Ein Blick auf den Rückschlag bei Insulinpumpen-Hacking und Sicherheit

Als die Insulinpumpen-Hackergeschichte vor zwei Wochen zum ersten Mal brach, betrachteten wir es hauptsächlich als Werbegag. Aber es hat einige interessante Auswirkungen gehabt. Bemerkenswerterweise haben sich zwei Kongressabgeordnete verstärkt und die Regierungsbehörde für Rechnungskontrolle (GAO) gebeten, die Vorgehensweise der Federal Communications Commission für Medizinprodukte mit drahtlosen Fähigkeiten zu überprüfen, um sicherzustellen, dass die Geräte "sicher, zuverlässig und sicher" sind. Nun, das scheint eine gute Nachricht zu sein …

Der Tohuwabohu war genug, um Jay Radcliffe, Computer-Sicherheitsexperte und Typ-1-PWD, am vergangenen Donnerstag ein Folge-Webinar zu halten. Im Folgenden finden Sie eine Zusammenfassung von Allisons Notizen zu diesem Ereignis:

* Seit dem letzten Donnerstag ist bekannt, dass der Hersteller der Pumpe, in die Jay gehackt wurde, Medtronic Minimed ist.

* Seine Argumentation und Motivation für den Hack? Jay behauptet, er sei von der Geschichte von zwei Männern inspiriert worden, die vor ein paar Jahren in San Francisco einen Stadtpark in einem Stadtpark hackten. Die Stadt war gezwungen, Sicherheitsmaßnahmen für die Zähler neu zu bewerten. Jay hatte anscheinend das gleiche im Sinn, als er sich in seine eigene Insulinpumpe einhakte. Er sagt, er wolle den Unternehmen helfen, indem sie ihre "Sicherheitslücken" zeigen.

* Die Reaktionen auf Jay's ursprüngliche Darstellung haben die Skala überschritten, aber das, was Jay bisher am meisten erzählt hat, war das von Medtronic selbst. Die Gesellschaft hat die Vorstellung möglicher Risiken weitgehend abgelehnt. Deshalb hat sich Jay dazu entschlossen, den Namen des Herstellers zu veröffentlichen, sagt er: "Mich zu blasen, ist keine ethische Antwort."

Das Ergebnis ist, dass er mit der Firma ein bisschen sauer zu sein scheint - oder zumindest eine "er sagt, sie sagt" Situation, in der die Wahrheit wahrscheinlich irgendwo dazwischen liegt:

* Jay erklärt: "Die Electronic Frontier Foundation und ich haben viel zu diesem Thema gearbeitet. Sehr oft werden wir in der Sicherheitsbranche ein Problem melden, ohne einen Anbieter zu kontaktieren. Unternehmen, die nicht mit Sicherheit arbeiten Probleme werden oft versucht und angezettelt, um zu verhindern, dass Forschung ans Licht kommt.Es ist leicht legitime Forschung von einem Individuum in einem Berg legaler Papiere zu begraben.Die Antwort darauf ist ethische Offenlegung … Normalerweise ist das Unternehmen dankbar für diese Geste und behebt die Probleme, ohne öffentliche Aufmerksamkeit oder Druck zu haben, etwas zu eilen, manche nicht. "

* Jay hat Medtronics Reaktion Punkt für Punkt auseinander genommen:

Medtronic sagt:" Informationssicherheit von Geräten … ist ein integraler Bestandteil des Gewebes von unseren Produktdesign-Prozessen. "

Jay sagt:" Das ist eindeutig nicht der Fall ", da er bei seinem Hacker-Angriff" keine Authentifizierung oder Verschlüsselung verwendet "fand und er in Vegas öffentlich zeigte, dass dort

sind Sicherheitslücken.

Medtronic sagt: "Dank unserer Informationssicherheitsmaßnahmen sind wir der festen Überzeugung, dass es für Dritte äußerst schwierig sein wird, Ihre Insulinpumpe drahtlos zu manipulieren."

Jay sagt: "Es gibt keine Sicherheitsmaßnahmen. Die Seriennummer des Geräts zu kennen ist keine Sicherheit." Er behauptet, dass es für jeden Hacker ziemlich einfach wäre, zu ersinnen, was die sechsstellige Seriennummer für eine Insulinpumpe ist. (Wir sind nicht sicher, wie …?)

