keycommunications

 

Sécurisation des dispositifs médicaux : un hacker peut-il vous briser le cœur ?

Pourquoi les dispositifs médicaux connectés sont-ils vulnérables aux attaques et quelle est la probabilités qu’ils soient piratés ? Voici cinq failles numériques qui peuvent menacer votre santé.

Par Cameron Camp

Il y a plusieurs années, à Black Hat, nous avons assisté au piratage d’une pompe à insuline. Et même si la majeure partie des logiciels de cet appareil étaient disponibles sur le marché, les autorités de réglementation affirment que l’intégrateur est responsable de la sécurité de bout en bout, y compris du système d’exploitation (SE) sous-jacent, même si ce SE a de bons antécédents en matière de sécurité. En d’autres termes, les fabricants d’appareils portent la responsabilité, quelle que soit la technologie qu’ils utilisent.

Si cela fait peser le fardeau de la sécurité sur le fabricant, cela augmente aussi considérablement le coût et la complexité de la mise sur le marché d’un appareil. Par conséquent, alors que les pressions du marché poussent les entreprises à produire rapidement des dispositifs, la route qui s’ouvre devant elles s’annonce semée d’embûches et coûteuse. En outre, elle peut, sans le savoir, mettre les patients sur la défensive.

Et qu’en est-il des correctifs; qui est responsable de ceux-ci? Selon la FDA, le fabricant le fait aussi. Comme certains dispositifs médicaux devraient exister pendant de nombreuses années, il faut beaucoup de temps pour payer les équipements de soutien sur le terrain.

Qu’est-ce qui rend ces dispositifs vulnérables et quelle est la probabilité qu’ils soient piratés? Comme le thème de cette semaine du Mois de la cybersécurité est axé sur la sécurité des dispositifs connectés à Internet dans le domaine de la santé, voici cinq failles numériques pouvant affecter votre santé :

     

     Bluetooth

De nombreux appareils médicaux intègrent la surveillance et l’interaction via Bluetooth, qui présente de nombreuses vulnérabilités. Et même s’il existe des correctifs, il est difficile de déterminer le taux d’adoption réel et le calendrier sur le terrain. En attendant, si votre mesure de glycémie est falsifiée, vous pourriez être en réel danger physique si vous essayez d’ajuster les niveaux de glycémie en vous basant sur de fausses lectures.

     

    Windows

De nombreux hôpitaux disposent d’ordinateurs assurant la gestion de leurs équipements médicaux qui fonctionnent avec des versions de Windows plus anciennes et non prises en charge en raison du retard des mises à jour du fabricant qui a effectué l’intégration. Un fabricant ne peut pas se contenter d’appliquer le dernier correctif Windows avant d’avoir effectué des tests approfondis sur ses appareils pour déceler les problèmes d’intégration, de sorte que l’examen des correctifs peut être délicat. Un attaquant potentiel a l’avantage ici, puisqu’il peut déployer des exploits bien connus dès qu’ils sont connus, et bien avant que le fabricant ne puisse réagir.

    

 C  Cloud

De nombreux dispositifs implantés font des appels automatisés aux médecins via connexion dans le nuage afin faciliter les mises à jour de l’état de santé et déclencher des événements où les patients peuvent avoir besoin d’attention. Comme nous l’avons vu cette année à Black Hat et au DEF CON, la sécurité dans les nuages peut être moins que brillante. Il est peu probable que le patient ait un moyen de connaître les vulnérabilités potentielles, mais les attaquants s’emparent rapidement des exploits connus, les faisant passer assez rapidement à travers leurs cadres d’attaque. Dans certains cas, les patients ont choisi de ne pas recevoir de communications externes avec leur stimulateur cardiaque en raison de leurs craintes de piratage, mais l’adoption du cloud pour les appareils implantés a de fortes répercussions sur l’adoption future.

 Ethernet

De nombreux appareils médicaux se connectent aux réseaux médicaux TCP/IP via Ethernet, mais il serait très difficile pour de nombreux cliniciens et patients de remarquer un robinet de réseau placé en ligne avec les connexions existantes. En exfiltrant les données sur les liaisons sans fil intégrées à un tel point, les attaquants pourraient fouiner dans le trafic et les exploits des appareils. De cette façon, les attaquants n’ont besoin que d’un accès physique unique et ne doivent pas nécessairement revenir pour récupérer l’appareil s’il est jugé dangereux, en raison de son faible coût.

   

     Claviers sans fil

Depuis quelque temps, les enregistreurs de frappe sont couramment utilisés pour enregistrer les frappes de clavier sans fil, se faisant passer pour de faux chargeurs USB branchés sur des prises, tout en espionnant les signaux et en les exfiltrant sur des cartes industrielles 4G sans fil. Cela permet de saisir des données sensibles comme des mots de passe tapés, mais peut aussi permettre aux attaquants de tenter de télécharger et d’installer des exploits de porte dérobée à distance en contournant les messages d’avertissement des produits de sécurité.

 En conclusion

Le domaine médical est sur ses talons – en matière de sécurité – depuis des années. Et même s’il fait d’importants progrès, de nombreux dispositifs médicaux ont été performants pendant toutes ces années, réduisant ainsi le besoin perçu d’agir. La modernisation des équipements constituera un défi à relever dans les années à venir. Malgré cela, les médecins ont commencé à se pencher sur le processus et à faire appel à des techniciens pour commencer à améliorer la situation. En attendant, il serait peut-être sage d’apprendre à connaître toutes les vulnérabilités qui pourraient affecter vos appareils médicaux, surtout s’ils sont impliqués de manière critique dans vos soins de santé, comme c’est le cas pour beaucoup d’entre eux.