Un investigador informático, Ryan Castellucci, logró obtener control sobre una gran cantidad de sistemas de energía mediante un error de seguridad en la plataforma GivEnergy. Al adquirir paneles solares y un sistema de almacenamiento para su casa en Londres, Castellucci descubrió que podía acceder a una API con una clave RSA de 512 bits, lo cual le permitió controlar aproximadamente 60.000 sistemas instalados por la empresa.
Acceso no autorizado
Castellucci obtuvo acceso a la cuenta administrativa de GivEnergy, lo que le otorgó el control total sobre los productos conectados a la nube de la empresa. Aunque no utilizó este acceso para obtener información personal de otros clientes, se dio cuenta de que podía manipular la infraestructura energética mediante una API con seguridad débil.
Factorización de claves RSA
La causa del problema fue una clave criptográfica RSA de 512 bits. Castellucci logró factorizarla utilizando recursos en la nube, lo que le permitió obtener el módulo necesario para generar una clave privada y acceder a los sistemas. El costo fue de aproximadamente U$S 70 y se completó en menos de 24 horas.
Responsabilidad de las bibliotecas criptográficas
Castellucci señaló que la responsabilidad no recaía directamente sobre los ingenieros de GivEnergy, sino sobre los creadores de bibliotecas de código en las que confiaban para implementar procesos criptográficos complejos. Aunque RSA de 512 bits es considerado inseguro, se sigue utilizando en algunas bibliotecas como OpenSSL y Go.
Impacto potencial
El acceso obtenido por Castellucci le permitió controlar una central eléctrica virtual compuesta por decenas de miles de baterías conectadas a la red. Esto equivale a aproximadamente 200 megavatios de capacidad programable, suficiente para abastecer a unos 40.000 hogares.
Respuesta de GivEnergy
GivEnergy respondió rápidamente al informe de Castellucci y introdujo una solución dentro de las 24 horas posteriores a la revelación de la debilidad. La compañía afirmó que la clave débil nunca había sido explotada maliciosamente.
Conclusión
Castellucci destacó el riesgo potencial de utilizar bibliotecas obsoletas que aún permiten claves débiles. Aunque GivEnergy tomó medidas para resolver la vulnerabilidad, el incidente resalta la importancia de mantener actualizadas las prácticas de seguridad en sistemas conectados a la nube.