8000多項安全漏洞！起搏器是救人神器還是催命符？

E安全5月29日訊 兩份國外獨立研究報告警告稱，醫院中所使用的起搏器、胰島素泵與其它設備存在安全問題，導致其極易受到攻擊影響。

一項僅針對心臟起搏器的研究發現，此類醫用心臟裝置內的代碼中存在高達8000多項已知安全漏洞。

而另一項針對廣泛在售設備的研究則發現，只有17%的設備製造商已經採取相關舉措以保護上述醫療設備。

而就在兩份報告發布前不久，英國超過60家醫療衛生機構在網路攻擊活動中淪為受害者。

起搏器安全形勢危急

在這份關於心臟起搏器的研究報告中，研究人員調查了來自四家製造商的多款植入式設備，以及來自同一「生態系統」的其它監控及管理類工具。

來自安全企業Whitescope公司的研究人員比利·瑞斯與喬納森·巴茨博士表示，研究結果顯示，目前心臟起搏器製造商在保持設備補丁更新與避免攻擊者利用其中安全漏洞方面面臨著「嚴峻挑戰」。

他們發現，絕大多數製造商並沒能利用加密或者其它方式保護設備上的數據或者將此類數據傳輸至監控系統當中的連接通道。

另外，亦沒有任何製造商在設備中採用最為基本的登錄名與密碼保護機制，甚至不會檢查其接入的設備是否可信。

瑞斯在報告中寫道，一般來講，此類設備由於體積較小且計算能力低下，因此很難應用其它設備中所廣泛採用的安全保障標準。

英國NHS於今年5月初受到WannaCry蠕蟲病毒的嚴重侵擾，受到病毒影響,英國的一些醫生被迫取消了治療項目

在一份長篇論文中，兩位研究人員指出各設備製造商已經努力投入更多精力以「保護這些系統免遭入侵乃至可能因此引發的、面向病患的潛在影響。」

瑞斯先生解釋稱，他們發現的所有問題都已經被上報至美國國土安全部——事實上，面向各醫療設備製造廠商的監督工作正是國土安全部的職責之一。

這項獨立研究同時提到，在與製造商、醫院以及各醫療衛生機構的溝通當中，80%的受訪者表示用於病患治療的設備確實極易受到攻擊且無法保證安全。

這份研究報道強調稱，代碼Bug、安全代碼編寫知識匱乏以及開發時間壓力等因素導致了眾多設備易受到攻擊的現狀。

儘管已經意識到問題的存在，但只有9%的設備製造商與5%的醫療衛生機構每年對相關設備進行測試以了解潛在安全漏洞情況。

相對而言，更多製造商（17%）會採取措施保護其製造的醫療設備。

研究同時發現，49%的醫療設備製造商並沒有遵循由美國食品與藥物管理局出台的醫療設備保護建議。

來自安全企業Synopsys公司的研究報告聯合作者拉瑞·波納蒙博士指出，「醫療設備的安全性對於設備製造商以及醫療衛生服務機構而言都是真正關乎生命安全的大問題。」

他同時補充稱，「醫療器械行業需要儘快將對此類設備的安全保護視為重中之重並加以解決。」

擴展閱讀：

2013年，「全球最牛」黑客巴納拜·傑克離奇死亡。傑克去世前向外界宣布：他要在7月31日開幕的「黑帽」黑客會議上，展示在9米之外入侵植入式心臟起搏器等無線醫療裝置，然後向其發出一系列830V高壓電擊，從而令「遙控殺人」成為現實。傑克聲稱，他已經發現了多家廠商生產的心臟起搏器的安全漏洞。
由於美國警方拒絕透露傑剋死亡細節，傑克的死引發了各種瘋狂陰謀論——有陰謀論者指出，傑克最新針對醫療設備的「遙控殺人」技術不僅會對公眾的生活安全構成威脅，也將令生產這些存在漏洞的醫療設備的廠商的名譽和經濟利益遭到重創，不排除傑克因此惹火燒身，招來殺身之禍。在2010年「黑帽」黑客會議上他獨創黑客技術令自動提款機狂吐鈔票，使其一躍成為全球最牛的「明星黑客」。

E安全註：本文系E安全獨家編譯報道，轉載請聯繫授權，並保留出處與鏈接，不得刪減內容。

@E安全，最專業的前沿網路安全媒體和產業服務平台，每日提供優質全球網路安全資訊與深度思考。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！