La semaine dernière, la Food and Drug Administration (FDA) des États-Unis a émis un avertissement aux utilisateurs de la pompe à insuline Medtronic MiniMed (
actualités ,
liste des appareils vulnérables sur le site de la FDA). Le fabricant a lancé un programme pour remplacer les pompes par des modèles sûrs: dans sept des 11 appareils, le problème ne peut pas être résolu en mettant à jour le logiciel.
Les pompes à
insuline sont utilisées dans le traitement du diabète et se composent d'un dispositif de contrôle, d'un réservoir amovible d'insuline et d'un kit pour l'administration sous-cutanée. Les deux séries de pompes mentionnées dans le rapport de la FDA (MiniMed 508 et MiniMed Paradigm) ont la capacité de se connecter sans fil à un appareil de contrôle qui, dans des conditions normales, est utilisé par le médecin traitant ou le patient lui-même pour modifier les paramètres de fonctionnement. Il s'est avéré que tout le monde peut prendre le contrôle, il suffit d'être à portée de l'émetteur radio. De telles vulnérabilités sont loin d'être découvertes pour la première fois, mais pour la première fois, le fabricant et les services gouvernementaux tentent de résoudre le problème de manière coordonnée. La vitesse de réaction est remarquable: 570 jours se sont écoulés entre les premiers rapports des chercheurs et le rappel officiel.
Pour des raisons évidentes, les chercheurs qui ont découvert le problème ne révèlent pas les détails de la vulnérabilité, mais certains peuvent être compris à partir de courtes descriptions des problèmes. En mars de l'année dernière, une preuve de concept a été développée pour le MiniMed 508 et Paradigm, correspondant à la liste publiée la semaine dernière par la FDA. En août 2018, selon les résultats de l'étude, le fabricant a
émis un avertissement, mais à ce moment-là, le problème était jugé moins grave. Deux types de vulnérabilités ont été trouvés: premièrement, le transfert de données entre la pompe et les accessoires sans fil (par exemple,
un lecteur de glycémie) a été effectué en texte brut. Dans ce cas, il y avait un risque de fuite d'informations privées.
Deuxièmement, lors de l'interaction avec le dispositif de contrôle, l'autorisation semble avoir eu lieu, mais le complexe du contrôleur et de la pompe a été soumis à la soi-disant attaque par rejeu. En d'autres termes, il a été possible de reproduire la séquence de données transmise par le contrôleur et de provoquer, par exemple, une nouvelle administration d'insuline. Néanmoins, à partir du milieu de l'année dernière, le risque de vulnérabilité était classé comme «moyen» (4,8 et 5,3 points en utilisant la méthode CVSS v3), car l'attaque de relecture était pertinente pour les fonctionnalités de pompe désactivées par défaut.
Qu'est-ce qui a changé au cours de la dernière année? Presque la même liste d'appareils (dans l'image ci-dessus) a été reconnue comme vulnérable non pas à certains paramètres, mais généralement dans tous les cas. Cette nouvelle vulnérabilité (
CVE-2019-10964 ) a reçu une note «dangereuse» de 7,3 points sur l'échelle CVSS, bien que du point de vue du chercheur en sécurité, cela pourrait très bien être le «vieux» problème, mais avec de nouvelles conséquences. En raison de l'absence d'un système d'autorisation approprié pour les appareils qui interagissent avec les pompes Medtronic, non seulement une attaque par rejeu est possible. Vous pouvez transférer des informations arbitraires à la pompe, modifier les paramètres et contrôler généralement le processus d'entrée d'insuline, provoquant à la fois un surdosage et un manque de médicaments. Les deux options peuvent être très dangereuses pour la santé.
L'un des accessoires mentionnés dans l'avertissement de la FDA est le périphérique USB Carelink. En fait, il s'agit d'un adaptateur sans fil qui vous permet de télécharger des informations sur le fonctionnement de la pompe et de les visualiser dans le logiciel propriétaire de l'ordinateur. Ces appareils médicaux facilitent la vie des gens et la connectivité sans fil les rend encore plus pratiques. Mais dans ce cas, il fallait protéger au maximum le transfert de données: en matière de santé, la fuite de données habituelle est également un problème, et plus encore si un appareil conçu pour améliorer la qualité de vie commence à le menacer.
Medtronic fournit une liste de conseils pour ceux qui doivent utiliser une pompe vulnérable (en raison de l'inaccessibilité des modèles sûrs dans la région ou pour d'autres raisons). Il est recommandé de garder l'appareil avec vous à tout moment et de ne partager son numéro de série avec personne (cela suggère un schéma d'autorisation et / ou de cryptage simple en utilisant le numéro de série, mais à en juger par les citations des chercheurs, vous n'avez pas besoin de connaître la série pour la rupture). Vous devez également annuler immédiatement toutes les injections non initiées par le propriétaire, surveiller en permanence le niveau de glucose dans le sang. De plus, il est recommandé de déconnecter CareLink USB de l'ordinateur lorsqu'il n'est pas utilisé.
En bref, un dispositif médical pratique devient un peu moins pratique. Selon le constructeur, il n'y a eu aucun cas d'exploitation intentionnelle de la vulnérabilité. C'est une bonne nouvelle, mais elle est probablement due à un manque de motivation des cybercriminels. Mais si elle apparaît?
Une autre nouvelle la semaine dernière a été la
découverte d'une nouvelle attaque sur les appareils IoT avec des mots de passe par défaut (par exemple, des routeurs ou des caméras vidéo IP). Un script malveillant, connu sous le nom de Silex, a détruit le système de fichiers des appareils, les rendant inopérants. Apparemment, pour quelqu'un, la motivation monétaire n'était pas intéressante, et les appareils (environ 4000 ont souffert) ont été briques simplement pour l'amour de l'art. La perte d'Internet et la défaillance du réseau local est un problème grave, mais une telle attaque contre l'IoT vital en médecine est bien pire.
Avertissement: Les opinions exprimées dans ce résumé peuvent ne pas coïncider avec la position officielle de Kaspersky Lab. Chers rédacteurs recommandent généralement de traiter toute opinion avec un scepticisme sain.