GE Healthcare B450 and B850 Security Exploits

Ένα από τα πρώτα πλεονεκτήματα της τεχνολογίας ήταν η δημιουργία τεχνολογίας που θα μπορούσε να σώσει ζωές και να κάνει την ασθένεια πιο διαχειρίσιμη. Η GE Healthcare είναι μια πολυεθνική εταιρεία Health Electronics με έδρα τις Ηνωμένες Πολιτείες της Αμερικής και ιδρύθηκε το 1994.

Πρόσφατα η εταιρεία κυκλοφόρησε μερικά νέα ιατρικά ηλεκτρονικά που ονομάζονται  CARESCAPE Monitor B450  και CARESCAPETM Monitor B850 που προορίζονταν και για την παρακολούθηση ασθενών και ήταν επίσης εύκολη η μετακίνηση με ασθενείς.

CARESCAPET Monitor B450 Χαρακτηριστικά

Το CARESCAPET Monitor B450 είναι μια οθόνη που παρακολουθεί και παρακολουθεί την οξύτητα του ασθενούς και παρακολουθεί όλες τις δραστηριότητες κατά τη μετακίνηση ενός ασθενούς. Ο εξοπλισμός είναι κατασκευασμένος έτσι ώστε να μην είναι πολύ βαρύς ή ογκώδης για μεταφορά με τον ασθενή. Είναι κατασκευασμένο ειδικά για χρήση σε περιπτώσεις έκτακτης ανάγκης ή χειρουργικές επεμβάσεις. Διαθέτει επίσης επιλογή για ασύρματη σύνδεση, ώστε οι εργαζόμενοι στον τομέα της υγείας να έχουν εύκολη πρόσβαση στις πληροφορίες των ασθενών και μια μονάδα πολλαπλών παραμέτρων με αιμοδυναμικές μετρήσεις και μια επιπλέον μονάδα μέτρησης ενός πλάτους.

Οι χρήστες μπορούν να ρυθμίσουν συναγερμούς και συστήματα υπενθύμισης που ανταποκρίνονται στις ανάγκες τους. Επιτρέπει την εύκολη πρόσβαση σε φυσιολογικές πληροφορίες σχετικά με τους ασθενείς που τους βοηθούν να λαμβάνουν αποφάσεις σχετικά με τη θεραπεία πιο γρήγορα και χρησιμοποιεί αλγόριθμους και μεθόδους που μπορούν να βοηθήσουν τους γιατρούς στη διάγνωση. Μπορεί να διαμορφωθεί ανάλογα με τις ανάγκες της μονάδας ή τον αριθμό και τον τύπο των ασθενών που το χρησιμοποιούν και οι πληροφορίες είναι προσβάσιμες μέσω CARESCAPE Gateway από το HIS/EMR. Με αυτήν τη συσκευή, τόσο οι χρήστες όσο και οι ιατροί θα παραμείνουν συνδεδεμένοι και μπορεί επίσης να συνδεθεί με συσκευές εγγραφής, εκτυπωτές κ.λπ. για εύκολη διαχείριση ασθενών.

CARESCAPETM Monitor B850 Χαρακτηριστικά

Το CARESCAPETM Monitor B850, από την άλλη πλευρά, μπορεί να παρακολουθεί τις αναπνευστικές δραστηριότητες και τα αέρια και χρησιμοποιεί τον αλγόριθμο Marquette* ECG με μοναδική έννοια επάρκειας αναισθησίας για προσαρμοσμένη αναισθησία. Επιτρέπει επίσης τη σύνδεση και την παρακολούθηση δεδομένων που κάνει επίσης το CARESCAPETM Monitor B450 και προσφέρει κλινική ευφυΐα από τηλεμετρία, παλαιότερα φάρμακα, δεδομένα αποτελεσμάτων εργαστηριακών δοκιμών σχετικά με το σύστημα καρδιολογικών δεδομένων μεταξύ άλλων.

Μπορεί επίσης να συνδεθεί με εξωτερικές συσκευές προβολής για τη διαχείριση δεδομένων.

Θέματα επικύρωσης

Και τα δύο μηχανήματα είναι πολύ εύχρηστα, γεγονός που καθιστά την εκπαίδευση του προσωπικού σε αυτά, από έμπειρο έως πρακτική άσκηση μια πολύ εύκολη διαδικασία. Η διεπαφή χρήστη είναι επίσης πολύ διαισθητική και κατανοητή. Όμως, όσο εκπληκτικά και υποστηρικτικά κι αν είναι αυτά τα μηχανήματα, μελέτες έχουν δείξει ότι έχουν επίσης ζητήματα ασφάλειας υψηλού κινδύνου. Σύμφωνα με ορισμένες μελέτες από την Υπηρεσία Κυβερνοασφάλειας και Υποδομής των ΗΠΑ (CISA), ορισμένα από τα ζητήματα που ανακαλύφθηκαν ήταν ότι τα αποθηκευμένα δεδομένα και τα διαπιστευτήρια δεν προστατεύονταν. Αυτό σήμαινε ότι θα μπορούσε να έχει πρόσβαση από οποιοδήποτε τρίτο μέρος.

