Spojrzenie na luz na włamaniu do pompy insulinowej i bezpieczeństwo

Kiedy historia hackowania pompą insulinową pękła dwa tygodnie temu, oglądaliśmy ją głównie jako chwyt reklamowy. Ale miało to kilka interesujących reperkusji. Warto zauważyć, że dwóch kongresmanów przyspieszyło i zwróciło się do Rządowego Biura Rachunkowości (GAO) o dokonanie przeglądu podejścia Federalnej Komisji Łączności do urządzeń medycznych z funkcjami bezprzewodowymi, aby zapewnić, że urządzenia są "bezpieczne, niezawodne i bezpieczne". Cóż, to wydaje się dobrą nowiną …

Hullabaloo wystarczył inicjatorowi Jayowi Radcliffe'owi, ekspertowi ds. Bezpieczeństwa komputerowego i typowi 1 PWD, aby zorganizować webinarium uzupełniające w zeszły czwartek. Poniżej znajduje się streszczenie notatek Allison z tego wydarzenia:

* Od ostatniego czwartku producent pompy Jay, który został włamany, został uznany za Medtronic Minimed.

* Jego rozumowanie i motywacja do robienia włamania? Jay twierdzi, że zainspirowała go historia dwóch mężczyzn włamujących się do parku miejskiego

metrów w San Francisco kilka lat temu. Miasto zostało zmuszone do ponownej oceny środków bezpieczeństwa dla liczników. Jay najwyraźniej "miał to samo na myśli", kiedy włamał się do swojej własnej pompy insulinowej. Mówi, że chciał pomóc firmom, pokazując ich "luki w zabezpieczeniach".

* Reakcje na oryginalną prezentację Jay'a mają zasięg, ale jak dotąd najbardziej doniosłym dla Jaya było to samo z Medtronic. Firma w dużej mierze odrzuciła pojęcie potencjalnego ryzyka. Właśnie dlatego Jay postanowił opublikować nazwę producenta, mówi: "Zestrzelenie mnie nie jest etyczną reakcją."

Rezultatem tego jest to, że wydaje się być trochę w szaleńczym meczu z firmą - lub przynajmniej "mówi, mówi" sytuacja, w której prawda prawdopodobnie leży gdzieś pomiędzy:

* Jay wyjaśnia: "The Electronic Frontier Foundation i ja dużo pracowaliśmy nad tym zagadnieniem.Często w społeczności związanej z bezpieczeństwem poruszymy problem bez kontaktu z dostawcą. Firmy, które nie są obecne z bezpieczeństwem problemy często będą próbować i prowadzić postępowanie w celu uniknięcia ujawnienia się badań Łatwo pogrzebać legalne badania od osoby znajdującej się w górach legalnej papierkowej roboty Odpowiedź na to jest etyczne ujawnienie … Zazwyczaj firma docenia ten gest i naprawia Problem polega na tym, że nie mamy publicznej kontroli ani presji, by się spieszyć, a niektórzy nie.

* Jay wybrał reakcję Medtronic, punkt po punkcie:

Medtronic mówi: "bezpieczeństwo informacji o urządzeniach … jest integralną częścią samej tkaniny naszych procesów projektowania produktów. "

Jay mówi:" tak nie jest, "jak zauważył w swoim hackingu" nie było uwierzytelniania ani szyfrowania "i że publicznie pokazał w Vegas, że ma luki .

Firma Medtronic mówi: "Dzięki (naszym) środkom bezpieczeństwa informacji, jesteśmy przekonani, że byłoby bardzo trudno osobom trzecim manipulować bezprzewodowo pompą insulinową."

Jay mówi: "Nie ma żadnych środków bezpieczeństwa. Konieczność poznania numeru seryjnego urządzenia nie jest zabezpieczeniem." Twierdzi, że dla hakera byłoby dość łatwo wynaleźć sześciocyfrowy numer seryjny pompy insulinowej. (Nie jesteśmy pewni, jak …?)

Firma Medtronic mówi: "Zgodnie z naszą wiedzą, nigdy nie odnotowano ani jednego przypadku naruszenia sytemu bezprzewodowego poza sterowanymi eksperymentami laboratoryjnymi w ciągu ponad 30 lat użytkowania urządzeń telemetrycznych, który obejmuje miliony urządzeń na całym świecie. "

Jay mówi:" Do tej pory. " Jest oczywiste, że nikt nigdy nie pomyślał, że włamał się do pompy insulinowej. Ale tylko dlatego, że nikt nigdy nie pomyślał o zrobieniu tego, nie oznacza, że ​​nikt nigdy nie będzie . (Zgadujemy, że się tam zgodzimy: przekraczanie twoich palców nie jest dużym środkiem bezpieczeństwa.)

