Cargar tu coche eléctrico no es tan seguro

En los últimos cinco años, el coche eléctrico ha pasado de considerarse futurista y poco práctico a ser algo que deseas. Con la significante caída de precios, el número de ventas de estos coches ascendió a 2 millones a principios de 2017, y sigue creciendo. La infraestructura de coches eléctricos se está desarrollando muy rápido, por lo que ya no es tan raro encontrar puntos de recarga por tu zona.

Pero, como suele suceder con las oportunidades económicas en rápido desarrollo, los proveedores llegan para llevarse todo lo posible, sin pensar mucho en lo que puede pasar después. Por supuesto, hablamos de seguridad, bueno, en este caso, de inseguridad. Es poco probable que un cargador eléctrico te pueda dañar, pero la verdad es que puede afectar a la ciberseguridad. A pesar de haber puesto en práctica los conceptos básicos: pagar y cargar, no están muy preocupados por la integridad de tu dinero y tus datos personales. Mathias Dalheimer habló del tema en el Chaos Communication Congress 34, en su plática sobre las vulnerabilidades en la infraestructura de los coches eléctricos.

La facturación se realiza como norma general a través del protocolo abierto de punto de carga (Open Charge Point Protocol, OCPP), que regula las comunicaciones entre el sistema de facturación y el punto de recarga. Este último envía una solicitud para identificarte al sistema de facturación, que lo aprueba y se lo comunica al punto de recarga, entonces la estación empieza la recarga. Después, se calcula la cantidad de electricidad y se envía al sistema para que te lo pueda cobrar a final de mes.

Por el momento no hay nada nuevo ni sorprendente, ¿verdad? Bueno, vamos a profundizar en el tema y encontrar dónde empiezan los problemas.

Problemas por todas partes

Dalheimer probó diferentes componentes del sistema y descubrió que todos ellos tenían problemas de seguridad. El primero fue el token de ID, hecho por proveedores terceros y, ¡sorpresa!, la mayoría de ellos no asegura tus datos. Se trata de tarjetas NFC (comunicación de cercano) muy simples que no cifran ni tu identificación ni nada que contengan. El problema de la tarjeta continúa. Para empezar, son muy fáciles de programar, lo cual demostró Mathias cuando copió su propia tarjeta y consiguió realizar una recarga con la copia. Para una persona experta en el tema resultaría muy fácil programar unas cuantas tarjetas, con la esperanza de dar con un número de cuenta que funcionara. Mathias no lo intentó por razones éticas.

Los proveedores de recargas facturan una vez al mes, si la cuenta del propietario del automóvil se ve comprometida de esa manera, no percibirán que algo está mal hasta que llegue la factura mensual.

Otro asunto turbio en el proceso es que la mayoría de las estaciones usan la versión de 2012 del protocolo OCPP, una versión muy obsoleta basada en HTTP. Y ya conocemos todos el problema de HTTP, que no cifra las transacciones. Mathias demostró lo fácil que es configurar un ataque man-in-the-middle retransmitiendo la transacción.

Además, las dos estaciones que examinó Mathias contaban con puertos USB. Con tan solo conectar una memoria flash vacía, podrás copiar los datos de acceso y de configuración. A través de esta información, es fácil acceder al usuario y a la contraseña que solicita el servicio OCPP y, por si acaso, los números token de los anteriores usuarios, lo que, si recuerdas, es todo lo necesario para poder copiarlo.

Y lo que es peor, si se modifican los datos de la unidad y luego se inserta el USB en el punto de carga, este último se actualizará automáticamente y considerará los datos en la unidad como su nueva configuración. Esto da lugar a una gran variedad de nuevas posibilidades para los hackers.

En resumen, los ciberdelincuentes pueden: coleccionar números de identificación de las tarjetas, copiarlas y usarlas para transacciones que pagarán los verdaderos titulares de las cuentas, retransmitir las solicitudes desactivando el punto de recarga, conseguir acceso a la raíz de la estación y hacer lo que les plazca. Y todo esto porque los proveedores deciden no proteger nuestra seguridad.