黑客可能利用电动汽车充电桩攻击电网

这篇文章最初由 Grist 发布，Grist 是一家非营利媒体机构，专注于报道气候、正义和解决方案。本文与 WIRED 共同发布。 由于他的电动 Kia EV6 电力不足，Sky Malcolm 驾车来到印第安纳州特雷霍特附近的一组快速充电桩进行充电。当汽车开始充电时，他注意到旁边的充电桩。其中有一个充电桩特别显眼：它没有像其他 Electrify America 充电桩那样显示商业化的欢迎屏幕，而是展示了一张拜登总统竖起手指的照片，配文是“这是我的功绩！”这个画面是总统批评者去年在油价飞涨时，频繁张贴在加油站上的同一条恶搞图片，在屏幕上重复了20次。 “说实话，这并不让人感到意外，”Malcolm 回忆去年秋天发现这个攻击时说道。这种恶作剧越来越频繁。在俄乌战争爆发初期，黑客篡改了俄罗斯莫斯科和圣彼得堡之间高速公路沿线的充电桩，向用户显示反对普京的信息。差不多同时，在英国，网络恶作剧者还让公共充电桩播放色情内容。就在今年，YouTube 频道 The Kilowatts 的主播上传了一段视频，展示他们成功控制了 Electrify America 充电桩的操作系统。 虽然这些入侵目前看来还相对无害，但网络安全专家表示，如果落入真正不法之徒之手，后果将严重得多。随着企业、政府和消费者争相安装更多充电桩，相关风险只会越来越大。近年来，安全研究人员和白帽黑客发现，与互联网连接的家庭和公共充电设备中存在广泛的漏洞，可能会暴露客户数据、威胁 Wi-Fi 网络，甚至在最糟糕的情况下导致电网瘫痪。鉴于这些风险，从设备制造商到拜登政府，所有人都在忙着加固这些日益普及的设备，并制定安全标准。 “这是一大问题，”桑迪亚国家实验室的网络安全研究员 Jay Johnson 说。“如果我们无法正确处理，这可能给这个国家带来非常严重的灾难。” 电动汽车充电桩安全漏洞并不难找到。Johnson 和他的同事在去年秋天发表于《能源》期刊的一篇论文中总结了已知的缺陷。他们发现，从黑客可能追踪用户到让家庭和企业 Wi-Fi 网络面临入侵风险的漏洞，应有尽有。另一项去年发表在《计算机与安全》期刊上的研究由康考迪亚大学主导，发现超过12类“严重漏洞”，包括远程操控充电器开关以及部署恶意软件的能力。 当英国安全研究公司 Pen Test Partners 花了18个月分析七种流行的电动汽车充电桩型号后，发现其中五种存在严重漏洞。例如，他们发现热门的 ChargePoint 充电网络中存在一个软件漏洞，黑客可能借此获取敏感用户信息（研究团队在尚未获取数据时就停止了挖掘）。由英国 Project EV 销售的一个充电桩甚至允许研究人员覆盖其固件。 Pen Test Partners 的联合创始人 Ken Munro 表示，这类漏洞可能会让黑客访问车辆数据或消费者的信用卡信息。但对他而言，最令人担忧的弱点是，正如康考迪亚大学的研究显示，他和他的团队发现许多设备允许黑客随意启动或停止充电。这可能会导致沮丧的司机在需要时无法获得满电量，但真正危险的可能是这些影响的叠加。他说：“这不只是你的充电桩，而是所有人的充电桩。” 许多家庭用户即使没有在充电时也会将汽车连接到充电桩上。例如，他们下班后可能会插上电，设定车辆在夜间电价较低时充电。如果黑客同时切换数以千计甚至数以百万计的充电桩开关，可能会破坏甚至瘫痪整个电力网络。 Munro 说：“我们无意中创造了一种国家可以用来攻击我们电网的武器。” 美国曾于2021年瞥见这种攻击的可能后果，当时黑客劫持了科洛尼尔管道公司，扰乱了全国汽油供应。该公司在支付了数百万美元赎金后，攻击才得以结束。 Munro 给消费者的首要建议是不要将家庭充电桩连接到互联网，这应该可以防止大多数漏洞被利用。