Взгляд на люфт при взломе и безопасности инсулиновой помпы

Когда история взлома инсулиновой помпы впервые сломалась две недели назад, мы рассматривали ее в основном как рекламный трюк. Но у него были некоторые интересные последствия. Примечательно, что два конгрессмена активизировались и просили, чтобы Управление государственной отчетности (ГАО) рассмотрело подход Федеральной комиссии связи к медицинским устройствам с беспроводными возможностями, чтобы гарантировать, что устройства «безопасны, надежны и безопасны». Ну, это похоже на хорошие новости …

Холлабалу было достаточно для подстрекателя Джея Рэдклиффа, эксперта по компьютерной безопасности и 1-го типа PWD, чтобы провести последующий вебинар в прошлый четверг. Ниже приведен краткий обзор заметок Эллисона от этого события:

* По состоянию на прошлый четверг, производитель взломанного Jay-накопителя был обнаружен как Medtronic Minimed.

* Его рассуждения и мотивация для взлома? Джей утверждает, что он был вдохновлен рассказом о двух мужчинах, взломанных в городском парке в Сан-Франциско несколько лет назад. Город был вынужден переоценить меры безопасности для счетчиков. Джей, по-видимому, «имел в виду то же самое», когда он взломал свою собственную инсулиновую помпу. Он говорит, что хочет помочь компаниям, показывая свои «уязвимости безопасности».

* Реакции на оригинальную презентацию Джея запустили гамму, но самым показательным для Джей до сих пор было то, что от самой Medtronic. Компания в значительной степени отвергла понятие потенциальных рисков. Вот почему Джей решил опубликовать имя производителя, говорит он. «Выдувание меня не является этическим ответом».

Результат состоит в том, что он, похоже, немного расстроен с компанией - или, по крайней мере, «говорит он, - говорит она, - ситуация, в которой правда, вероятно, лежит где-то между ними:

* Джей объясняет: «Фонд Electronic Frontier Foundation и я много работали над этой проблемой. Довольно часто в сообществе безопасности мы поднимаем вопрос, не обращаясь к поставщику. Компании, которые не поддерживают безопасность проблемы часто будут пытаться и судить, чтобы предотвратить выявление исследований. Легко похоронить законные исследования у человека на горе юридических документов. Ответ на это - это этическое раскрытие … Обычно компания ценит этот жест и исправляет проблема не имеет общественного контроля или давления, чтобы спешить. Некоторые не делают ».

* Джей отошел от реакции Медтроника, по пунктам:

Medtronic говорит:« Информационная безопасность устройств … является неотъемлемой частью самой ткани наших процессов разработки продукта ».

Джей говорит:« Это явно не так », как он обнаружил в своем хаке,« нет аутентификации или шифрования »и что он публично показал в Вегасе, что там

являются уязвимости.

Medtronic говорит: «Благодаря нашим (нашим) мерам информационной безопасности, мы твердо верим, что сторонней стороне будет очень сложно беспроводным образом воздействовать на вашу инсулиновую помпу».

Джей говорит: «Нет никаких мер безопасности. Необходимо знать серийный номер устройства, это не безопасность». Он утверждает, что любому хакеру будет достаточно легко разработать, какой шестизначный серийный номер предназначен для инсулиновой помпы. (Мы не знаем, как …?)

Medtronic говорит: «Насколько нам известно, никогда не было ни одного случая инцидента с беспроводным вмешательством вне контролируемых лабораторных экспериментов в течение более чем 30 лет использования телеметрии устройства, которое включает в себя миллионы устройств по всему миру. «

Джей говорит:« До сих пор ». Очевидно, это потому, что никто никогда не думал о том, чтобы

взломать инсулиновую помпу. Но только потому, что никто никогда не думал об этом, это еще не значит, что никто никогда не придет. (Полагаю, мы бы согласились там: пересечение пальцев не является мерой безопасности.)

Medtronic говорит: «Он … ОБРАЩАЛСЯ к беспроводной функции и имел доступ к специализированному оборудованию … вы можете удалить любую неопределенность, отключив беспроводную связь на своем устройстве». Джей говорит: это не соответствует действительности »и что беспроводная способность инсулиновой помпы не может быть отключена. Именно поэтому он смог изменить любую настройку или конфигурацию на своем устройстве. Кроме того, он испытывает угрызения со знаком «специализированного оборудования», заявив, что использовал свое устройство

Carelink USB. Хотя он не дал пошаговых инструкций по

как

он использовал это оборудование, Джей выполнил весь взлом на сцене в Лас-Вегасе в том, что он сказал, «около минуты».

< ! --2 -> Джей также утверждает, что он работал с Департаментом национальной безопасности, чтобы связаться с офисом генерального директора Medtronic и оставил там сообщения 10 августа. Конечно, нам нужно было немного глубже проникнуть в другая сторона рассказа. Вот как Medtronic ответила на наши запросы:

Джон Мастроротаро, вице-президент Medtronic по исследованиям и разработкам, 26 августа сказал нам по телефону, что он только что поговорил с Департаментом национальной безопасности в «неофициальном обсуждении с тем, чтобы следуйте утверждениям, которые сделал Джей ». Он говорит, что это был его первый разговор с DHS, и он не знал, что они пытались связаться с Medtronic по этому вопросу ранее.

