心脏起搏器被“控制”:黑客让好莱坞式科幻照进现实-华盟网

心脏起搏器被“控制”:黑客让好莱坞式科幻照进现实

华盟学院山东省第二期线下学习计划
圣犹达心脏起搏器存在漏洞   给用户生存带来风险

今年3月,MedSec发布的一篇报告说,圣犹达产品缺乏合理的加密和验证措施,可以导致心脏设备故障或快速消耗其电池电量。报告分析了4家主流厂商的医疗产品,披露圣犹达产品(包括可植入心脏设备和Merlin@home发射机)是最不安全的。MedSec声称已经开发出概念验证级别的漏洞利用程序。早在去年8月,Muddy Waters(浑水)公司及其安全商业合作伙伴MedSec Holdings公司发布了一系列令人震惊且引发激烈争议的发现。报告指出,圣犹达医疗公司的起搏器与植入式心脏装置中存在重大安全缺陷,并直接将结果公诸于众。Muddy Waters公司创始人卡森-布洛克(Carson Block)称“数十万美国民众生活在定时炸弹的威胁之下:圣犹达推出的心脏起搏器与除颤器易受到攻击入侵,并造成潜在的、可能致命的工作中断后果。”

1111

报告显示,圣犹达医疗公司(St. Jude Medical)制造的数万台心脏医疗设备很容易受到黑客攻击,重大安全漏洞在圣犹达的整个产品系列中随处可见,并且与该公司的Merlin@home家庭监控装置相关。并且该监控装置“极大程度地向网络攻击开放了圣犹达的生态系统”,而黑客几乎不费吹灰之力。报告中写道:“这些装置(Merlin@home)在Ebay上随处可得,售价一般不超过35美元。Merlin@home缺乏哪怕是最基本的安全措施,且如报告所述,可在圣犹达心脏医疗设备技术堆栈的每一个层级被利用。”

MedSec调查了圣犹达的心脏医疗设备,包括起搏器、植入式除颤器和再同步化治疗设备。调查得出的结论是,这些设备都易受攻击,导致设备故障、消耗救生设备电池的电量、或者将依赖设备生存的用户置于设备故障的风险中。

MedSec的总监和CEO Justine Bone在一份事先准备好的声明中写道:“我们对整个医疗设备行业进行了超过18个月的深入调查。相较于其他医疗设备制造商,圣犹达的漏洞让我们感到震惊。”当时,负责管理医疗设备的美国食品和药品管理局(FDA)拒绝对MedSec和Muddy Waters公布的报告进行评论。

攻击者可以轻松获得Root权限让心脏起搏器高频工作

222222

黑客可以轻松地对圣犹达医疗生态系统的通信协议和模拟部件进行逆向工程,操纵该公司的心脏医疗设备。声明认为圣犹达认证薄弱,缺少加密软件和代码,没有防篡改机制。MedSec报告了另一个造成安全问题的例子:Merlin@home装置与植入设备交互的50英尺射频范围。该范围应该缩小到英寸级,而不是英尺级。这样,黑客攻击时只能当面进行,而不是躲得远远的难以发现。

研究人员称,归功于马虎的安全措施,他们能获得Merlin@home的root权限。这些措施包括证书复用、SSH秘钥分享和静态凭据,允许未认证用户以root用户的权限登录到受影响系统。有了root权限之后,攻击者可以执行Crash攻击,广播一系列信号使得心脏医疗设备发生故障。Crash攻击可以远程禁用一个心脏医疗设备,并可能使一个植入设备“以危险的频率跳动”。

MedSec还描述了另一类理论上的攻击,称为“电池泄电攻击”。在这种攻击中,黑客利用Merlin@home装置发出信号,更快地消耗心脏医疗设备的电池电量。在攻击测试中,MedSec每24小时消耗一个植入设备约3%的电池电量。

Muddy Waters公司创始人卡森-布洛克认为;“最可怕的情景是黑客将能够发动大规模攻击,导致这些植入式设备发生故障。圣犹达医疗公司应该立即停止销售这些设备,直到开发出新的安全通信协议。”虽然警方已经开始对起搏器监控活动进行调查,但目前还没有出现该起搏器遭遇大规模黑客入侵的案例记录。

备受争议的MedSec公司 为什么不将漏洞通知厂商

MedSec公司的CEO Bone在公司网站上发布了一篇声明,写道:“我们承认,我们偏离网络安全传统的做法会招来批评,但我们相信这是刺激圣犹达采取行动的唯一途径。最重要的是,我们相信现有和潜在的病人都有权利获知他们将面临的风险。消费者应该开始要求这些设备制造商提高透明度,特别是在设备的质量和功能方面。”伯恩解释称,“过去18个月以来,我们的团队一直在悄悄评估各类医疗器械的安全水平。其中圣犹达医疗公司的安全状况远远落后,且多年来其持续通过设备销售与设备生态系统获准,而几乎毫无内置安全保障机制可言的产品令众多患者身处风险当中。”

3333333

最终在圣犹达医疗公司的股价下跌了10%时,FDA终于发声,根据FDA方面发布的一封令人信服的函件,圣犹达医疗公司早在2014年便对其植入式医疗器械中存在的安全问题有所了解,“但却并未通过软件更新或者设备更换的方式解决这些问题。”该机构得出的结论是,圣犹达医疗公司一次又一次违反内部安全与产品质量指导原则,且导致至少一名患者死亡。尽管曾于2014年4月雇用某第三方对相关安全漏洞进行了调查,但圣犹达医疗公司未能准确将该项评估的结果纳入其后续设备的风险评估之内。FDA同时表示,其中严重程度最高的漏洞为圣犹达公司高压心脏起搏器中的一段“硬编码通用解锁码”。圣犹达医疗公司的母公司雅培作出回应称“患者安全永远至上”,且其将认真对待这些问题,持续推动纠正措施以取得良好进展,密切研究FDA的警告建议并致力于全面解决FDA所关注的各项问题。

