hackeo
Vemos como cada vez más añadimos dispositivos informáticos, como bombas de insulina y los marcapasos, a nuestra vida cotidiana. Éstos contienen errores y, por lo tanto, son vulnerables a la explotación. Así es, esa pequeña cosa de metal en el interior del pecho del abuelo que dispara impulsos eléctricos para mantener latiendo el corazón del anciano es vulnerable a un hackeo remoto e implica nada más que un ordenador portátil. También lo son las bombas de insulina que han sustituido a las jeringas y las inyecciones diarias para muchos diabéticos que buscan regular los niveles de azúcar en la sangre.
La mala noticia es que muchos de los millones de dispositivos médicos integrados en muchos millones de personas son vulnerables a los ataques. La buena noticia es que no sé de ningún caso en que alguien realmente haya atacado a uno de estos dispositivos en la vida real. La dura verdad es que los cibercriminales, a diferencia de muchos de estos investigadores sumamente inteligentes, no piratean por diversión, sino con fines de lucro. Así que hasta que encontremos una manera de hacer dinero envenenando a una persona con insulina o administrando una descarga pesada para marcapasos, yo no veo mucho incentivo para este tipo de ataques.
Admito que es bastante fantasioso imaginar algún hacker-asesino que caza dispositivos médicos integrados, pero también sería increíblemente tonto. La barrera de entrada para llevar a cabo uno de estos ataques, la capacidad técnica, los entornos de prueba, y el conocimiento de los sistemas vulnerables es tan alto, que casi nadie podría aprovechar un marcapasos o una bomba de insulina. E incluso si pudieran, ¿por qué lo harían? ¿Para cometer asesinato? Si piensas que alguien está tratando de matarte, entonces te aseguro que los ataques de dispositivos médicos integrados deben ser la menor de tus preocupaciones.
Sin embargo, si existe un problema de seguridad, que debe ser tratado. Lamentablemente, Barnaby Jack, una de las personas a la vanguardia de la investigación en dispositivos médicos implantables, murió el mes pasado, justo una semana antes de presentar un informe sobre el tema en la conferencia de seguridad Black Hat en Las Vegas. Jack, quien se desempeñaba como investigador de seguridad para la firma de seguridad IOActive, dio a conocer bastante investigación sobre el tema a finales de 2012. Sus hallazgos fueron algo tristes.
En la conferencia de Breakpoint en Australia el año pasado, Jack demostró que podría enviar una señal de su computadora portátil de forma inalámbrica a un marcapasos y asesorar al dispositivo para administrar una descarga fatal al interior del cuerpo del paciente. El ataque surgió de un error de programación por lo que el investigador podría enviar un comando especial para el marcapasos y éste respondería con su modelo y número de serie. Una vez que se determina con qué tipo de dispositivo se estaba trabajando, pudo descargar 830 voltios – potencialmente mortales – al cuerpo que cargaba el marcapasos. Por otra parte, Jack demostró que es posible descargar un programa para propagar códigos maliciosos a otros marcapasos similares del mismo fabricante. Afortunadamente este escenario suena algo hollywoodense y los criminales de la vida real prefieren utilizar bombas y armas de fuego.
Este no fue el primer rodeo de Jack tampoco. El investigador dio varias conferencias sobre la industria de seguridad, por ejemplo, un año antes de su muerte en la conferencia Hacker Halted en Miami, Florida, cuando demostró cómo un ataque puede comprometer con éxito una bomba de insulina y obligar a entregar una dosis letal de insulina desde lugares tan lejanos como 300 pies.
Jack logró modificar las antenas de estas bombas inalámbricas y jugar con el software. En una anterior presentación en Black Hat 2011, Jerome Radcliffe demostró que la manipulación de la bomba era posible si un atacante podía rastrear el único número de la bomba implantable en cuestión. La investigación de Jack se elevó al siguiente nivel. Reveló que se podría poner en peligro todos los dispositivos vulnerables sin conocer su identificación numérica.
Jack era un investigador entre muchos y los marcapasos y bombas de insulina son sólo la punta del iceberg. Más allá de que hay un número inconcebiblemente masivo de dispositivos médicos potencialmente vulnerables, tanto implantables como externos. Pero como si no fuera suficiente, este tema ganó terreno en las investigaciones y se va a poner mucha atención en los años y meses que siguen. Cada vez que haya una investigación interesante, nosotros vamos a informales.
Uno de los problemas con los dispositivos médicos fijos es que son radicalmente diferentes de las computadoras estándar. Una bomba de insulina administra la insulina y se comunica con los médicos para determinar los niveles de insulina que debe entregar. Lo mismo para los marcapasos: entregan un impulso eléctrico al corazón para mantenerlo latiendo normalmente, comunicándose con algo fuera del cuerpo para determinar qué tan fuerte tiene que ser el impulso.
Si estos dispositivos pueden comunicarse con fuentes de fuera del cuerpo, de forma inalámbrica, esto presenta algunos evidentes problemas de seguridad como Jack y otros investigadores demostraron. El siguiente paso, según parece, sería asegurarse de que estas cosas se comunican a través de canales cifrados y tal vez establecer alguna forma de autenticación, lo que limita el acceso a los dispositivos. Podría ser muy difícil debido a las numerosas restricciones impuestas por la naturaleza de estos dispositivos. Una opción es la configuración de contraseñas, pero esto también puede evitar que los médicos en otro país salven tu vida durante tus vacaciones. El cifrado, además, puede agotar rápidamente la batería de un pequeño dispositivo implantado. Estos retos son nuevos y las respuestas aún son difíciles de encontrar.
Si hay una cosa segura es que los médicos y los investigadores de seguridad son algunas de las personas más inteligentes del mundo. No sólo eso, pero los médicos se enorgullecen al salvar vidas. Los investigadores de seguridad son un poco demasiado entusiastas cuando se trata de la protección de datos y sistemas.
No hay mucho que se pueda hacer personalmente para protegerse en estos temas. Nadie está desarrollando productos de seguridad para protegernos de estas cosas y tengo serias dudas de que el usuario mismo pueda controlar la configuración de seguridad de estos dispositivos. Supongo que si sufres de diabetes, siempre puedes volver al viejo monitoreo de azúcar en sangre e inyectarse manualmente insulina. Tal vez tengas suerte y no tengas que usar un marcapasos, bombas de insulina, o cualquier otro dispositivo médico implantable, pero si ya usas uno lo mejor que puedes hacer es mirar a los fabricantes y los médicos y prestar atención a este tipo de investigaciones.
Puede parecer imprudente publicar información tan sensible de esta manera, pero en realidad, Jack y otros trabajos similares son los únicos que pueden empujar a los fabricantes de dispositivos médicos para empezar a mantener los equipos más seguros. Ellos son los médicos e ingenieros, después de todo. Deben aprender de sus errores. Cuando un investigador les muestra un error en sus productos, el fallo probablemente no vuelva a aparecer.
La conclusión es la siguiente: los dispositivos médicos integrados salvan millones de vidas cada año y el número de personas que han muerto como consecuencia de un hackeo de dispositivos médicos es de cero personas.
Consejos