OCPP Veilige inrichting

Wat wordt er feitelijk beschermd

Drie afzonderlijke risico's worden samengebracht als beveiliging, en ze hebben verschillende antwoorden.

1. 1

   Iemand leest het verkeer

   Sessiegegevens, identificatiegegevens en opdrachten in duidelijke tekst op een netwerk waarover u geen controle heeft. Opgelost door transportversleuteling.

2. 2

   Iets imiteert de oplader

   Een apparaat dat claimt oplaadpunt 47 te zijn en sessies rapporteert die nooit hebben plaatsgevonden, of opdrachten absorbeert die bedoeld zijn voor een echte eenheid. Opgelost door de oplader die zijn identiteit bewijst.

3. 3

   Iets imiteert de backend

   De serieuzere. Een oplader die verbinding maakt met alle antwoorden die kunnen worden ontgrendeld, de configuratie ervan kan worden gewijzigd of firmware moet worden geaccepteerd. Opgelost doordat de oplader de server verifieert in plaats van deze te vertrouwen.

De derde wordt het vaakst opengelaten, omdat een oplader die elke server vertrouwt perfect werkt totdat iemand hem op een andere richt.

De OCPP-beveiligingsprofielen

OCPP 2.0.1 definieert beveiligingsprofielen die op elkaar voortbouwen. De nummering is van belang bij aanbestedingen, dus het is de moeite waard om te weten wat elke aanbesteding u daadwerkelijk oplevert.

Profiel 1 is aanzienlijk slechter dan de andere twee en bestaat grotendeels voor beperkte legacy-zaken. Profiel 2 is de pragmatische positie voor de meeste vloten. Profiel 3 is wat een nutsbedrijf of een nationaal systeem vaak vereist, en het is degene die de leveringsvraag afdwingt, omdat een clientcertificaat ergens vandaan moet komen.

Waar identiteit vandaan komt

Een lader kan geen eigen vertrouwde identiteit genereren. Iets moet daarvoor instaan, en de enige plek waar dat onder gecontroleerde omstandigheden kan gebeuren is de productie.

• Er wordt een sleutelpaar gegenereerd, idealiter op het apparaat, zodat de privésleutel nooit ergens anders bestaat
• Er wordt een certificaat uitgegeven tegen die sleutel door een certificeringsinstantie die de backend zal vertrouwen
• De identiteit van het apparaat wordt aan de hand van het serienummer vastgelegd in een productiedocument
• De vertrouwensankers die de oplader zal gebruiken om te verifiëren dat servers tegelijkertijd zijn geïnstalleerd

Als u dit ter plaatse doet, betekent dit dat u een ingenieur nodig heeft met een laptop en een privésleutel in een bestand, wat geen gecontroleerde toestand is. Het is ook niet schaalbaar en levert precies het auditgat op waar een klant van nutsbedrijven naar zal vragen.

Sleutelopslag en wat een veilig element koopt

Een privésleutel in Flash is een privésleutel die kan worden geëxtraheerd door iedereen die een eenheid verkrijgt, en eenheden zijn verkrijgbaar. Of dat ertoe doet, hangt af van wat de identiteit controleert.

1. 1

   Softwaresleutelopslag in flash

   Goedkoopste. Geschikt als de gevolgen van een gestolen identiteit beperkt blijven tot de sessies van één oplader. Niet geschikt als hetzelfde sleutelmateriaal in een wagenpark voorkomt.

2. 2

   Veilig element of veilige enclave

   De privésleutel wordt binnenin gegenereerd en kan niet worden uitgelezen. Het signeren gebeurt op de chip. Voegt de kosten per eenheid toe en verwijdert de hele klasse van sleutelextractieaanvallen.

3. 3

   Sleutels per eenheid, hoe dan ook

   De mislukking die een gecompromitteerde eenheid in een gecompromitteerde vloot verandert, is een gedeelde sleutel. Wat de opslag ook is, sleutels moeten uniek zijn per apparaat.

Het bootstrap-probleem

Elk provisioningschema moet een lastige vraag beantwoorden: hoe krijgt een apparaat dat nog geen identiteit heeft, er een, via een netwerk, zonder dat die eerste uitwisseling het zwakke punt is?

• Volledige levering bij vervaardiging, dus geen eerste verbinding zonder identiteit. Het is het schoonst en vereist dat de fabriek toegang heeft tot de certificeringsinstantie
• Verzend met een fabrikantcertificaat en wissel dit bij de eerste verbinding in voor een operatorcertificaat. Praktisch, en het uitwisselingsvenster moet worden geauthenticeerd door het fabrikantcertificaat in plaats van opengelaten
• Bepaling ter plaatse onder toezicht. Werkbaar op kleine schaal, maar het schaalt niet, en het laat de bovengenoemde auditkloof achter

Welke keuze ook wordt gemaakt, het venster waarin een eenheid wordt vertrouwd zonder iets bewezen te hebben, moet begrensd, gelogd en afsluitbaar zijn. Een bootstrap die voor altijd open blijft, is een permanente deur.

Hoe dit eruit ziet op een productielijn

Bevoorrading is een productiestap met een mal, een record en een faalmodus, en niet iets dat een ingenieur uiteindelijk doet.

• Een programmeer- en inrichtingsmal die sleutels genereert of injecteert en vertrouwensankers installeert
• Een record dat serienummer aan identiteit koppelt, wat latere intrekking mogelijk maakt
• Een verificatiestap, omdat een eenheid die niet wordt ingericht, een eenheid is die faalt op de locatie van een klant
• Gecontroleerde toegang tot de certificeringsinstantie vanuit de fabriek, wat eerder een kwestie van proces- en toegangscontrole is dan een technische kwestie
• Een gedefinieerd pad voor het opnieuw inrichten van een bord dat is gerepareerd of vervangen