GE Healthcare B450 ir B850 saugos išnaudojimai

Vienas iš pirmųjų technologijų pranašumų buvo sukurti technologijas, kurios galėtų išgelbėti gyvybes ir padaryti ligas lengviau valdomas. „GE Healthcare“ yra tarptautinė sveikatos elektronikos įmonė, įsikūrusi Jungtinėse Amerikos Valstijose ir įkurta 1994 m.

Neseniai bendrovė pristatė kai kurias naujas medicininės elektronikos priemones, pavadintas  CARESCAPE Monitor B450  ir CARESCAPETM Monitor B850, kurios buvo skirtos pacientų stebėjimui, be to, buvo lengva judėti kartu su pacientais.

CARESCAPET Monitor B450 funkcijos

CARESCAPET Monitor B450 yra monitorius, kuris stebi ir seka paciento aštrumą bei seka visą veiklą, kai pacientas juda. Įranga pagaminta taip, kad nebūtų per sunki ar stambi, kad ją būtų galima transportuoti kartu su pacientu. Jis sukurtas specialiai naudoti avarinių situacijų ar chirurginių operacijų atvejais. Jame taip pat yra belaidžio ryšio parinktis, kad sveikatos priežiūros darbuotojai galėtų lengvai pasiekti paciento informaciją, ir kelių parametrų modulis su hemodinamikos matavimais ir vienas papildomas vieno pločio matavimo modulis.

Vartotojai gali nustatyti pavojaus signalus ir priminimų sistemas, atitinkančias jų poreikius. Tai leidžia lengvai pasiekti fiziologinę informaciją apie pacientus, kuri padeda greičiau priimti sprendimus dėl gydymo, ir naudojami algoritmai bei metodai, galintys padėti gydytojams nustatyti diagnozę. Jį galima sukonfigūruoti pagal skyriaus poreikius arba jį naudojančių pacientų skaičių ir tipą, o informaciją galima pasiekti per CARESCAPE Gateway iš JIS/EMR. Su šiuo įrenginiu tiek vartotojai, tiek gydytojai išliks prisijungę, taip pat jį galima prijungti prie įrašymo įrenginių, spausdintuvų ir kt., kad būtų lengviau valdyti pacientą.

CARESCAPETM monitoriaus B850 savybės

Kita vertus, CARESCAPETM monitorius B850 gali stebėti kvėpavimo veiklą ir dujas ir naudoja Marquette* EKG algoritmą su unikalia anestezijos koncepcijos adekvatumu pritaikytai anestezijai. Tai taip pat leidžia prisijungti ir stebėti duomenis, kaip tai daro CARESCAPETM Monitor B450, ir siūlo klinikinę informaciją iš telemetrijos, anksčiau vartojamų vaistų, laboratorinių tyrimų rezultatų duomenis apie kardiologijos duomenų sistemą ir kt.

Jis taip pat gali būti prijungtas prie išorinių peržiūros įrenginių duomenų valdymui.

Patvirtinimo problemos

Abi mašinos yra labai paprastos naudoti, todėl personalo mokymas, nuo patyrusio iki stažuotės, yra labai paprastas procesas. Vartotojo sąsaja taip pat labai intuityvi ir lengvai suprantama. Tačiau kad ir kokie nuostabūs ir palaikantys būtų šie įrenginiai, tyrimai parodė, kad jie taip pat turi didelės rizikos saugumo problemų. Remiantis kai kuriais JAV kibernetinio saugumo ir infrastruktūros agentūros (CISA) tyrimais, kai kurios aptiktos problemos buvo tai, kad saugomi duomenys ir kredencialai nebuvo apsaugoti. Tai reiškė, kad ją gali pasiekti bet kuri trečioji šalis.

Be to, įvesties patvirtinimas nebuvo tinkamai patvirtintas ir reikėjo papildomo patvirtinimo. Tam tikra informacija apie pacientą turėtų būti prieinama tik gydytojui. Tie, kurie gali gauti informaciją, reikalavo dvigubo patikrinimo, kurio jam trūko. „GE Healthcare“ monitoriuose taip pat trūko labai svarbių veiklų autentifikavimo sistemų, o tai reiškia, kad bet kas gali pasiekti šias funkcijas ir įkelti bet kokius dokumentus į pacientų duomenų bazę, o tai pakenkė monitoriaus pulte esančios informacijos vientisumui. Nėra šifravimo, kuris apsaugotų pacientų duomenis, ir į jį lengva įsilaužti.

Ką šios problemos reiškia pacientams

Visa tai iš pirmo žvilgsnio gali neatrodyti pavojinga gyvybei, bet taip yra. Jei monitoriai buvo atakos auka, prietaiso programinėje įrangoje galima lengvai atlikti niokojančių pakeitimų, kurie savo ruožtu pakeis jos veikimą ir gali būti mirtini. Signalizacijos ir priminimų nustatymus taip pat galima sušvelninti, todėl terminas gali būti praleistas. Informacija apie pacientus taip pat gali būti pateikta internete.

Vienas iš svarbiausių labiausiai ieškomų dalykų sveikatos apsaugos sistemoje po sėkmingo gydymo yra diskretiškumas. Tačiau to negalima pažadėti pacientams, jei jiems gydyti naudojama programinė įranga nėra apsaugota nuo kibernetinių atakų. Į netinkamas rankas patekusi medicininė informacija žibuoklės ne tik pasitiki, bet ir labai gąsdina. Šiuose įrenginiuose aptiktas klaidas ir  pažeidžiamumą  atkūrė CyberMDX tyrėjas Eladas Luzas, kuris 2019 m. rugsėjo mėn. šias problemas pervadino į „MDhex“ į GE ir CISA. Dauguma problemų pirmą kartą buvo aptiktos CIC Pro, kitoje „GE Healthcare“ elektroninėje programoje. prietaisas, kurį medicinos darbuotojai naudoja paciento širdies duomenims saugoti.

Analizuojant sistemoje veikė Webmin versija, kuri buvo pavadinta labai pavojinga ir nesaugia. Apžiūrėję CARESCAPETM monitorių B850 ir CARESCAPETM monitorių B450, jie taip pat išsiaiškino kai kurias su įrenginiais susijusias problemas. Ir nors abu įrenginiai yra aukščiausios klasės ir atlieka nuostabų medicininį darbą, jų negalima pavadinti saugiais, jei jie nėra apsaugoti nuo kibernetinių atakų.

Apie šias išvadas buvo pranešta „GE Healthcare“ komandai, kuri 2019 m. dirbo prie projekto. Bendrovė pažadėjo išleisti versijas, kurios buvo stipresnės ir mažiau linkusios į kibernetines atakas.