Firma Medtronic mówi: "On … WŁĄCZONO bezprzewodową funkcję i miał dostęp do specjalistycznego sprzętu … możesz usunąć wszelką niepewność, wyłączając komunikację bezprzewodową w swoim urządzeniu."

Jay mówi: " to nie jest prawda "i nie można wyłączyć bezprzewodowej zdolności pompy insulinowej. Właśnie dlatego był w stanie zmienić dowolne ustawienie lub konfigurację na swoim urządzeniu. Poza tym ma skrupuły z etykietą "specjalistyczny sprzęt", mówiąc, że użył swojego

urządzenia USB Carelink. Chociaż NIE dał instrukcji

krok po kroku jak użył tego sprzętu, Jay wykonał cały hack na scenie w Las Vegas w tym, co powiedział "około minuty." < ! --2 ->

Jay twierdzi również, że pracował z Departamentem Bezpieczeństwa Krajowego, by skontaktować się z biurem dyrektora Medtronic i zostawić tam wiadomości w dniu 10 sierpnia.

Oczywiście, musieliśmy przyjrzeć się nieco głębiej druga strona historii. Oto, w jaki sposób firma Medtronic odpowiedziała na nasze pytania:

John Mastrototaro, wiceprezes Medtronic ds. Badań i rozwoju, powiedział nam w rozmowie telefonicznej 26 sierpnia, że ​​właśnie rozmawiał z Departamentem Bezpieczeństwa Wewnętrznego w "nieformalnej dyskusji w celu postępuj zgodnie z twierdzeniami, które Jay stworzył. " Mówi, że była to jego pierwsza rozmowa z DHS i nie był świadomy, że próbowali skontaktować się z Medtronic w tej sprawie wcześniej.

W szczególności mówi: "W produkcie są pewne zabezpieczenia i uwierzytelnienia, ale nie ma szyfrowania, które mają dwa różne znaczenia dla tych ekspertów od zabezpieczeń". Powtórzył, że ich "podstawową metodą zabezpieczenia" jest tajemnica sześciocyfrowego numeru seryjnego znajdującego się z tyłu pompy insulinowej. Kolejny wpis na blogu firmy, który pojawił się w piątek, brzmiał: "Zalecamy ochronę numeru seryjnego pompy, tak jak numer ubezpieczenia społecznego, hasła i inne ważne informacje osobiste". Hmmm.

John oświadczył również: "Jednym z wyzwań dla nas jako organizacji jest to, że musimy wymyślać kompromisy dotyczące tego, gdzie zamierzamy przelać nasze pieniądze na badania i jakie problemy napotkamy. rozwiązać.Byliśmy bardzo skoncentrowani na Sztucznej Trzustce … Nasze nowe platformy będą miały w tych urządzeniach najnowszą technologię szyfrowania. Próba pozostania daleko przed piłką jest bardzo trudna. Odejście nowej technologii może zająć 5-7 lat. Zawsze istnieje potencjalne ryzyko, że nastąpi ewolucja technologii, która wyprzedza produkty. Nasze podejście było zdecydowanie proaktywne i poważne, mimo że jest to ryzyko zdalne, jak powiedział Jay. Chcemy włączyć rozwiązania do naszych przyszłych iteracji produktu, aby jeszcze bardziej utrudnić takie zjawisko. "

Interesującym faktem jest to, że bezpieczeństwo w Pompa insulinowa Paradigm ma 12-14 lat. "Została stworzona przed 11 września, zanim naprawdę zaczęły się złośliwe intencje - kiedy zwykłeś być w stanie wziąć butelkę z wodą do samolotu" - mówi John od dwunastu do czternastu lat? Czy od tego czasu nie ma wystarczającej ilości nowych pomp insulinowych, że mogliby zrobić zaledwie

małą poprawę bezpieczeństwa? Przyznamy, że prawdopodobieństwo włamania wydaje się dość niskie, ale wciąż, ponad dekadę i < nie ulepszenia bezpieczeństwa?

Dwoma kongresmenami wchodzącymi w skład tej bitki są: Reps. Anna Eshoo z Kalifornii i Edward Markey z Massachusetts, obaj Demokraci. Government Accountability Office (GAO), pytają o raport na temat stopnia, w jakim FCC jest:

Identyfikacja wyzwań i zagrożeń związanych z rozprzestrzenianiem się medycznych implanty i inne urządzenia wykorzystujące technologię szerokopasmową i bezprzewodową.

