Я большой любитель всяких гаджетов. Обвешан телефонами, читаю всякие блоги технические, первый бегу покупать разные новые фитнес браслеты и гугл-хромы. Но вот эта история меня слегка напрягла. Она как раз об IoT(Internet of Things) и похожа на завязку сюжета фильма ужасов или фильма-катастрофы.
В общем, есть такая компания Animas - дочерняя компания Johnson & Johnson. Компания производит автоматические инсулиновые помпы Animas OneTouch Ping. Если вы вдруг не знаете, инсулиновая помпа - это медицинское устройство круглосуточно вводящее инсулин при лечении сахарного диабета. Особенность этой модели в том, что она беспроводна и управляется с пульта. А еще этой модели не повезло (или повезло) попасть в руки специалисту по компьютерной безопасности, который болен сахарным диабетом первого типа. Специалист изучил прибор и подохренел:
Во-первых, данные с пульта на прибор передаются в незашифрованном виде - данные можно без проблем перехватить
Во-вторых, устройство использует статичный ключ для обмена информации с пультом, значит этот ключ можно перехватить в момент обмена между пультом и устройством и использовать его для генерации сообщений для устройство, минуя пульт устройства.
А в-третьих, когда пульт посылает сигнал на устройство, в сообщении нету никакой временной метки или уникального идентификатора. Это значит, что если любое сообщение перехватить, можно будет его повторить и оно также сожрется устройством.
Другими словами, злоумышленник может дистанционно перехватить контроль над устройством для автоматического ввода инсулина в человека и ввести в этого человека неправильную дозу инсулина.
К счастью, прибор очень простой, выхода в интернет не имеет, общается с пультом не по вайфаю и вообще, чтобы его угнать, нужно стоять где-то неподалеку и ловить сигнал. Наверное, в этом случае проблема несколько надуманная. Но ведь скоро же появятся такие помпы, подключенные к сети и управляемые через bluetooth/wifi с телефоновююю. Приведет ли это к появлению реального кибер-терроризма, убивающего посредством захвата контроля над, например, инсулиновыми помпами? А может к эпидемиям компьютерных вирусов, убивающих людей вокруг?
Вы как хотите, а мне чего-то боязно.
Внизу - ссылка на оригинальный отчет по безопасности помпы, занятное чтиво, если интересно:
В общем, есть такая компания Animas - дочерняя компания Johnson & Johnson. Компания производит автоматические инсулиновые помпы Animas OneTouch Ping. Если вы вдруг не знаете, инсулиновая помпа - это медицинское устройство круглосуточно вводящее инсулин при лечении сахарного диабета. Особенность этой модели в том, что она беспроводна и управляется с пульта. А еще этой модели не повезло (или повезло) попасть в руки специалисту по компьютерной безопасности, который болен сахарным диабетом первого типа. Специалист изучил прибор и подохренел:
Во-первых, данные с пульта на прибор передаются в незашифрованном виде - данные можно без проблем перехватить
Во-вторых, устройство использует статичный ключ для обмена информации с пультом, значит этот ключ можно перехватить в момент обмена между пультом и устройством и использовать его для генерации сообщений для устройство, минуя пульт устройства.
А в-третьих, когда пульт посылает сигнал на устройство, в сообщении нету никакой временной метки или уникального идентификатора. Это значит, что если любое сообщение перехватить, можно будет его повторить и оно также сожрется устройством.
Другими словами, злоумышленник может дистанционно перехватить контроль над устройством для автоматического ввода инсулина в человека и ввести в этого человека неправильную дозу инсулина.
К счастью, прибор очень простой, выхода в интернет не имеет, общается с пультом не по вайфаю и вообще, чтобы его угнать, нужно стоять где-то неподалеку и ловить сигнал. Наверное, в этом случае проблема несколько надуманная. Но ведь скоро же появятся такие помпы, подключенные к сети и управляемые через bluetooth/wifi с телефоновююю. Приведет ли это к появлению реального кибер-терроризма, убивающего посредством захвата контроля над, например, инсулиновыми помпами? А может к эпидемиям компьютерных вирусов, убивающих людей вокруг?
