Pirater les humains

Vous pouvez désormais ajouter les pompes à insuline et les pacemakers à la liste toujours plus importante d’appareils contenant des bugs et vulnérables aux exploits. C’est vrai, ces petites choses en métal dans la poitrine de papy qui lancent des décharges électriques dans son cœur afin de le faire battre correctement sont susceptibles d’être piratés à distance et ce via un simple ordinateur portable. C’est aussi le cas des pompes à insuline qui ont remplacé les seringues et les injections dans le quotidien d’un grand nombre de diabétiques cherchant à réguler le  taux de sucre trop important  de leur sang.

La mauvaise nouvelle c’est que nombreux des millions d’appareils médicaux implantés sur des millions de personnes sont considérés comme vulnérables face aux attaques. La bonne nouvelle c’est que je n’ai jamais eu connaissance d’une telle attaque jusqu’à maintenant. La dure réalité concernant les cybercriminels c’est que, contrairement à la plupart des chercheurs réputés, ils ne piratent pas pour le plaisir, ils piratent pour en tirer des bénéfices. Donc, jusqu’à ce qu’on trouve une manière de faire de l’argent réel en empoisonnant une personne via son insuline ou en lui délivrant de lourdes ondes électriques dans le cœur, je ne vois tout simplement pas de motivations à ces attaques.

Je l’admet, c’est un peu gros d’imaginer des assassins-pirates s’en prenant aux personnes disposant d’appareils médicaux implantés, et c’est même complètement loufoque. La frontière entre réaliser de telles attaques, disposer des capacités médicales nécessaires, connaître les environnements impliqués et les systèmes vulnérables est tellement importante que presque personne ne peut exploiter un pacemaker ou une pompe à insuline. Et même s’ils le pouvaient, pourquoi le feraient-ils ? Pour tuer ? Si vous pensez que quelqu’un essaie de vous tuer, alors je peux vous assurer que les attaques d’appareils médicaux implantés sont le cadet de vos soucis.

Néanmoins, si un tel risque existait, il devrait être pris au sérieux. Malheureusement, Barnaby Jack, un des leaders dans la recherche sur l’implantation d’appareils médicaux, est mort le mois dernier, une semaine  avant son intervention sur le sujet à la Conférence sur la sécurité Black Hat de Las Vegas. Cependant, Jack, qui a travaillé en tant que chercheur en sécurité pour l’entreprise d’applications de sécurité IOActive, a publié un tas de recherches sur le sujet fin 2012. Ces résultats étaient pour le moins pessimistes.

À la Conférence Breakpoint qui a eu lieu en Australie l’année dernière, Jack a démontré qu’il pouvait envoyer un signal à distance depuis un ordinateur portable jusqu’à un pacemaker en faisant en sorte que l’appareil délivre une décharge potentiellement fatale et ce depuis l’intérieur du corps du patient. L’attaque étaient possible grâce à une erreur de programmation qui permettait aux chercheurs d’envoyer un ordre spécial au pacemaker et ce dernier répondait en livrant son modèle et son numéro de série. Une fois qu’il avait déterminé le type d’appareil avec lequel il fonctionnait, il était capable de délivrer une décharge de 830 volts – et donc, potentiellement fatale – au corps dans lequel le pacemaker était implanté. De plus, Jack  a démontré qu’il est possible de programmer des pacemakers  pour répandre des codes malveillants à d’autres appareils similaires du même vendeur. Par chance, ce scénario serait surement envisageable à Hollywood, mais en ce qui concerne les criminels ou les terroristes dans la vie réelle, il est plus efficace d’utiliser des bombes ou des armes.

Ce n’était pas le premier coup de poker de Jack. Il a complètement bouleversé l’industrie de la sécurité l’année précédente à la conférence Hacker Halted à Miami, en Floride, lorsqu’il a démontré qu’il pouvait réussir le piratage d’une pompe à insuline en l’obligeant à délivrer une dose fatale d’insuline à 300 mètres de distance.

