Krabička za tisíc dolarů proti vašemu srdci
V srpnu 2008 postavili výzkumníci Kevin Fu z University of Massachusetts Amherst a Daniel Halperin, tehdy doktorand na University of Washington, zařízení za méně než tisíc dolarů, které dokázalo bezdrátově ovládnout implantabilní defibrilátor se vší funkcí kardiostimulátoru. Vývoji předcházely dva roky práce. Nebyl potřeba žádný chirurgický zákrok ani přímý kontakt, stačilo mít přístroj v blízkosti. Zařízení, které má hlídat srdeční rytmus, šlo na dálku přimět, aby dělalo něco úplně jiného. Výsledky představili na konferencích Black Hat a Defcon v Las Vegas a později popsali ve vědecké práci pro IEEE Symposium on Security and Privacy.
Jak se dá napadnout přístroj zašitý v hrudníku?
Logická otázka zní, vždyť kardiostimulátor přece není připojený k internetu ani k wifi, jak by ho tedy někdo mohl ovládnout zvenčí? Lékař ale potřebuje přístroj kontrolovat a přeprogramovávat i bez operace, třeba při běžné návštěvě ordinace. Musí tedy existovat způsob, jak se s ním domluvit bez skalpelu. K prvnímu zkoumanému kusu se tým dostal nečekaně snadno, lékař William H. Maisel z Beth Israel Deaconess Hospital věnoval Fuovi starý vyřazený kardiostimulátor poté, co pacientovi implantoval nový. A právě v té bezdrátové domluvě mezi přístrojem a programovacím zařízením se skrývala skulina.
Tajná řeč, kterou přístroj mluví nahlas
Testovaný model, Medtronic Maximo DR, se s externím programátorem v ordinaci domlouvá na rádiové frekvenci 175 kilohertzů. Komunikace ale nebyla nijak chráněná, chyběl jakýkoli šifrovací klíč, který by ověřil, že na druhém konci je opravdu autorizovaný lékařský přístroj.
Výzkumníci použili takzvané softwarové rádio, v podstatě univerzální rádiový vysílač a přijímač, který neřídí pevně zapájené součástky, ale počítačový program, konkrétně nástroj GNU Radio. Nejdřív s pomocí osciloskopu rozklíčovali, jakým jazykem spolu přístroje mluví, a pak ten jazyk naprogramovali do svého rádia. Výsledkem byl systém, který uměl signál nejen odposlouchávat, ale i věrně napodobit.
Co všechno šlo se zařízením udělat
Odposlech odhalil citlivé údaje, jméno pacienta, jméno lékaře, diagnózu i historii nastavení přístroje. Horší bylo, že šlo zařízení i aktivně řídit. Halperin popsal, že dokázali spustit jeho testovací režim, vybít baterii nebo vypnout terapeutické funkce, tedy přesně ty, které mají udržovat srdeční rytmus v pořádku. U zařízení, které běží v těle nepřetržitě a bez dozoru, znamená i krátký neoprávněný zásah vážné riziko.
Jeden model, jeden důkaz principu
Fu sám přiznal, že útok nezkoušel na jiných značkách ani modelech, cílem bylo dokázat akademický princip, ne zmapovat celý trh. Testovaný přístroj navíc v době pokusu nebyl implantován v žádném pacientovi, šlo o laboratorní ukázku. Přenosná krabička stála pod tisíc dolarů, samotný výzkum a laboratorní zázemí, které mu předcházely, ale podle dobových zpráv vyšly na víc než třicet tisíc dolarů. Přesto Halperin varoval, že totéž dnes zvládne i akademický tým s omezeným rozpočtem, a vyzval k rychlému řešení, než se podobné útoky stanou běžně dostupnými. Zjištění zároveň otevřelo otázku odpovědnosti pro firmy, které podobná zařízení vyrábějí, na trhu jich tehdy bylo celkem pět.
Vidět neviditelné spojení
Přístroj, který většina lidí vnímá jako čistě mechanickou pomůcku, je ve skutečnosti malý počítač s rádiovým spojením. Kdo si tuhle souvislost uvědomí, dívá se na běžné věci kolem sebe trochu jinak než ostatní u stolu. Výzkum týmu kolem Kevina Fu a Daniela Halperina, který vznikl ve spolupráci Beth Israel Deaconess Medical Center, Harvardovy lékařské fakulty, University of Massachusetts Amherst a University of Washington, patřil mezi první varovné signály, že bezpečnost zdravotnických implantátů, tedy šifrování komunikace a ověřování, kdo s přístrojem vlastně mluví, se musí brát stejně vážně jako bezpečnost počítačů.