Use Case Ladestationen und Ladekabel

Bei der Cyber Security Prüfung einer Ladestation hat softScheck für Kunden eine Reihe von Sicherheitslücken identifiziert und darüber hinaus bestätigt, dass das Gerät schließlich vor weiteren Angriffsvektoren geschützt ist.

Zunehmend werden Ladestationen von Kriminellen ‚geknackt‘, etwa mittels kopierter Karten. Dies geschieht, weil die Sicherheitsmaßnahmen schlecht, falsch oder generell unzureichend implementiert sind.

Täter haben dazu wohl in vielen Fällen Daten von Zahlungs- und Tankkarten per Skimming ausgespäht – der bisher bekannte Schaden beläuft sich auf einen mittleren 6-stelligen Euro-Betrag. Die kopierten Karten werden in ganz Deutschland sowie im benachbarten Ausland eingesetzt.

softScheck prüft Ladestationen (OT und IoT) seit Jahren erfolgreich. Dazu wird der Quellcode des Stationen überprüft – auch dann, wenn der Hersteller das schon gemacht hat. Eingesetzt werden dabei neben Vulnerability-Scannern weltweit führende Industriestandards wie BSI, ISSAF, NIST 800, OSSTMM, OWASP, PCI, PTES sowie weitere in der jeweils jüngsten Version.

Schnittstellen werden auf Validierungsfehler hin untersucht. Ein starker Fokus liegt schließlich auf manuellen Tests der Businesslogik und Rechteverwaltung der Anwendungen, die durch (automatisierte) Tools nicht erfasst werden.

Im Rahmen des proprietären ISO 27034-basierten softScheck Security Testing Process werden die folgenden 6 Methoden eingesetzt:

• Risiko-Analyse und Vulnerability-Scan
• Threat Modeling der Sicherheitsarchitektur inkl. des Technology readiness Level (TRL)
• Static Code Analysis (Quellcode-Analyse)
• Penetration Testing
• Dynamic Code Analysis (Fuzzing)
• Regression Testing Grundsätzlich werden nur 30 % aller identifizierten Angriffspunkte Tool-gestützt erkannt – also 70% manuell!

In konkreten Security Tests konnte softScheck bei der Security-Prüfung kritische Sicherheitslücken identifizieren, die hier wegen ihrer Vielzahl bei den Geräten und Systemen nicht (vollständig) aufgeführt werden.

Die Bewertung der Schwere der Sicherheitslücken erfolgt mit einer benutzerfreundlichen mehrdimensionalen Risikomatrix anhand der Eintrittswahrscheinlichkeit (Likelihood) eines Angriffs und dem Schadensausmaß (Consequences) bei erfolgreicher Ausnutzung der Sicherheitslücke. Die Risikomatrix kann darüber hinaus als Basis für eine Priorisierung im Behebungsprozess verwendet werden. softScheck empfiehlt, alle identifizierten Sicherheitslücken und Konfigurationsfehler zeitnah zu beheben.

Empfehlungen

Zur Erhöhung des Sicherheitsniveaus empfiehlt softScheck dabei die nachfolgende Vorgehensweise:

Kurzfristig

• Keine selbst erstellten Zertifikate
• softScheck empfiehlt die Entfernung des hartkodierten Client-Secrets. Stattdessen sollte auf einen alternativen Autorisierungs-Ablauf, z. B. mittels OAuth, PKCE und einem externen Browser gesetzt werden.
• Input-Validierung mittels Allow-List für die Zertifizierungs-API nutzen
• Veraltete Komponenten zeitnah aktualisieren

Mittelfristig

Verwendung sicherer RFID-Karten unter Berücksichtigung der Software-Lieferkette (Software Supply Chain Security). Eine „Software Bill of Materials“ (SBOM) dokumentiert dabei, welche kommerziellen und freien Software-Bestandteile im untersuchten Software-Produkt enthalten sind. So werden Abhängigkeiten zu Komponenten Dritter transparent und weitere Angriffspunkte (Sicherheitslücken) identifiziert. SBOM gehören zu den zentralen Forderungen des europäischen Cyber Resilience Act (CRA).

Sollte es für die Sicherheitslücke keinen Patch geben, wird eine Empfehlung für die Behebung bzw. Risikominderung beschrieben. Dann werden ein oder mehrere Lösungsvorschläge zur Behebung der identifizierten Sicherheitslücken aufgeführt.