Настя и сборник весёлых историй
Оглавление:
Кардиостимуляторы от нескольких производителей могут быть приказаны доставить смертельный удар на 830 вольт от кого-то на ноутбуке на расстоянии до 50 футов, результат плохое программирование программного обеспечения компаниями медицинских устройств.
Новое исследование поступило от Barnaby Jack из поставщика безопасности IOActive, известного своим анализом другого медицинского оборудования, такого как устройства для доставки инсулина.
Джек, который выступал на уровне безопасности Breakpoint конференции в Мельбурне в среду, сказал, что недостаток заключается в программировании беспроводных передатчиков, используемых для предоставления инструкций для кардиостимуляторов и имплантируемых кардиовертер-дефибрилляторов (ICD), которые обнаруживают нерегулярные сердечные сокращения и доставляют (
).Успешная атака с использованием недостатка "может привести к смертельным исходам", сказал Джек, который уведомил производителей проблемы, но не публично идентифицировали компании.
В демонстрации видео Джек показал, как он мог удаленно заставить кардиостимулятор внезапно поставить удар в 830 вольт, который можно было услышать с хрустящим слышимым попсом.
Беспроводной риск
В период с 2006 по 2011 год только в США было продано 4,6 миллиона кардиостимуляторов и ICD, сказал Джек. Раньше кардиостимуляторы и МКБ были перепрограммированы медицинским персоналом с использованием палочки, которая должна была пройти в паре метров пациента, у которого есть одно из установленных устройств. Палочка переворачивает программный переключатель, который позволит ему принимать новые инструкции.
Но теперь тенденция идти по беспроводной сети. Несколько медицинских производителей теперь продают прикроватные аппараты, которые заменяют палочку и имеют беспроводной диапазон до 30-50 футов. В 2006 году администрация США по контролю за продуктами и лекарствами одобрила полномасштабные имплантируемые на радиочастоте устройства, работающие в диапазоне 400 МГц, сказал Джек.
Благодаря этому широкому диапазону передачи удаленные атаки против программного обеспечения становятся более осуществимыми, сказал Джек. Изучив передатчики, Джек обнаружил, что устройства откажутся от своего серийного номера и номера модели после того, как он связался с ним по беспроводной связи с помощью специальной команды.
С серийными номерами и номерами моделей Джек может перепрограммировать прошивку передатчика, которая разрешить перепрограммирование кардиостимулятора или ICD в теле человека.
«Нетрудно понять, почему это смертельная особенность, - сказал Джек.
Его исследования только начинаются. FDA, по его словам, просто смотрит на медицинскую эффективность устройств и не выполняет аудит кода устройства.
«Моя цель - повысить осведомленность об этих потенциальных злонамеренных атаках и побудить производителей действовать для проверки безопасности их код, а не только традиционные механизмы безопасности этих устройств », - сказал Джек.
Данные также уязвимы
Он также обнаружил другие проблемы с устройствами, например, тот факт, что они часто содержат личные данные о пациентах, такие как их имя и их доктор. Были обнаружены и другие контрольные признаки неаккуратного кода, такие как потенциальный доступ к удаленным серверам, используемым для разработки программного обеспечения.
«Новая реализация ошибочна во многих отношениях», - сказал Джек. «Это действительно нужно переработать».
Джек разрабатывает «Электрическое чувство», приложение с графическим интерфейсом пользователя, которое позволит пользователю сканировать медицинское устройство в радиусе действия. Появится список, и пользователь может выбрать устройство, например, кардиостимулятор, который затем может быть отключен или сконфигурирован для обеспечения шока.
Как будто это было не так уж плохо, Джек сказал, что можно загрузить специально разработанную прошивку на серверы компании, которые будут заражать несколько кардиостимуляторов и ICD, распространяясь через их системы, как настоящий вирус.
«Мы потенциально смотрим на червяка, способного совершить массовое убийство», - сказал Джек. «Это как-то страшно».
По иронии судьбы, как имплантаты, так и беспроводные передатчики способны использовать шифрование AES (Advance Encryption Standard), но он не включен, сказал Джек. У устройств также есть «бэкдоры» или способы, которыми программисты могут получить к ним доступ без стандартной проверки подлинности с использованием серийного номера и номера модели.
Там есть законная медицинская потребность, так как без бэкдоров вам может потребоваться «разрезать кого-то открытым», - сказал Джек. «Но если у них будет черный ход, по крайней мере, он встроен глубоко внутри ядра ICD. Это дорогостоящие устройства».
Презентация Джека была прекрасно проиллюстрирована в комиксах как мода. В какой-то момент слайд показал человека, который был похож на бывшего вице-президента США Дика Чейни, который долгое время страдал от проблем с сердцем. Недостатки устройства, сказал Джек, могут означать, что злоумышленник может выполнить «довольно анонимное убийство» с расстояния 50 футов.
«Для меня ноутбук не похож на устройство, способное кого-то убить», Джек сказал.
Или, как добавил член аудитории, «нет дульной вспышки с ноутбуком».
Отправить советы и комментарии к новостям [email protected]. Следуйте за мной в Twitter: @jeremy_kirk
Apple может «убить» iPhone-приложения удаленно или может?
Apple «kill switch», найденная в ОС iPhone 2.0 как разработчики задумываются, почему он там.
Исправление: яркость экрана ноутбука для ноутбука
Если ваш экран ноутбука Windows 10/8/7 или мониторная яркость дисплея мерцают, мигают, пульсируют, затем узнайте, как решить эту проблему.
Ваш шаблонный взлом может быть взломан за 5 попыток
Исследователи придумали алгоритм компьютерного зрения, который может взломать даже полные блокировки шаблона за пять попыток. Читайте дальше, чтобы узнать больше ...