Επίσης, η επικύρωση των εισροών δεν επικυρώθηκε σωστά και χρειαζόταν επιπλέον επικύρωση. Υπάρχουν ορισμένες πληροφορίες για τους ασθενείς που πρέπει να είναι προσβάσιμες μόνο στον γιατρό. Αυτές οι πληροφορίες χρειάζονταν επαλήθευση σε δύο βήματα, κάτι που τους έλειπε. Οι οθόνες GE Healthcare είχαν επίσης ελλείποντα συστήματα ελέγχου ταυτότητας για πολύ σημαντικές δραστηριότητες, πράγμα που σημαίνει ότι ο καθένας μπορεί να έχει πρόσβαση σε αυτές τις λειτουργίες και να ανεβάσει τυχόν έγγραφα στη βάση δεδομένων ασθενών, θέτοντας σε κίνδυνο την ακεραιότητα των πληροφοριών στην κονσόλα της οθόνης. Δεν υπάρχει κρυπτογράφηση για την προστασία των δεδομένων των ασθενών και είναι εύκολο να χακάρετε.

Τι σημαίνουν αυτά τα ζητήματα για τους ασθενείς

Όλα αυτά με μια ματιά μπορεί να μην φαίνονται απειλητικά για τη ζωή, αλλά είναι. Εάν οι οθόνες έγιναν θύμα επίθεσης, μπορούν εύκολα να γίνουν καταστροφικές αλλαγές στο λογισμικό της συσκευής, το οποίο, με τη σειρά του, θα αλλάξει τον τρόπο λειτουργίας του και μπορεί να αποβεί μοιραίο. Οι ρυθμίσεις συναγερμού και υπενθύμισης μπορούν επίσης να μετριαστούν, κάτι που μπορεί να οδηγήσει σε χαμένη προθεσμία. Πληροφορίες για ασθενείς μπορούν επίσης να εκτεθούν στο Διαδίκτυο.

Ένα από τα πιο σημαντικά πιο περιζήτητα πράγματα στο σύστημα υγείας μετά από μια επιτυχημένη θεραπεία είναι η διακριτικότητα. Αυτό, ωστόσο, δεν μπορεί να υποσχεθεί στους ασθενείς εάν το λογισμικό που χρησιμοποιείται για τη θεραπεία τους δεν είναι ασφαλές από επιθέσεις στον κυβερνοχώρο. Οι ιατρικές πληροφορίες που πέφτουν σε λάθος χέρια όχι μόνο εμπιστεύονται οι βιολέτες αλλά είναι και πολύ τρομακτικές. Τα σφάλματα και η  ευπάθεια που  βρέθηκαν σε αυτές τις συσκευές ανακτήθηκαν από έναν ερευνητή του CyberMDX που ονομάζεται Elad Luz, ο οποίος στη συνέχεια μετονόμασε αυτά τα προβλήματα σε "MDhex", σε GE και CISA τον Σεπτέμβριο του 2019. Τα περισσότερα από τα ζητήματα ανακαλύφθηκαν για πρώτη φορά στο CIC Pro, ένα άλλο ηλεκτρονικό της GE Healthcare συσκευή που χρησιμοποιείται από ιατρούς για την αποθήκευση δεδομένων καρδιοασθενούς.

Το σύστημα, όταν αναλύθηκε, εκτελούσε μια έκδοση του Webmin που χαρακτηρίστηκε πολύ επικίνδυνη και μη ασφαλής. Όταν συνέχισαν να κοιτάζουν την Οθόνη CARESCAPETM B850 και την Οθόνη CARESCAPETM B450, ανακάλυψαν επίσης ορισμένα προβλήματα με τις συσκευές. Και ενώ και οι δύο συσκευές είναι κορυφαίες και κάνουν καταπληκτική ιατρική εργασία, δεν μπορούν να χαρακτηριστούν ασφαλείς εάν δεν έχουν ανοσία σε κυβερνοεπιθέσεις.

Αυτά τα ευρήματα αναφέρθηκαν στην ομάδα της GE Healthcare που εργάστηκε στο έργο το 2019. Η εταιρεία υποσχέθηκε να κυκλοφορήσει εκδόσεις που ήταν ισχυρότερες και λιγότερο επιρρεπείς σε επιθέσεις στον κυβερνοχώρο.