心脏起搏器被“控制”：黑客让好莱坞式科幻照进现实
MedSec调查了圣犹达的心脏医疗设备，包括起搏器、植入式除颤器和再同步化治疗设备。调查得出的结论是，这些设备都易受攻击，导致设备故障、消耗救生设备电池的电量、或者将依赖设备生存的用户置于设备故障的风险中。
MedSec的总监和CEO Justine Bone在一份事先准备好的声明中写道：“我们对整个医疗设备行业进行了超过18个月的深入调查。相较于其他医疗设备制造商，圣犹达的漏洞让我们感到震惊。”当时，负责管理医疗设备的美国食品和药品管理局（FDA）拒绝对MedSec和Muddy Waters公布的报告进行评论。
研究人员称，归功于马虎的安全措施，他们能获得Merlin@home的root权限。这些措施包括证书复用、SSH秘钥分享和静态凭据，允许未认证用户以root用户的权限登录到受影响系统。有了root权限之后，攻击者可以执行Crash攻击，广播一系列信号使得心脏医疗设备发生故障。Crash攻击可以远程禁用一个心脏医疗设备，并可能使一个植入设备“以危险的频率跳动”。
MedSec还描述了另一类理论上的攻击，称为“电池泄电攻击”。在这种攻击中，黑客利用Merlin@home装置发出信号，更快地消耗心脏医疗设备的电池电量。在攻击测试中，MedSec每24小时消耗一个植入设备约3%的电池电量。
Muddy Waters公司创始人卡森-布洛克认为；“最可怕的情景是黑客将能够发动大规模攻击，导致这些植入式设备发生故障。圣犹达医疗公司应该立即停止销售这些设备，直到开发出新的安全通信协议。”虽然警方已经开始对起搏器监控活动进行调查，但目前还没有出现该起搏器遭遇大规模黑客入侵的案例记录。
伯恩在接受采访时表示，此次披露的内容确实令人耳目一新。圣犹达医疗公司首次公开承认其了解产品中的安全隐患，但仍继续将这些产品销售给患者并进行体内植入。他称再也不想纠结于Muddy Waters、MedSec以及圣犹达之间的冲突。在与制造商接洽之前就贸然公布漏洞结果确实不够明智，而且也很难起到预期的效果。但在这场双方都有错的对抗中，FDA站出来惩罚了错误更大的一方……但他实在不能接受的是，不排除这些信息安全研究人员是单纯为了博眼球、求关注而发布这种导致病患死亡的作法的可能。
在今天的医疗领域，植入式医疗器械已经相当普遍。利用先进的无线通信技术，医生甚至患者本人可以越来越方便地对心脏起搏器和胰岛素泵等植入式医疗器械进行管理和控制，例如在不进行手术的情况下就能调节相关参数，但一如既往的，方便的同时也可能带来潜在的危险。利用这一技术，可能给许多罪犯打开了方便之门。攻击者可能出于任何目的进行攻击，比如勒索财物、恶意伤害、操纵一位在职官员等等。
但真正可怕的是，黑客有可能会控制一个脑部的植入器械，从而完全控制一个人。在深部脑刺激(DBS)手术中，会在大脑中植入一个神经刺激器(又名“大脑起搏器”)，然后，该“大脑起搏器”会发送电子脉冲到病人的大脑皮层，然后进行病理干预。DBS通常用来辅助治疗如帕金森病和慢性疼痛等疾病，同时也被用于一些心理疾病的治疗，如抑郁症和强迫症等。如果类似的脑部植入器械也被黑客破解，那么攻击者将直接控制病人的大脑。一旦攻击者成功破解了植入设备，他们可以通过改变电压、电流、频率、脉冲宽度甚至电极连接等电气特性，给予受害者各种各样的折磨。这些攻击也许不会致命,但能够造成严重的伤害和痛苦。
只要攻击者能连接到病人体内的“大脑起搏器”，下面这些攻击都是可以真实做到的。例如引发狂躁、性欲亢进、甚至病态赌博心理等。医生可以通过控制“大脑起搏器”改变病人的情绪，例如接受了DBS疗法的患者可能经历过病理性哭泣、怪异的笑声、强烈的恐惧和紧张等，这些可能都是因为医生一时弄错了脑区。
最近的一些升级方案，比如通过手机App远程控制一些植入式器械，看起来很方便，但未来也许会引发很严重的问题。现在的智能手机设计正在变得越来越完善，例如，苹果可以强制拒绝未经授权的设备访问。这一点很重要，因为手机存储了大量的私人信息，一旦被黑客破解，获取了隐私，用户总不能每次都跳楼自杀。
文章出处：网安视界
官方 