Вы как хотите, а мне чего-то боязно.
Внизу - ссылка на оригинальный отчет по безопасности помпы, занятное чтиво, если интересно:
I am a big fan of all gadgets. I am hung up with phones, I read all sorts of technical blogs, I’m the first to buy various new fitness bracelets and Google Chrome. But this story strained me a little. It is just about IoT (Internet of Things) and is similar to the plot of the plot of a horror film or a disaster film.
In general, there is such a company Animas - a subsidiary of Johnson & Johnson. The company manufactures Animas OneTouch Ping automatic insulin pumps. If you don’t know, insulin pump is a medical device that introduces insulin around the clock in the treatment of diabetes. The peculiarity of this model is that it is wireless and controlled from the remote. And this model was not lucky (or lucky) to fall into the hands of a computer security specialist, who has diabetes of the first type. The specialist studied the device and podohrenel:
First, the data from the console to the device is transmitted in an unencrypted form - the data can be intercepted without problems
Secondly, the device uses a static key to exchange information with the remote control, which means that this key can be intercepted at the time of the exchange between the remote control and the device and used to generate messages for the device, bypassing the remote control of the device.
And thirdly, when the console sends a signal to the device, there is no timestamp or unique identifier in the message. This means that if any message is intercepted, it will be possible to repeat it and it will also be devoured by the device.
In other words, an attacker can remotely intercept control of a device to automatically inject insulin into a person and introduce the wrong dose of insulin into that person.
Fortunately, the device is very simple, it does not have access to the Internet, it does not communicate with the remote control via Wi-Fi and in general, in order to steal it, you need to stand somewhere nearby and catch the signal. Probably, in this case, the problem is somewhat contrived. But after all, there will soon appear such pumps connected to the network and controlled via bluetooth / wifi with a telephone. Will this lead to the emergence of real cyber terrorism, killing by seizing control of, for example, insulin pumps? And maybe to the epidemics of computer viruses that kill people around?
What do you want, but I'm afraid of something.
Below is a link to the original pump safety report, amusing reading matter, if you're interested:
In general, there is such a company Animas - a subsidiary of Johnson & Johnson. The company manufactures Animas OneTouch Ping automatic insulin pumps. If you don’t know, insulin pump is a medical device that introduces insulin around the clock in the treatment of diabetes. The peculiarity of this model is that it is wireless and controlled from the remote. And this model was not lucky (or lucky) to fall into the hands of a computer security specialist, who has diabetes of the first type. The specialist studied the device and podohrenel:
First, the data from the console to the device is transmitted in an unencrypted form - the data can be intercepted without problems
Secondly, the device uses a static key to exchange information with the remote control, which means that this key can be intercepted at the time of the exchange between the remote control and the device and used to generate messages for the device, bypassing the remote control of the device.
And thirdly, when the console sends a signal to the device, there is no timestamp or unique identifier in the message. This means that if any message is intercepted, it will be possible to repeat it and it will also be devoured by the device.
In other words, an attacker can remotely intercept control of a device to automatically inject insulin into a person and introduce the wrong dose of insulin into that person.
Fortunately, the device is very simple, it does not have access to the Internet, it does not communicate with the remote control via Wi-Fi and in general, in order to steal it, you need to stand somewhere nearby and catch the signal. Probably, in this case, the problem is somewhat contrived. But after all, there will soon appear such pumps connected to the network and controlled via bluetooth / wifi with a telephone. Will this lead to the emergence of real cyber terrorism, killing by seizing control of, for example, insulin pumps? And maybe to the epidemics of computer viruses that kill people around?
What do you want, but I'm afraid of something.
Below is a link to the original pump safety report, amusing reading matter, if you're interested:
У записи 3 лайков,
0 репостов.
0 репостов.
Эту запись оставил(а) на своей стене Фёдор Зомба