Podejmowanie kroków w celu poprawy efektywności procesów regulacyjnych mających zastosowanie do urządzeń medycznych szerokopasmowych i bezprzewodowych.

1. Zapewnienie urządzeń medycznych z obsługą łączności bezprzewodowej nie spowoduje szkodliwych zakłóceń dla innych urządzeń.
2. Nadzorowanie takich urządzeń, aby zapewnić ich bezpieczeństwo, niezawodność i bezpieczeństwo.
3. Koordynowanie działań z Administracją ds. Żywności i Leków.
5. Piszą również: "Wprowadzając innowacyjne technologie i urządzenia bezprzewodowe dla opieki zdrowotnej, bardzo ważne jest, aby te urządzenia były potrafią współpracować razem z innym sprzętem szpitalnym i nie ingerują w działania innych oraz transmisje danych. "

Jay Radcliffe jest oczywiście bardzo podekscytowany tym rozwojem, dla niego zachowanie firmy w odpowiedzi na to objawienie jest bardziej niepokojący niż samo hakowanie.

W tej notatce Jay ogłosił, że nie jest już użytkownikiem Medtronic, ale przeszedł na Animas, który planuje włamać się do pompy insulinowej w podobny sposób. , "Podejmę takie same działania, jakie poprzednio zrobiłem. Mam nadzieję, że Animas / J & J zachowa się lepiej niż Medtronic. "Uważaj, Animas!

Co to wszystko oznacza dla reszty z nas, pomperów? Oczywiście możemy tylko krzyżować nasze palce, że to nie będzie dalej bagno Bolesny proces FDA, polegający na zatwierdzaniu nowych urządzeń do leczenia cukrzycy, takich jak system Medtronic Veo z funkcją wstrzymywania niskiej zawartości glukozy (miejmy nadzieję, że jest bezpieczny dla hakerów!).

Czy powinniśmy także martwić się realnym i bezpośrednim zagrożeniem dla naszego osobistego bezpieczeństwa? Wydaje mi się, że SecurityWatch powiedział to najlepiej, gdy ostatnio oświadczyli: "Hack Radcliffe'a jest interesujący i pomocny w wywieraniu nacisku na producentów urządzeń w celu poprawy ich bezpieczeństwa, ale nie jest szczególnie przerażający."

* * *

Safety Pressure:

As jeśli nasze zmartwienia jako pompy nie były wystarczająco liczne, teraz endokrynolog w Australii odkrył, że zmiany ciśnienia w kabinie mogą czasem nieść z dawką.

Po usłyszeniu, że 10-letnia dziewczynka poszła nisko godzinę po starcie (i zakładamy, że wykluczyli każdą

inną

możliwą przyczynę niskiego poziomu cukru we krwi?!), Bruce'a Szpital Dziecięcy King of John Hunter w Newcastle w Australii wraz z kolegami odkrył inne przypadki stosowania pompek insulinowych, które również po treningu osiągnęły niski poziom. Najwyraźniej wystarczyło to do zainicjowania mini-badania, w którym wysłano 10 pomp insulinowych w powietrzu i odkryto, że dawały średnio 1-1. 4 dodatkowe dawki insuliny podczas startu. Podczas zejścia, gdy ciśnienie w kabinie wzrastało, część insuliny została zassana z powrotem do pomp, o około 1 jednostkę. Oczywiście, 10 pomp insulinowych nie jest statystycznie istotną liczbą, a jedna jednostka insuliny prawdopodobnie nie będzie stanowić przełomu dla większości dorosłych pacjentów (ale to miało duży wpływ na 10-latka!) . Powiedzielibyśmy, że rodzice małych dzieci, którzy mają tendencję do zniżania się podczas podróży lotniczych, mogą chcieć odnotować i odpowiednio się dostosować. Zastrzeżenie

: Treść stworzona przez zespół Diabetes Mine. Aby uzyskać więcej informacji, kliknij tutaj.

Zastrzeżenie Ta treść została stworzona dla Diabetes Mine, blogu poświęconego zdrowiu konsumentów skupiającego się na społeczności chorych na cukrzycę. Treści nie są poddawane przeglądowi medycznemu i nie są zgodne ze wskazówkami redakcyjnymi Healthline. Aby uzyskać więcej informacji na temat partnerstwa Healthline z Diabetes Mine, kliknij tutaj.