然而，大多数保护措施必须来自制造商。“提供此类服务的公司有责任确保它们的安全，”电子前沿基金会（Electronic Frontier Foundation）的高级科技专家 Jacob Hoffman-Andrews 说。“某种程度上，你必须信任你插电的设备。” Electrify America 拒绝了采访请求。对于 Malcolm 和 The Kilowatts 记录的问题，发言人 Octavio Navarro 在一封电子邮件中表示，这些事件是孤立的，并且已经迅速采取了修复措施。在声明中，公司表示：“Electrify America 不断监控并加强措施以保护我们自己和我们的客户，并专注于风险缓解的充电桩和网络设计。” Pen Test Partners 在其研究中指出，公司对修复其发现的漏洞普遍作出了积极响应，ChargePoint 等公司的漏洞在24小时内得到了修复（尽管一家公司在尝试修复旧漏洞时引入了新的漏洞）。Project EV 没有回应 Pen Test Partners 的请求，但最终实施了“强身份验证和授权”。 然而，专家们认为，该行业早该摆脱这种“打地鼠”式的网络安全方法了。 Johnson 说：“每个人都知道这是一个问题，而且很多人正在努力寻找最好的解决方案。”他补充道，他已经看到一些进展。例如，许多公共电动汽车充电桩已经升级为更安全的数据传输方式。但对于一套协调的统一标准，他指出：“目前并没有太多法规。” 在改变这一点方面，已经有些进展。2021年的两党基础设施法案包括75亿美元资金，用于扩大美国的电动汽车充电网络，而拜登政府也将网络安全纳入了这项倡议。去年秋天，白宫召集制造商和政策制定者，讨论如何确保日益重要的电动汽车充电设备得到妥善保护。 白宫国家网络总监办公室的战略主管 Harry Krejsa 说：“我们的关键基础设施需要达到基本的安全和韧性水平。”他还强调，加强电动汽车网络安全不仅关乎风险缓解，也是关于建立信任。 他说，安全系统“给了我们对下一代数字基础的信心，让我们能够比以前更进一步。” 今年早些时候，联邦公路管理局最终颁布了一项法规，要求各州对基础设施法案资助的充电桩实施“适当的”网络安全战略。但 Johnson 指出，该法规并未涵盖在该扩展计划之外安装的设备，更不用说全国范围内已有的10多万个充电桩了。此外，他说，各州并未提供太多关于他们将采取何种措施的详细信息。 他说：“如果你深入研究各州的计划，你会发现实际上它们对网络安全的要求非常薄弱。”“我看到的绝大多数计划只是说他们会遵循最佳实践。” 目前，“最佳实践”到底意味着什么仍不明确。Johnson 及其桑迪亚的同事发布了对充电桩制造商的建议，他指出，国家标准与技术研究院（NIST）正在制定快速充电安全框架，这可能有助于塑造未来的监管。但最终，他希望看到类似2022年《保护和改造网络安全医疗保健法案》的法规，该法案是面向电动汽车的。 Johnson 说：“法规是一种推动整个行业提升其基本安全标准的方法。”他以其他国家最近的法律为例，建议美国的政策制定者可以以此为模型或起点。 例如，去年英国推出了一系列电动汽车充电桩的要求，如增强加密和身份验证标准、篡改检测警报以及随机延迟功能。 后者意味着充电桩在停电或受到攻击后重新启动时，需在最多10分钟内随机延迟启动。 Munro 说：“这样就不会同时出现尖峰负载，这是件好事。”“它消除了对电网的威胁。” Johnson 对行业的发展方向持乐观态度，尽管其进展速度远未达到理想状态。 他说：“我无法想象严格的法规不会出现，这只是时间问题。” 他当然不想制造不必要的恐慌，而是希望逐步施加压力以推动改进。 “这确实令人担忧，”他说，“但不必危言耸听。”