В частности, он говорит: «В продукте есть определенная безопасность и аутентификация, но шифрования нет, у этих двух экспертов есть два разных значения». Он подтвердил, что их «основной метод безопасности» заключается в секретности шестизначного серийного номера, расположенного на задней части инсулиновой помпы. Еще одна реакция на блог компании, который поднялся в пятницу, заявил: «Мы рекомендуем защитить серийный номер вашего насоса, как и ваш номер социального страхования, пароли и другую важную личную информацию». Хммм.

Джон также заявил: «Одна из проблем для нас как организации заключается в том, что мы должны делать компромиссы относительно того, где мы собираемся вкладывать наши исследовательские доллары и какие проблемы мы собираемся решать.Мы были очень сосредоточены в проекте искусственной поджелудочной железы … Наши новые платформы будут иметь новейшие технологии шифрования в этих устройствах. Попытка оставаться впереди мяча очень сложна. Для выхода новой технологии может потребоваться 5-7 лет. Всегда существует потенциальный риск того, что существует эволюция технологии, которая опережает продукты. Наш подход определенно был упреждающим и серьезным, хотя это и есть отдаленный риск, как сказал Джей. Мы хотим включить решения в наши будущие итерации продукта, чтобы мы делали это еще труднее для такого рода вещей ».

Одним из интересных фактов является то, что безопасность в Инсулиновая помпа Paradigm насчитывает 12-14 лет. «Это было создано до 11 сентября, прежде чем злонамеренные намерения действительно возникли - когда вы имели обыкновение брать бутылку с водой в самолет, - говорит Джон. Двенадцать - 14 лет? С тех пор не хватает новых инсулиновых насосов, которые могли бы сделать только повышениепри безопасности? Мы будем признавать, что вероятность взлома кажется довольно низкой. Но все же, более десятилетия и < нет

обновлений безопасности?

Два конгрессмена, вступающие в бой, - это Репс. Анна Эшо из Калифорнии и Эдвард Марки из Массачусетса, оба демократа. Бюро государственной подотчетности (ГАО), они просят предоставить отчет о степени, в которой FCC: Определение проблем и рисков, связанных с распространением медицинских имплантатов и других устройств, использующих широкополосную и беспроводную технологию. Меры по повышению эффективности регуляторных процессов, применимых к широкополосным и беспроводным медицинским устройствам.

Обеспечение беспроводных медицинских устройств не будет создавать вредных помех для другого оборудования.

Надзор за такими устройствами для обеспечения их безопасности, надежности и безопасности.

1. Координация своей деятельности с Управлением по контролю за продуктами и лекарствами.
3. Они также пишут: «При внедрении инновационных беспроводных технологий и устройств для здравоохранения крайне важно, чтобы эти устройства способные работать вместе и с другим оборудованием больницы, а также не мешать деятельности друг друга и передаче данных ».
4. Джей Радклифф, очевидно, очень взволнован этим развитием. Для него поведение компании в ответ на это откровение более волнует, чем собственно взлом.
5. В этой заметке Джей объявил, что он больше не является пользователем Medtronic, но переключился на Animas. Он планирует так же взломать свою инсулиновую помпу. «Я предприму те же действия, что и раньше. Надеюсь, Animas / J & J будет вести себя лучше, чем у Medtronic. «Осторожно, Анимас!

Итак, что все это значит для остальных из нас, насосов? Конечно, мы можем только скрестить пальцы, чтобы это не привело к дальнейшему болоту уже - болезненно медленный процесс FDA для утверждения новых устройств для диабета, таких как система Medtronic Veo с функцией пониженного уровня глюкозы (надеюсь, безопасна для хакеров!).

Должны ли мы также беспокоиться о реальных и непосредственных рисках для нашей личной безопасности? Я думаю, что SecurityWatch сказал, что лучше всего, когда они недавно заявили: «Взлом Radcliffe интересен и полезен для давления на производителей устройств, чтобы улучшить их безопасность, но не особенно страшно».

* * *

Безопасность в кабине:

Как если наши заботы, поскольку насосов не было достаточно многочисленным, теперь эндокринолог в Австралии обнаружил, что изменения давления в кабине в полете могут иногда путаться с дозированием.

Услышав, что 10-летняя девочка пошла на один час после взлета (и мы, полагая, что они исключили каждую

возможную причину низкого уровня сахара в крови?!), Брюс Детская больница короля Джона Хантера в Ньюкасле, Австралия, и его коллеги обнаружили другие случаи инсулиновых насосов, которые также снизились после взлета. По-видимому, этого было достаточно, чтобы вызвать мини-исследование, в котором они отправили 10 инсулиновых насосов в воздух и обнаружили, что они дали в среднем 1-1. 4 дополнительных единицы инсулина во время взлета. Во время спуска, когда давление в кабине возрастало, некоторый инсулин всасывался обратно в насосы примерно на 1 единицу.

Конечно, 10 инсулиновых насосов вряд ли являются статистически значимым числом, и одна единица инсулина, вероятно, не будет разбойником для большинства взрослых пациентов (но это имело большое значение для 10-летнего!) , Мы бы сказали, что родители маленьких детей, которые, как правило, снижаются во время авиаперевозок, могут захотеть принять к сведению и соответствующим образом скорректировать.

Отказ от ответственности

: Содержание, созданное командой диабета. Чтобы узнать подробности, нажмите здесь. Отказ от ответственности Этот контент создан для Diabetes Mine, блог о здоровье потребителей, посвященный сообществу диабета. Содержание не проверяется с медицинской точки зрения и не соответствует редакционным рекомендациям Healthline. Для получения дополнительной информации о партнерстве Healthline с диабетической шахтой, пожалуйста, нажмите здесь.