सुरक्षा सप्ताह 27: इंसुलिन पंप कमजोरियां

पिछले हफ्ते, यूएस फूड एंड ड्रग एडमिनिस्ट्रेशन (एफडीए) ने मेडट्रोनिक मिनीमेड इंसुलिन पंप उपयोगकर्ताओं (एफडीए वेबसाइट पर कमजोर उपकरणों की सूची ) के लिए एक चेतावनी जारी की। निर्माता ने पंपों को सुरक्षित मॉडल के साथ बदलने के लिए एक कार्यक्रम शुरू किया: 11 उपकरणों में से सात में, सॉफ़्टवेयर को अपडेट करके समस्या को हल नहीं किया जा सकता है।

इंसुलिन पंप का उपयोग मधुमेह के उपचार में किया जाता है और इसमें एक नियंत्रण उपकरण, इंसुलिन के लिए एक हटाने योग्य जलाशय और चमड़े के नीचे के प्रशासन के लिए एक किट शामिल होता है। एफडीए रिपोर्ट (MiniMed 508 और MiniMed Paradigm) में उल्लिखित पंपों की दो श्रंखला में नियंत्रण प्रणाली से वायरलेस तरीके से जुड़ने की क्षमता होती है, जिसका उपयोग सामान्य परिस्थितियों में, उपस्थित चिकित्सक या रोगी द्वारा ऑपरेटिंग मापदंडों को बदलने के लिए किया जाता है। जैसा कि यह पता चला है, कोई भी नियंत्रण कर सकता है, यह रेडियो ट्रांसमीटर की सीमा के भीतर होना पर्याप्त है। इस तरह की भेद्यताएं पहली बार खोजे जाने से दूर हैं, लेकिन पहली बार निर्माता और सरकारी दोनों सेवाएं समन्वित तरीके से समस्या को हल करने का प्रयास करती हैं। प्रतिक्रिया की गति उल्लेखनीय है: शोधकर्ताओं की पहली रिपोर्टों और आधिकारिक याद के बीच 570 दिन बीत गए।

स्पष्ट कारणों के लिए, जिन शोधकर्ताओं ने समस्या की खोज की, वे भेद्यता के विवरण को प्रकट नहीं करते हैं, लेकिन कुछ को समस्याओं के संक्षिप्त विवरण से समझा जा सकता है। एफडीए द्वारा पिछले सप्ताह जारी की गई सूची से मिलान करते हुए पिछले साल मार्च में मिनीमेड 508 और पैराडाइम के लिए एक प्रूफ-ऑफ-कॉन्सेप्ट विकसित किया गया था। अगस्त 2018 में, अध्ययन के परिणामों के अनुसार, निर्माता ने चेतावनी जारी की , लेकिन उस समय समस्या को कम गंभीर माना गया था। दो प्रकार की कमजोरियां पाई गईं: सबसे पहले, पंप और वायरलेस सामान (उदाहरण के लिए, एक रक्त ग्लूकोज मीटर ) के बीच डेटा का हस्तांतरण सादे पाठ में किया गया था। इस मामले में, निजी जानकारी के रिसाव का खतरा था।

दूसरे, जब नियंत्रण डिवाइस के साथ बातचीत, प्राधिकरण, जाहिरा तौर पर हुई, लेकिन नियंत्रक और पंप के जटिल तथाकथित रिप्ले हमले के अधीन थे। दूसरे शब्दों में, नियंत्रक और कारण द्वारा प्रेषित डेटा अनुक्रम को पुन: उत्पन्न करना संभव था, उदाहरण के लिए, इंसुलिन का पुन: प्रशासन। फिर भी, पिछले साल के मध्य तक, भेद्यता जोखिम को "मध्यम" (सीवीएसएस v3 विधि का उपयोग करके 4.8 और 5.3 अंक) के रूप में मूल्यांकन किया गया था, क्योंकि फिर से खेलना पंप डिफ़ॉल्ट रूप से बंद कर दिया गया पंप सुविधाओं के लिए प्रासंगिक था।


