Два десятка моделей кардиовертеров-дефибрилляторов компании Medtronic, одного из крупнейших производителей медицинских приборов, не требуют аутентификации при беспроводном подключении, что теоретически позволяет злоумышленнику нарушить сердечный ритм пациента, изменив настройки прибора или подав прямую команду на дефибриллятор. Полный список устройств, подверженных уязвимости, доступен на сайте Medtronic, также информация об уязвимости опубликована на сайте Министерства внутренней безопасности США.
Отметим, что кардиостимуляторы и кардиовертеры-дефибрилляторы, поддерживающие беспроводное подключение, получили широкое распространение, поскольку не требуют хирургического вмешательства для считывания данных о состоянии прибора и изменения настроек. При этом производители медицинского оборудования нередко используют собственные проприетарные протоколы связи, безопасность которых может быть под вопросом.
Как сообщается, ряд медицинских приборов, производимых Medtronic, осуществляют беспроводную передачу данных по проприетарному протоколу Conexus. Специалисты по информационной безопасности обнаружили, что этот протокол не только передает данные в незашифрованном виде, но и не требует аутентификации при беспроводном подключении к аппаратам. Потенциально это позволяет злоумышленнику вызвать у пациента нарушение сердечного ритма, что, в свою очередь, может привести к серьезным проблемам со здоровьем, вплоть до летального исхода.
«Такая атака может причинить вред пациенту путем стирания настроек, отвечающих за лечение, либо путем прямой команды на дефибриллятор, — заявил в беседе с TechCrunch Питер Морган из Clever Security, обнаруживший уязвимость и сообщивший о ней Medtronic в январе. — Поскольку протокол не поддерживает аутентификацию, имплантированный дефибриллятор не видит разницы между командами от доверенного устройства Medtronic и командами, полученными от злоумышленника».
В Medtronic признали ошибку и в то же время заявили, что «польза для здоровья при использовании беспроводного мониторинга перевешивает реальный риск использования уязвимости». Кроме того, представители компании уточнили, что имплантируемые приборы не работают в режиме связи непрерывно: устройства пробуждаются периодически в зависимости от настроек конкретного прибора и пациента, и регулярность этих попыток выйти на связь тяжело предсказать стороннему человеку. Вдобавок приборы предназначены для связи на ближнем расстоянии — до шести метров. Таким образом, чтобы воспользоваться уязвимостью, злоумышленнику нужно не только разбираться в протоколе Conexus и электрофизиологии, но и находиться рядом с пациентом в нужный момент времени на небольшом расстоянии.
Вместе с тем, компания также заверила, что уже работает над устранением уязвимости, однако каким образом и когда оно будет реализовано, не сообщается. После того, как уязвимость в ПО будет устранена, Medtronic уведомит врачей и пациентов.
Помимо этого, в заявлении отдельно подчеркивается, что до сих пор не зарегистрировано ни одного случая использования уязвимости для неавторизованного доступа к настройкам кардиовертеров-дефибрилляторов, а также указывается, что обычные кардиостимуляторы Medtronic не используют протокол Conexus, а потому не подвержены уязвимости.
Источник: N+1