最佳切入點。
EV生態系統是不斷增長的“能源互聯網”市場的一部分，該市場將支持能源轉型，但會帶來攻擊面增加的“副作用”，施耐德電氣產品網絡安全副總裁兼首席產品安全官Megan Samford表示。
關于攻擊的具體細節很少公開，但除了俄羅斯和英國的事件外，彭博新聞社1月11日還報道了針對德國特斯拉充電站的白帽攻擊。此外，據TechRepublic 3月23日報道，國際研究人員在16個充電系統中發現了13個漏洞。最后，根據以色列電動汽車網絡安全專家Upstream的2022年報告，在2021年全球針對充電站的240多次攻擊中，有40.1%的攻擊者使用充電樁訪問權限訪問充電公司的服務器。如果沒有及時發現，此類攻擊可能會導致“級聯”電力系統中斷。
充電樁網絡安全如何做？
電動汽車本身已經被研究人員證明容易受到攻擊，但充電基礎設施的網絡安全直到最近才受到關注。
在10月由白宮國家網絡主任辦公室主辦的一次論壇上，美國政府和電動汽車行業的領導人同意共同合作，評估與電動汽車相關的當前網絡安全標準、保持生態系統安全還需要什么以及該領域的研究和發展狀況。
各州也開始更加認真地考慮網絡安全問題。密歇根州交通部 (MDOT)在其2022年8月的電動汽車基礎設施部署州計劃中表示，隨著技術的進步，風險“繼續加劇”，但它要求第三方供應商承擔網絡安全責任。
MDOT表示將更新其采購流程，以確保滿足網絡安全和隱私要求。該計劃出臺之際，密歇根州正大力投資電動汽車基礎設施，包括通過充電網絡和第一條在電動汽車行駛時為電動汽車充電的公共道路。
另外，申請聯邦國家電動汽車基礎設施 (NEVI) 資助的供應商將需要提交一份網絡安全計劃，其中包括“對高級別安全和隱私實踐的理解，包括物理和技術解決方案，以保護充電器和數據來自網絡攻擊。
為了加強電動汽車充電基礎設施的網絡安全，網絡安全界呼吁公司加大投資，升級硬件和軟件，并定期進行滲透測試以評估其安全性。目前，太多的基礎設施依賴于連接到互聯網并提供無線更新的無線網絡，因此需要更安全的替代方案。白宮的物聯網 (IoT) 設備網絡安全標簽系統也可以作為路線圖，幫助評估電動汽車充電器在面對威脅時的彈性。
除了簡單地升級現有技術以提高網絡安全性之外，其他人還建議從一開始就將安全性集成到新的軟件和硬件中。汽車安全公司GuardKnox的首席收入和投資官Jillian Goldberg稱這種方法為“設計安全”，并補充說這將有助于建立對充電基礎設施的更多信任，充電基礎設施的漏洞眾所周知，可能會減慢部署速度。
“我想說，如果我給你一輛車并說，你的剎車在99%的時間里都會起作用，你會開那輛車嗎？可能不會，”她說。“如果我要給你一個充電站，并說這在99%的時間里都是安全的，你會使用那個充電站嗎？可能不會。”
除了定期升級電動汽車充電技術外，全球監管機構還應努力使盡可能多的基礎設施標準化，使其具有互操作性，并至少在硬件和軟件方面提供最低標準的保護，以防止攻擊. 例如，申 NEV 資金的供應商將被要求滿足最低標準和要求，聯邦政府認為這是有助于緩解網絡安全問題的努力的一部分。
在新加坡，供應商必須遵守在該國銷售和使用的物聯網設備的網絡安全指南——這是電動汽車基礎設施的一個很好的模式，因為如果制造商希望能夠銷售他們的產品，它會激勵他們遵守這些規則。
專家建議，美國、英國、加拿大和澳大利亞等領先國家甚至可以就電動汽車基礎設施的網絡安全標準展開合作。型號有所不同，但這些國家的制造商基本上“銷售相同的套件”。標準還可以幫助政府應對攻擊。如果有用于EV充電的通用基礎設施或軟件，技術人員可以快速評估損害，而不管制造商是誰。
國際標準化組織已經通過指定術語和定義以及一般要求，采取措施制定電動汽車充電安全標準。而在美國國內，國家標準技術研究院就標準化的話題進行了多次對話。NIST發言人沒有回應進一步評論的請求。
隨著電動汽車充電基礎設施的繼續推出，網絡安全是否會被視為優先事項，業界持謹慎的懷疑態度，直到發生重大網絡攻擊——或“黑天鵝事件”——才會迫使公司重新評估他們的優先事項。
在Jay Johnson的論文中談到了汽車智能充電樁的網絡安全防御和強化建議，比如EV到EVSE接口的加固、 EV操作員界面加固、 EVSE互聯網加固、EVSE維護接口和硬件/軟件加固等。歐美等國也紛紛加快了這一新興領域網絡安全建設的步伐。
最近有多個舉措推動建立電動汽車充電的網絡安全要求。由美國DOT Volpe國家運輸系統中心為國家汽車貨運協會牽頭的一項主要活動為中型和重型車輛的XFC站制定了廣泛的要求清單。這些要求是由利益相關者創建的，包括聯邦機構、電動卡車原始設備制造商、充電站供應商和公用事業，涉及設計、日志記錄、生命周期和治理、密碼學、通信、保證、強化、彈性和安全操作等領域——所有這些都映射到STRIDE 安全模型中用于證明的特定威脅和方法。
歐盟多關鍵性敏捷可靠進化開放系統 (AMADEOS) 項目的一個主要組成部分涉及將荷蘭電網運營商（Enexis、Liander和Stedin）、ElaadNL和歐洲網絡安全網絡 (ENCS) 聯合起來制作多個網絡安全參考文件，其中涵蓋風險評估、安全架構、EV充電基礎設施的采購和安全要求，以及EV充電站的安全測試計劃。另一份ElaadNL委托的ENCS威脅報告建立了安全要求，涵蓋設計考慮、產品生命周期和治理、密碼學、通信、系統強化、彈性、訪問控制和日志記錄。
注【5】：據IEA數據，全球充電樁保有量從2014年的85.69萬個迅速增長至2021年的1573.39萬個，期間年均復合增速為51.55%。截至2021年底，全國新能源汽車保有量784萬輛。車樁比是衡量充電樁建設程度的關鍵指標之一,2017-2021年我國新能源車樁比在3：1上下浮動，并整體呈緩慢下行趨勢，但仍存在較大的缺口。據中國充電聯盟數據，截至2021年底，全國充電樁保有量達261.7萬臺，同比增長55.68%。2015-2021年，全國充電樁保有量從6.6萬臺提升至261.7萬臺，7年復合增長率達84.66%。2021年中國充電樁市場規模約為785.1億元，同比上升55.68%。預計2025年中國充電樁市場規模有望達到近2500億元，2021-2025年期間CAGR超33%。
