dispositifs médicaux intégrés
Un nouvel exemple d’insécurité concernant les dispositifs médicaux intelligents a récemment révélé qu’une gamme de pompes à perfusion appartenant à la marque Hospira s’exposait à des failles exploitables à distance, permettant à un criminel d’en prendre le contrôle total ou bien de rendre l’appareil tout simplement inutilisable.
Ces pompes à perfusion font partie de la nouvelle génération des dispositifs médicaux intelligents et connectés. Comme nous l’avions écrit auparavant concernant les pompes à insuline high-tech, ces dispositifs médicaux réduisent le risque d’erreurs humaines pour les personnes ayant besoin d’un traitement chronique. Malheureusement, beaucoup d’entreprises qui développent ces dispositifs ont plusieurs fois démontré leur indifférence à l’égard de la sécurité.
Les pompes à perfusion de la gamme Lifecare PCA de Hospira sont si vulnérables que le chercheur Jeremy Richards a affirmé que ces appareils étaient les dispositifs IP les moins sécurisés avec lesquels il avait eu l’occasion de travailler. Richard nous confirme également qu’un criminel se trouvant à distance pourrait nuire à ces dispositifs et les rendre inutilisables : ce processus est communément appelé « bricking ».
« Ces appareils ne sont pas seulement susceptibles d’être piratés, mais ils sont si mal programmés qu’une faute de frappe peut suffire à les rendre inutilisables », a écrit le chercheur.
Il est intéressant de préciser que, non pas un mais deux chercheurs, ont indépendamment découvert les bugs concernant les pompes à perfusion. Le premier chercheur à avoir découvert ce problème est Billy Rios, aussi connu pour avoir piraté la sécurité aéroportuaire mais également les systèmes domotiques d’une maison.
A security flaw in a widely used IV pump lets hackers raise drug-dosage limits http://t.co/8FuMz23ngG
— WIRED (@WIRED) April 10, 2015
Tandis que les recherches de Rios ont été transmises à l’ICS-CERT il y a plus d’un an, sans jamais être publiées, celles de Richards ont été rendues publiques la semaine dernière. Rios a d’ailleurs accordé à Richards sa bénédiction sur Twitter afin qu’il puisse publier ses recherches.
@dyngnosis submitted to ICS-CERT a year ago, but feel free to publish!
— Billy Rios (@XSSniper) April 29, 2015
Plus généralement, et encore plus curieusement, les dispositifs Hospira stockent les clés d’accès de protection au réseau Wi-Fi (WPA) en texte clair. Donc, si un criminel vole une seule de ces clés WPA, cela reviendrait à exposer tous les autres dispositifs sur le même réseau à d’éventuelles attaques. Ces clés peuvent également être interceptées une fois le dispositif mis hors service, si l’hôpital ne parvient pas à effacer les clés du réseau sans fil avant la mise hors service ou la vente des dispositifs. Plus simple encore, ces appareils contiennent un port Ethernet exposé pouvant permettre des attaques locales simples et rapides en utilisant des outils de piratage automatisés.
Cependant, nous ne savons pas si Hospira tente de solutionner ce problème. Selon les affirmations de Richards, l’entreprise serait en train de chercher une solution au problème, mais les propres déclarations de Hospira semblent contredire cette version.
Certaines pompes à #perfusion de la marque #Hospira contiennent des failles de #sécurité dangereuses et facilement exploitables
Tweet
En réponse à un mail envoyé par notre confrère du Threatpost, Chris Brook, Hospira a déclaré » il n’existe aucun cas de piratage concernant les dispositifs Hospira dans un milieu clinique et nous avons d’ailleurs adopté une approche proactive pour remédier à une éventuelle faille en matière de cybersécurité ». L’entreprise a aussi confirmé avoir communiqué aux utilisateurs actuels, comment gérer ces éventuelles failles. Toutefois, elle n’a pas dit qu’elle se pencherait sur la question des éventuelles failles concernant leurs produits actuels. Mais Hospira dit avoir prévu d’atténuer les préoccupations concernant cette question dans ses futurs produits.
« Il est également important de préciser que l’exploitation des vulnérabilités exige la pénétration de plusieurs couches de sécurité du réseau imposées par le système d’information de l’hôpital, comme les pare-feu sécurisés », déclare la compagnie dans un communiqué. « Ces mesures concernant la sécurité du réseau représentent la première et la plus résistante ligne de défense contre le piratage et les pompes à perfusion ainsi que leur logiciel fournissent une couche de sécurité supplémentaire. »
En attendant, nous vous laissons avec ça :
Don't buy a Hospira PCA drug pump to do security stuff. Busybx no passwd shell on 23, no-auth CGIs, also never hook it up to a human being
— dyngnosis (@dyngnosis) April 27, 2015
