Was sind OCPP-Sicherheitsprofile?

OCPP-Sicherheitsprofile legen fest, wie eine Ladestation und ein Ladestationsmanagementsystem (CSMS oder CPMS) ihre OCPP-Verbindung authentifizieren und schützen. Sie beziehen sich auf die Verbindung zwischen Ladestation und Managementsystem. Sie sichern jedoch nicht für sich genommen die gesamte Ladestation, das Backend, die mobile App oder das gesamte Netzwerk.

 

OCPP 2.x verwendet drei benannte Profile: Profil 1, 2 und 3. Einige OCPP 1.6-Tools zur Sicherheitserweiterung bezeichnen außerdem Profil 0 als ungeschützten Ausgangszustand. Dieses Profil verfügt weder über TLS-Transportsicherheit noch über Basic-Authentifizierung und sollte nicht als sichere Feldkonfiguration betrachtet werden. Im OCPP 1.6-Sicherheits-Whitepaper wird erläutert, wie spätere Sicherheitsfunktionen zu OCPP 1.6-J hinzugefügt werden können.

Sicherheitsprofil 1: Basisauthentifizierung ohne TLS

Profil 1 nutzt eine unverschlüsselte WebSocket-Verbindung mit HTTP-Basic-Authentifizierung. Mit dem Passwort kann sich das Ladegerät gegenüber dem CPMS identifizieren, das CPMS wird jedoch nicht gegenüber dem Ladegerät authentifiziert, und der Datenverkehr ist während der Übertragung nicht geschützt.

 

Die Open Charge Alliance stellt in ihrem „OCPP Security Operations Guide“ fest, dass Profil 1 für sich genommen nicht sicher ist. Es kann zwar hinter einem korrekt konfigurierten privaten Netzwerk oder VPN betrieben werden, doch hängt der Schutz in diesem Fall von diesem Netzwerk ab. Bei Bereitstellungen mit Internetanbindung sollte TLS verwendet werden.

Sicherheitsprofil 2: TLS plus Basisauthentifizierung

Profil 2 nutzt eine sichere WebSocket-Verbindung über TLS. Das Ladegerät überprüft das Zertifikat des CPMS-Servers, die Verbindung ist verschlüsselt und das Ladegerät authentifiziert sich mit einem Passwort.

 

Jedes Ladegerät sollte über eindeutige Anmeldedaten verfügen. Die Betreiber benötigen zudem einen kontrollierten Prozess für die Erstkonfiguration, die Passwortrotation, Änderungen der Zertifizierungsstelle sowie die Wiederherstellung bei Verlust der Anmeldedaten. Ein flottenweit gemeinsames Passwort schmälert den Nutzen des Profils.

Sicherheitsprofil 3: Gegenseitiges TLS mit Client-Zertifikaten

Profil 3 fügt ein Client-Zertifikat für die Ladestation hinzu. Das Ladegerät überprüft das CPMS-Zertifikat, während das CPMS das Zertifikat des Ladegeräts überprüft. Dies gewährleistet eine stärkere gegenseitige Identitätsprüfung als ein Passwort allein.

 

Der Kompromiss liegt in der Verwaltung des Zertifikatslebenszyklus. Das Projekt benötigt eine Public-Key-Infrastruktur, eine sichere Speicherung der privaten Schlüssel sowie erprobte Prozesse für die Ausstellung, Verlängerung, das Ablaufen, den Widerruf und den Ersatz von Zertifikaten. Selbst ein stärkeres Profil kann im operativen Einsatz versagen, wenn diese Prozesse unklar sind.

Inwiefern dies für amina charging gilt

Aminas OCPP 1.6j-Dokumentation dort heißt es, dass LTE-WebSocket-Verbindungen TLS 1.2 oder höher verwenden, die HTTP-Basic-Authentifizierung unterstützt wird und die Anmeldedaten des Administrators im Produktivbetrieb bereitgestellt werden. Das CSMS kann das Passwort später über ChangeConfiguration unter Verwendung der AuthorizationKey Einstellung.

 

In der Dokumentation werden außerdem support von Client-Zertifikaten support signierte OTA-Firmware-Updates aufgeführt. Dem CSMS-Integrationsleitfaden zufolge können Zertifikate und der ausgewählte CSMS-Endpunkt vor der Auslieferung bereitgestellt werden. Netzbetreiber sollten dennoch das aktivierte Sicherheitsprofil, die Zertifikatskette und den Erneuerungsprozess für den jeweiligen Auftrag und die jeweilige Firmware überprüfen. Diese dokumentierten Bausteine allein belegen nicht, dass bei jeder Bereitstellung das Sicherheitsprofil 3 verwendet wird.

Welches OCPP-Sicherheitsprofil sollten Betreiber vorschreiben?

Bei einer Ladestation mit Internetanbindung stellt Profil 2 in den meisten Projekten das praktische Minimum dar. Profil 3 kann sinnvoll sein, wenn eine gegenseitige Zertifikatsauthentifizierung erforderlich ist und der Betreiber oder CPMS-Anbieter den Zertifikatslebenszyklus zuverlässig verwalten kann.

 

OCPP 2.x-Implementierungen erfordern das Modell einer gesicherten Verbindung anstelle eines ungesicherten Fallback-Modells. Die Open Charge Alliance hat zudem das Sicherheitsprofil 2 in die aktualisierten Zertifizierungsanforderungen für OCPP 1.6 Core aufgenommen. Die Zertifizierung und support des Profils support zwar Unsicherheiten, ersetzen jedoch nicht die Prüfung der konkreten Kombination aus Ladegerät, Firmware und CPMS.

Was sollte vor der Bereitstellung überprüft werden?

  • die vom Ladegerät und vom CPMS verwendete OCPP-Version und Sicherheitserweiterung;
  • das höchste unterstützte Profil und das in der Produktion aktivierte Profil;
  • wer für die Verwaltung, Bereitstellung und den Wechsel von Passwörtern und Zertifikaten zuständig ist;
  • wie mit dem Ablauf von Zertifikaten, deren Widerruf und Zeitfehlern umgegangen wird;
  • ob die Überprüfung des Hostnamens und des Zertifikats erzwungen wird;
  • ob eine fehlgeschlagene sichere Verbindung zu einem unsicheren Downgrade führen kann;
  • wie Sicherheitsereignisse und fehlgeschlagene Authentifizierungsversuche protokolliert werden; und
  • ob Firmware, Diagnosefunktionen und andere damit verbundene Kanäle geschützt sind.

Halten Sie diese Entscheidungen in der Integrationsspezifikation fest. Die Angabe „Unterstützt OCPP“ reicht nicht aus, um festzustellen, wie die Verbindung in der Praxis gesichert ist.