पिछले एक साल में क्या बदला है? उपकरणों की लगभग समान सूची (ऊपर की तस्वीर में) को कुछ सेटिंग्स पर नहीं, बल्कि आम तौर पर सभी मामलों में असुरक्षित माना जाता था। इस नई भेद्यता ( CVE-2019-10964 ) को CVSS पैमाने पर 7.3 अंकों की "खतरनाक" रेटिंग दी गई थी, हालांकि सुरक्षा शोधकर्ता के दृष्टिकोण से यह बहुत अच्छी तरह से "पुरानी" समस्या हो सकती है, लेकिन नए परिणामों के साथ। मेडट्रॉनिक पंपों के साथ बातचीत करने वाले उपकरणों के लिए एक उचित प्राधिकरण प्रणाली की कमी के कारण, न केवल एक रिप्ले हमला संभव है। आप मनमाने ढंग से जानकारी पंप पर स्थानांतरित कर सकते हैं, सेटिंग्स बदल सकते हैं, और आमतौर पर इंसुलिन इनपुट की प्रक्रिया को नियंत्रित कर सकते हैं, जिससे अधिक मात्रा और दवा की कमी हो सकती है। दोनों विकल्प स्वास्थ्य के लिए बहुत खतरनाक हो सकते हैं।


एफडीए चेतावनी में वर्णित सामानों में से एक केयरलिंक यूएसबी डिवाइस है। वास्तव में, यह एक वायरलेस एडाप्टर है जो आपको पंप के संचालन के बारे में जानकारी डाउनलोड करने और कंप्यूटर पर मालिकाना सॉफ़्टवेयर में देखने की अनुमति देता है। ऐसे चिकित्सा उपकरण लोगों के लिए जीवन को आसान बनाते हैं, और वायरलेस कनेक्टिविटी उन्हें और भी सुविधाजनक बनाती है। लेकिन इस मामले में, जितना संभव हो सके डेटा ट्रांसमिशन की रक्षा करना आवश्यक था: जब स्वास्थ्य की बात आती है, तो सामान्य डेटा लीक एक समस्या है, और इससे भी अधिक अगर जीवन की गुणवत्ता में सुधार के लिए डिज़ाइन किया गया कोई उपकरण इसे धमकी देना शुरू कर देता है।

मेडट्रॉनिक उन लोगों के लिए युक्तियों की एक सूची प्रदान करता है, जिन्हें एक असुरक्षित पंप (क्षेत्र में सुरक्षित मॉडल की दुर्गमता या कुछ अन्य कारणों से) का उपयोग करना पड़ता है। यह अनुशंसा की जाती है कि आप हर समय अपने साथ डिवाइस रखें और इसके सीरियल नंबर को किसी के साथ साझा न करें (यह सीरियल नंबर का उपयोग करके एक साधारण प्राधिकरण और / या एन्क्रिप्शन योजना में संकेत देता है, लेकिन शोधकर्ताओं के उद्धरणों को देखते हुए, आपको ब्रेकिंग के लिए सीरियल को जानने की आवश्यकता नहीं है)। इसके अलावा, आपको मालिक द्वारा शुरू किए गए किसी भी इंजेक्शन को तुरंत रद्द करना होगा, लगातार रक्त में ग्लूकोज के स्तर की निगरानी करना चाहिए। इसके अलावा, CareLink USB को उपयोग में नहीं होने पर कंप्यूटर से डिस्कनेक्ट करने की सलाह दी जाती है।

संक्षेप में, एक सुविधाजनक चिकित्सा उपकरण थोड़ा कम सुविधाजनक होता जा रहा है। निर्माता के अनुसार, भेद्यता के जानबूझकर शोषण के कोई मामले नहीं हैं। यह अच्छी खबर है, लेकिन साइबर अपराधियों के लिए प्रेरणा की कमी के कारण इसकी अधिक संभावना है। लेकिन अगर वह दिखाई दे तो क्या होगा?

पिछले हफ्ते एक और खबर आईओटी उपकरणों पर डिफ़ॉल्ट पासवर्ड (उदाहरण के लिए, राउटर या आईपी वीडियो कैमरों) के साथ एक नए हमले की खोज थी । एक दुर्भावनापूर्ण स्क्रिप्ट, जिसे Silex के रूप में जाना जाता है, ने उपकरणों की फ़ाइल प्रणाली को नष्ट कर दिया, जिससे वे निष्क्रिय हो गए। जाहिर है, किसी के लिए, मौद्रिक प्रेरणा ब्याज की नहीं थी, और उपकरणों (लगभग 4000 का सामना करना पड़ा) को केवल कला के प्यार के लिए ईंट किया गया था। इंटरनेट का नुकसान और स्थानीय नेटवर्क की विफलता एक गंभीर समस्या है, लेकिन चिकित्सा में महत्वपूर्ण IoT पर इस तरह का हमला बहुत बुरा है।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय कैस्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।