伯恩在接受采访时表示,此次披露的内容确实令人耳目一新。圣犹达医疗公司首次公开承认其了解产品中的安全隐患,但仍继续将这些产品销售给患者并进行体内植入。他称再也不想纠结于Muddy Waters、MedSec以及圣犹达之间的冲突。在与制造商接洽之前就贸然公布漏洞结果确实不够明智,而且也很难起到预期的效果。但在这场双方都有错的对抗中,FDA站出来惩罚了错误更大的一方……但他实在不能接受的是,不排除这些信息安全研究人员是单纯为了博眼球、求关注而发布这种导致病患死亡的作法的可能。

医疗设备的网络安全问题不是科幻片

在美剧《机器之心》(Almost Human)第一季第六集中有这样一个情节:一伙犯罪分子勒索植入人造心脏的病人,威胁说如果不满足他们的要求就可以遥控关停他们的心脏。也许有人觉得这是天马行空的科幻情节,然而实际上它离我们很近。3月,一个由科学家和神经外科医生组成的团队在《世界神经外科》上发表了一篇论文,文中详细阐述了植入式医疗器械被远程控制可能存在的危险性。到目前为止,出于研究的目的,该团队成功试验了两次远程控制。第一次是2011年,研究员同时也是糖尿病患者Jay Radcliffe设法利用一片廉价的电脑芯片和一台无线电发射机,破解了植入他体内的胰岛素泵。在论文中他称之为“一种潜在的致命攻击”。此后,一个名叫Barnaby Jack的研究员在Jay Radcliffe研究成果的基础上,成功地对胰岛素泵和植入式心脏除颤器进行了远程控制。

在今天的医疗领域,植入式医疗器械已经相当普遍。利用先进的无线通信技术,医生甚至患者本人可以越来越方便地对心脏起搏器和胰岛素泵等植入式医疗器械进行管理和控制,例如在不进行手术的情况下就能调节相关参数,但一如既往的,方便的同时也可能带来潜在的危险。利用这一技术,可能给许多罪犯打开了方便之门。攻击者可能出于任何目的进行攻击,比如勒索财物、恶意伤害、操纵一位在职官员等等。

但真正可怕的是,黑客有可能会控制一个脑部的植入器械,从而完全控制一个人。在深部脑刺激(DBS)手术中,会在大脑中植入一个神经刺激器(又名“大脑起搏器”),然后,该“大脑起搏器”会发送电子脉冲到病人的大脑皮层,然后进行病理干预。DBS通常用来辅助治疗如帕金森病和慢性疼痛等疾病,同时也被用于一些心理疾病的治疗,如抑郁症和强迫症等。如果类似的脑部植入器械也被黑客破解,那么攻击者将直接控制病人的大脑。一旦攻击者成功破解了植入设备,他们可以通过改变电压、电流、频率、脉冲宽度甚至电极连接等电气特性,给予受害者各种各样的折磨。这些攻击也许不会致命,但能够造成严重的伤害和痛苦。

444444

总体上一共有两种方式的远程攻击:一种是简单的关闭电源。另一种是不断地远程控制该植入器械,通过特定的操作耗光电量,迫使患者频繁进行手术来更换电池。显然后者要来得更残忍。目前为止,要进行针对性地攻击还是非常困难的,因为黑客需要了解该病人的健康状况,并经常接入该植入体内的器械。然而,随着移动互联网技术的不断发展,黑客们未来完全有可能突破这一限制。研究人员表示:“针对性的攻击,一般包括运动机能的损伤,心律的恶意调节,消极情绪引导,强烈的疼痛,和身体反馈机制的不利反馈等。”

只要攻击者能连接到病人体内的“大脑起搏器”,下面这些攻击都是可以真实做到的。例如引发狂躁、性欲亢进、甚至病态赌博心理等。医生可以通过控制“大脑起搏器”改变病人的情绪,例如接受了DBS疗法的患者可能经历过病理性哭泣、怪异的笑声、强烈的恐惧和紧张等,这些可能都是因为医生一时弄错了脑区。

控制医疗设备还需谨慎
关于这个问题,最好的答案就是强化器械的安全性。美国食品药品监督管理局已经就黑客攻击某些植入式药物泵发出了警告,甚至美国国土安全部也发布告警称应尽量避免使用硬编码(不可变更的)的医疗器械密码。然而,真正的安全应该来自器械制造商和设计者,因为只有他们才能从根本上减轻某些攻击的后果。例如使用可充电的植入式医疗器械就是一个很好的例子,因为可充电性可以防止上文提及的耗电式攻击。一直以来,安全性和便捷性都是一个两难。例如为了增加安全性,可以选择在植入式医疗器械外加上一层保护壳/套,但这有可能使得治疗对病人来说变成一种负担,引起病人的不适和反感,甚至完全拒绝治疗。

最近的一些升级方案,比如通过手机App远程控制一些植入式器械,看起来很方便,但未来也许会引发很严重的问题。现在的智能手机设计正在变得越来越完善,例如,苹果可以强制拒绝未经授权的设备访问。这一点很重要,因为手机存储了大量的私人信息,一旦被黑客破解,获取了隐私,用户总不能每次都跳楼自杀。

www.idc126.com

文章出处:网安视界

本文由 华盟网 作者:hoxton 发表,其版权均为 华盟网 所有,文章内容系作者个人观点,不代表 华盟网 对观点赞同或支持。如需转载,请注明文章来源。
0

发表评论