Medtronic sagt: "Unseres Wissens gab es in mehr als 30 Jahren Telemetrie-Nutzung von Geräten, die Millionen von Geräten weltweit umfassen, nie einen einzigen gemeldeten Vorfall drahtloser Manipulationen außerhalb von kontrollierten Laborexperimenten. "

Jay sagt:" Bis jetzt. " Das liegt natürlich nur daran, dass niemand

daran gedacht hat, in eine Insulinpumpe zu hacken. Aber nur weil niemand jemals daran gedacht hat, es zu tun, heißt das noch lange nicht, dass niemand es jemals tun wird. (Schätze, wir wären uns da einig: Daumen drücken ist keine große Sicherheitsmaßnahme.)

Medtronic sagt: "Er … hat die drahtlose Funktion eingeschaltet und hatte Zugriff auf spezielle Geräte … Sie können jede Unsicherheit beseitigen, indem Sie die drahtlose Kommunikation auf Ihrem Gerät ausschalten."

Jay sagt: " das ist nicht wahr "und dass die drahtlose Fähigkeit einer Insulinpumpe nicht ausgeschaltet werden kann. Aus diesem Grund konnte er Einstellungen oder Konfigurationen auf seinem Gerät ändern. Außerdem hat er Bedenken wegen des Labels "specialized equipment", da er sein

Carelink USB-Gerät verwendet habe. Obwohl er KEINE Schritt-für-Schritt-Anweisungen für

gegeben hat, wie

er dieses Gerät benutzt hat, hat Jay den gesamten Hack auf der Bühne in Las Vegas gespielt, in dem er sagt "ungefähr eine Minute". < ! - 2 -> Jay behauptet auch, er habe mit dem Department of Homeland Security zusammengearbeitet, um mit dem Büro von Medtronic's CEO in Verbindung zu treten und dort am 10. August Nachrichten zu hinterlassen.

Natürlich mussten wir etwas tiefer in die andere Seite der Geschichte. So beantwortete Medtronic unsere Anfragen:

John Mastrototaro, Vizepräsident für Forschung und Entwicklung bei Medtronic, teilte uns am 26. August in einem Telefonat mit, dass er gerade mit dem Ministerium für innere Sicherheit in einer informellen Diskussion gesprochen habe Folge den Behauptungen, die Jay gemacht hat. " Er sagt, dies sei seine erste Konversation mit DHS und er sei sich nicht bewusst, dass sie zuvor versucht hätten, Medtronic zu kontaktieren.

Konkret sagt er: "Es gibt Sicherheit und Authentifizierung im Produkt. Aber es gibt keine Verschlüsselung. Diese Sicherheitsexperten haben zwei verschiedene Bedeutungen." Er wiederholte, dass ihre "primäre Sicherheitsmethode" in der Geheimhaltung der sechsstelligen Seriennummer liegt, die sich auf der Rückseite einer Insulinpumpe befindet. Ein weiterer Reaktionspost auf dem Blog des Unternehmens, der am Freitag stattfand, lautete: "Wir empfehlen Ihnen, die Seriennummer Ihrer Pumpe zu schützen, genauso wie Ihre Sozialversicherungsnummer, Passwörter und andere wichtige persönliche Informationen." Hmmm.

John sagte auch: "Eine Herausforderung für uns als Organisation ist, dass wir Kompromisse machen müssen, wo wir unsere Forschungsdollars hinstellen und welche Probleme wir haben werden lösen.Wir haben uns sehr auf das Artificial Pancreas Project konzentriert … Unsere neuen Plattformen werden die neueste Verschlüsselungstechnologie in diese Geräte integrieren. Der Versuch, dem Ball weit voraus zu sein, ist sehr schwierig. Es kann 5-7 Jahre dauern, bis neue Technologie herauskommt. Es wird immer ein potenzielles Risiko geben, dass es eine Weiterentwicklung der Technologie gibt, die den Produkten noch einen Schritt voraus ist. Unser Ansatz war definitiv proaktiv und ernst, obwohl es ein Fernrisiko ist, wie Jay gesagt hat. Wir wollen Lösungen in unsere zukünftigen Iterationen von Produkten integrieren, so dass wir es noch schwieriger machen, solche Dinge zu erreichen. "

Eine interessante Tatsache ist, dass die Sicherheit in der Paradigm Insulinpumpe ist 12-14 Jahre alt. "Dies wurde vor 9/11 erstellt, bevor böswillige Absichten wirklich entstanden - als Sie in der Lage waren, eine Wasserflasche in das Flugzeug zu nehmen", sagt John. Zwölf vor 14 Jahren? Haben nicht genug neue Insulinpumpen seither herauskommen, dass sie nur eine

wenig

Verbesserung der Sicherheit hätten machen können? Wir geben zu, die Wahrscheinlichkeit des Hackens scheint ziemlich niedrig zu sein. Aber immer noch, mehr als ein Jahrzehnt und < keine Sicherheits-Upgrades <--2 -> Sicherstellen, dass drahtlos aktivierte medizinische Geräte keine schädlichen Interferenzen mit anderen Geräten verursachen.