Jack a modifié à distance les antennes de l’une de ces pompes et a trafiqué le logiciel qui le contrôle. Une précédente intervention de Jérôme Radcliffe à la Black Hat de 2011 avait démontré que la manipulation d’une pompe à insuline était possible si un pirate pouvait retrouver le numéro de série de l’appareil de la pompe implantée en question. Les recherches de Jack sont passées au niveau supérieur. Il a réussi à compromettre toutes les vulnérabilités des appareils sans connaître le numéro d’identification de l’appareil.

Jack était seulement un chercheur parmi beaucoup d’autres et les pacemakers et les pompes à insuline sont seulement le sommet de l’iceberg.  Parmi ceux-ci,  on compte un nombre incroyablement élevé d’appareils médicaux potentiellement vulnérables, qu’il s’agisse d’appareils implantés ou externes.  Et comme s’ils n’étaient déjà pas assez dans la lumière, le sujet de la sécurité des appareils médicaux va recevoir beaucoup d’attention dans les années et les mois à venir, et nous écrirons sur ce sujet dès lors que des recherches intéressantes seront présentées.

Un des problèmes avec la sécurité des appareils médicaux est qu’ils sont radicalement différents des ordinateurs standards.  Une pompe à insuline communique avec les médecins pour déterminer le taux d’insuline à diffuser. De même pour les pacemakers : ils délivrent une décharge électrique au cœur pour qu’il continue à battre normalement, et il communique parfois avec quelque chose situé en dehors du corps pour déterminer  de quelle intensité elle doit être.

Si ces appareils peuvent communiquer avec des sources situées à l’extérieur du corps, cela signifie qu’ils le font à distance, ce qui pose des problèmes de sécurité évidents comme l’ont démontré les chercheurs comme Jack. Il semble que la prochaine étape serait de s’assurer que ces appareils communiquent sur des canaux chiffrés et d’éventuellement installer une forme d’authentification, en limitant l’accès aux appareils. Cela peut s’avérer très éprouvant en raison du nombre élevé de restrictions imposées naturellement par ces appareils. Installer des mots de passe pourrait empêcher les docteurs d’autres pays à sauver vos vies pendant vos vacances. Le chiffrement pourrait rapidement vider la batterie d’un petit appareil implanté. Ces épreuves sont nouvelles et n’ont pas encore de réponse.

S’il est bien une chose dont je suis sûr, c’est que les médecins et certains des chercheurs en sécurité font partie des personnes les plus intelligentes au monde. Mais il n’y pas que cela, les médecins sont très fiers de sauver des vies. Les chercheurs en sécurité eux-mêmes font parfois de l’excès de zèle au moment de protéger les données et les systèmes.

Il n’y a pas grand chose que vous puissiez faire  pour vous protéger dans ce cas. Personne ne développe de produits de sécurité pour ce genre de problème et je doute sérieusement qu’il y ait quoique ce soit qui aide les utilisateurs à contrôler leur sécurité. Je suppose que si vous souffrez de diabète vous pouvez retourner à l’ancienne méthode de gestion de votre taux d’insuline, soit par des injections. Avec un peu de chance, vous n’aurez jamais à porter d’appareil : le meilleur que vous puissiez faire est de garder un œil sur les fabricants et les docteurs et espérer qu’ils prêtent attention à de telles recherches, ce qu’ils font certainement.

Cela pourrait sembler imprudent de publier des informations aussi sensibles de la sorte, mais vraiment, le travail de Jack et d’autres travaux similaires sont susceptibles de  pousser les fabricants d’appareils médicaux à commencer à fabriquer  et à maintenir des équipements sécurisés. Ce sont des docteurs et des ingénieurs après tout. Ils apprennent de leurs erreurs. Lorsqu’un chercheur leurs montrent un bug dans leurs produits, ce bug ne se reproduira sûrement plus.

L’essentiel à retenir est que les appareils médicaux implantés sauvent des millions de vies chaque année et le nombre de personnes qui sont morts suite à un piratage d’appareil médical est proche de zéro.