No acabo de entender la diferencia. Una cosa es el protocolo de carga y otra el cómo gestionas en la plataforma el cobro. Es como pagar con tarjeta, cheque o metálico por un lado y como llevas la contabilidad por otro. 
Vamos, que entre coche y cargador es una cosa y entre cargador y plataforma de gestión otra. Imagino que en ambos casos el coche utilizará un identificador único (sea MAC o certificado digital), en ambos casos se verificará que dicho identificador es legítimo y ya luego se atiende la solicitud de carga llamando a la plataforma de gestión que pueden ser totalmente diferentes.
Vamos a allá con la clase:
A) Autocharge utiliza la dirección MAC junto a un id del vehículo para identificar el vehículo al cargador y poder gestionar la facturación
B) Plug & Charge utiliza certificados digitales para identificase, estos se basan en el uso de claves de cifrado asimétrico (Publico-Privada) tanto por parte del cargador como el vehículo
La MAC es un registro de 6 bytes que se graba en el cargador del vehículo (es el mismo que se utiliza en las tarjetas de red ya sean cable o wifi). Es el equivalente al número de bastidor que se graba fisicamente en la chapa del chasis. En algún momento a través de la app asocias esa MAC a tu cuenta de facturación.
El problema de seguridad con la MAC radica en que en muchos dispositivos este valor es modificable por software dando lugar a lo que se denomina ‘MAC spoofing’. Es decir hacerse pasar por otro (en este caso otro coche para facturar la carga a otro vehículo).
Por supuesto los vehículos disponen de hardware que trata de impedir que se pueda cambiar la MAC pero el gran problema del MAC Spoofing es que este valor se trasmite por el medio de comunicación como un campo de la la cabecera del protocolo, por lo que se puede cambiar en el propio medio de transmisión con lo que no es preciso ni hackear el vehículo, basta con poner entre el conector CCS y el coche un dispositivo que realize el MAC spoofing según pasa.
El problema es de confianza, La MAC se trasmite al cargador de forma publica por lo que es como si dieras tu DNI o el numero de tu tarjeta a cualquiera que se conectase a tu coche. Si tu confías plenamente en los cargadores, no hay grandes problemas pero en el momento que el cargador fuera malicioso o hubiera sido hackeado, tu identificación habría quedado expuesta y con un simple dispositivo con un ESP32 podrías facturar las cargas a quien te diera la gana.
De hecho, actualmente los dispositivos como móviles y algunos vehículos, para protegerse de estos ataques utilizan MACs volatiles (es decir cambian de MAC cada vez que te conectas ) para evitar ser identificados al conectarte a un dispositivo de red y conseguir cierta privacidad , esto hace que no funcionen con Autocharge.
Vamos ahora con el método B basado en certificados.
Se basan en la criptograma asimétrica, desarrollada en los años 70 (Diffie-Hellman) para solventar el problema del intercambio seguro de claves, para ello se usan dos claves de cifrado ligadas entre sí:
- Clave Privada: que como su nombre indica solo debes tener tú (no debe salir nunca del dispositivo, esto se garantiza con chips específicos). Esta clave sirve tanto para cifrar como para descifrar un mensaje.
- Clave Pública: como su nombre indica se va a distribuir públicamente y no supone ningún problema de seguridad que cualquiera la conozca ya que es una clave de cifrado asimétrico, los datos cifrados por esta clave no pueden ser descifrados por esta clave pública. Unicamente la clave privada puede descifrar un mensaje cifrado con la clave pública.
De esta forma si alguien quiere enviarme un mensaje seguro yo le doy mi clave pública, cifra el mensaje con esa clave, lo trasmite por un canal inseguro y solo yo puedo acceder al contenido ya que soy el único que tiene la clave que es capaz de descifrarlo.
Y esto se aplica para solventar los dos problemas de la facturación:
- Problema 1 Confianza de la conexión: los datos van cifrados con las claves públicas y solo mi vehículo y el cargador tienen acceso a los mismos
- Problema 2 Identificación : asegurar que quien se ha conectado es mi coche y no otro, y también que el cargador es de fiar.
Esta segunda parte se basa en el uso de certificados, que usan el concepto de Firma que es tan simple como cifrar la clave pública junto a la información de identificación con una clave privada, pero no la tuya si no la de una Autoridad Certificadora (CA). Por ejemplo la Fabrica de la Moneda y Timbre es en España una Autoridad Certificadora, pero hay muchas más a nivel internacional. Es alguien que garantiza que esa clave pública te corresponde solo a ti y por tanto te liga a una cuenta de facturación.
Cuando el vehículo se conecta al cargador, éste recibe el certificado que incluye tanto la Firma cifrada como la clave pública y los datos de identificación tanto del vehículo como los de la autoridad que generó el certificado en texto plano. A continuación solicita a la CA la clave publica que permite descifrar la Firma (datos cifrados con la clave privada que solo dispone la CA). Si no se puede descifrar o los datos descifrados no coinciden con los que figuran en el certificado se rechaza como manipulado. De este modo se verifica que el coche es quien dice ser y le corresponde esa clave pública generada por una autoridad reconocida. Igualmente el coche verifica que el cargador es de fiar (su clave publica no ha sido hackeada).
El hackeo es imposible ya que la clave publica del vehículo/cargador va cifrada mediante la clave privada del la CA y solo ésta dispone del par de claves Publica/Privada para descifrarla con su clave publica asociada, si la clave publica del vehículo/cargador transmitida difiere de la versión que esta cifrada entonces la rechaza.
Como podéis ver el proceso es mucho mas complejo y precisa comunicarse con una CA, esto hace que el hardware necesario sean más costoso y ademas la CAs cobran por el servicio prestado de expedir y verificar los certificados. A cambio garantiza una mayor seguridad frente a un intento de fraude