Überwachung solcher Geräte, um sicherzustellen, dass sie sicher, zuverlässig und sicher sind.

1. Koordiniert seine Aktivitäten mit der Food and Drug Administration. "
3. Sie schreiben auch:" Bei der Entwicklung innovativer drahtloser Technologien und Geräte für das Gesundheitswesen ist es entscheidend, dass diese Geräte sind Lage zusammen und mit anderen Krankenhauseinrichtungen zu betreiben, und nicht mit dem jeweils anderen Aktivitäten und Datenübertragungen. "
4. Jay Radcliffe ist offensichtlich sehr erfreut über diese Entwicklung stören. um ihn zu dieser Offenbarung ist das Verhalten des Unternehmens als Reaktion mehr Anlass zur Sorge als die tatsächliche Hacking selbst.
5. in diesem Sinne hat Jay bekannt, dass er nicht mehr ein Medtronic Benutzer, sondern hat Animas geschaltet. er plant, ihre Insulinpumpe in ähnlicher Weise zu hacken. Wenn dies gelingt, sagt er "Ich werde die gleichen Maßnahmen ergreifen wie zuvor. Hoffentlich Animas / J & J verhält sich besser als Medtronic hat.“Pass auf, Animas!

Was bedeutet das alles für den Rest von uns Pumper? Natürlich können wir nur unsere Finger kreuzen, dass dies nicht weiter das Moor nach unten bereits schmerzhaft langsam FDA-Prozess für die Zulassung neuer Diabetes-Geräte, wie das Medtronic Veo-System mit Low-Glucose-Suspend-Funktion (hoffentlich Hacker-Safe!).

Sollten wir uns auch um reale und unmittelbare Risiken für unsere persönliche Sicherheit sorgen? Ich denke, SecurityWatch hat es am besten gesagt, als sie kürzlich sagten: "Radcliffes Hack ist interessant und hilfreich für Druckerhersteller, um ihre Sicherheit zu verbessern, aber nicht besonders beängstigend."

* * *

Kabinendrucksicherheit:

As Wenn unsere Sorgen als Pumper nicht zahlreich genug waren, hat jetzt ein Endokrinologe in Australien entdeckt, dass Kabinendruckänderungen während des Fluges gelegentlich mit der Dosierung in Konflikt geraten könnten.

Nachdem wir gehört hatten, dass ein 10-jähriges Mädchen eine Stunde nach dem Abflug tief ging (und wir unterstellt, dass sie jede

andere

mögliche Ursache für einen niedrigen Blutzucker ausgeschlossen haben?!), Bruce Das King of John Hunter Kinderkrankenhaus in Newcastle, Australien, und seine Kollegen entdeckten andere Fälle von Insulinpumpen, die nach dem Start ebenfalls nachgelassen hatten. Anscheinend war das genug, um eine Mini-Studie zu entfachen, in der sie 10 Insulinpumpen in die Luft schickten und feststellten, dass sie im Durchschnitt 1: 1 gaben. 4 zusätzliche Einheiten Insulin während des Starts. Während des Abstiegs, wenn der Kabinendruck anstieg, wurde etwas Insulin in die Pumpen um ungefähr 1 Einheit zurückgesaugt.

Natürlich sind 10 Insulinpumpen kaum eine statistisch signifikante Zahl, und eine Insulineinheit wird wahrscheinlich für die meisten erwachsenen Patienten keinen Deal-Breaker sein (aber es hat einen großen Unterschied für den 10-Jährigen gemacht!) . Wir würden sagen, dass Eltern von kleinen Kindern, die dazu neigen, während des Fluges niedrig zu werden, dies zur Kenntnis nehmen und sich entsprechend anpassen möchten.

Disclaimer : Inhalt, der vom Team der Diabetes Mine erstellt wurde. Für mehr Details klicken Sie hier. Haftungsausschluss

Dieser Inhalt wurde für Diabetes Mine erstellt, ein Verbrauchergesundheitsblog, der sich auf die Diabetes-Community konzentriert. Der Inhalt wird nicht medizinisch überprüft und entspricht nicht den redaktionellen Richtlinien von Healthline. Für weitere Informationen über die Partnerschaft von Healthline mit der Diabetes Mine, klicken Sie bitte hier.