不可忽視的醫療健康設備安全隱患

■ 北京 李賀

編者按：隨著人們對自身健康的追求，有越來越多的人開始使用醫療健康設備，不僅包括醫院的專業醫療設備，更寬泛地講，像血糖儀及監測心率的可穿戴設備等也可以包括在內。像這些醫療健康設備在給人們帶來方便的同時，也存在一些潛在的安全問題。

以往在醫療保健領域似乎幾乎很少采用更多最新的前沿技術。盡管如此，新技術正在興起，從實時無線訪問，通過智能手表和可穿戴設備檢測健康參數，再到植入體內的醫療設備。需要明確的是，雖然有些設備嚴格意義上講并非歸類為醫療設備，但它們也可收集人們的健康數據。那么我們能確保這些設備的安全性嗎？

幾年前在Black Hat 大會上曾展示了一個胰島素泵被黑客入侵的研究，引起人們對醫療健康設備安全性的擔憂。不管該設備上誰的軟件份額最大，監管機構表示，即使操作系統具有良好的安全記錄，集成商也要負責上下堆棧的安全性，包括底層操作系統。換句話說，無論使用何種技術，設備制造商均應承擔安全責任。

雖然這給設備制造商帶來了一定的安全負擔，也極大地增加了將設備推向市場的成本和復雜性，但它也可能在不知不覺中使患者處于不安全的狀態。

那么，安全補丁又將由誰來負責呢？根據相關法規，這也是制造商的責任。由于某些醫療設備會在用戶中使用很多年，因此需要花費很長時間來支持這些設備的維護。

是什么使設備易受攻擊？以及被黑客入侵的可能性有多大？在醫療健康中的互聯網連接設備的安全性上，有五個數字方面的缺陷。

安全問題

1.藍牙

許多醫療設備都通過藍牙集成了監視和交互功能，而藍牙中的很多漏洞都有一定歷史了。盡管可能有補丁，但很難確定在醫療領域的實際采用率和時間表。同時，如果用戶的血糖測量結果受到篡改，那么用戶根據錯誤的數據來調整血糖水平，則可能會面臨生命危險。

2.Windows 系統

由于進行集成的制造商的系統更新往往滯后，許多醫院都有用于其醫療設備的管理計算機，這些計算機運行在不受支持的舊Windows版本上。如果制造商只是簡單地發布最新的Windows 補丁程序，而無法在對其進行廣泛測試來查看相關的集成問題，那么這種補丁程序可能會存在潛在隱患。一旦有漏洞被攻擊者發現，就會帶來極大的安全風險，因為制造商可能很久才會修補漏洞。

3.云

許多植入的設備通過云連接將數據傳輸給臨床醫生，以促進健康狀況更新并觸發可能需要引起患者注意的事情。但現如今無法確保云的安全性，患者不太可能有辦法了解潛在的漏洞，而攻擊者會迅速利用已知的漏洞并實施攻擊。在某些情況下，患者出于安全的擔憂而選擇退出與起搏器的外部通信，但是植入設備采用云技術的趨勢已非常明顯，一定程度上難以避免。

4.以太網

許多醫療設備都通過以太網接入醫療TCP/IP 網絡，但是對于許多臨床醫生和患者來說，很難注意到與現有連接相串聯的網絡分流器。通過嵌入在此分流器中的無線鏈路竊取數據，攻擊者可以窺探流量和利用相關漏洞。這樣，攻擊者只需一次物理訪問即可實現目標，且成本低廉。

5.無線鍵盤

鍵盤記錄器是記錄鍵盤擊鍵的一種攻擊方式，特別是冒充插入插座的USB 充電器來偵聽擊鍵信號，并通過工業4G 無線網卡來傳播數據。這種攻擊方式可以捕獲通過鍵盤鍵入的密碼之類的敏感數據，但也可以允許攻擊者繞過安全產品的警告提示來嘗試下載和安裝遠程后門漏洞。

如何防范

這些關乎每個人健康狀況的醫療健康設備的安全性必須引起重視。那么我們應當采取哪些防范措施呢？以下幾點或許能夠幫助到您。

1.保護您的手機

許多醫療物聯網設備都是將智能手機作為接口，并用作收集、存儲和共享健康數據的手段。因此，無論您是Android 還是iOS 手機，都需要在手機上安裝安全軟件，以便保護手機來訪問和控制相關內容。

2.為設備設置強密碼

一些物聯網設備非常容易受到攻擊，正是因為它們的默認用戶名和密碼。這些出廠設備默認的用戶名和密碼通常是可以被查到的，因此在購買這些設備之后，首先就需要重新設置強密碼，并確保這些密碼的安全。最好不要將它們存放在筆記本或便簽上，不如考慮使用密碼管理器來管理這些密碼。

3.使用雙因素身份驗證

其實在銀行或在購物時登錄相關帳戶，很多人都會遇到雙因素身份驗證。通過使用您的用戶名和密碼以及發送到您另一臺設備（通常是手機）的驗證碼的組合來登錄設備，相比于單一驗證方式，黑客想要破解您的設備就會困難很多。如果您的醫療健康設備支持雙重身份驗證，請盡快啟用來提高設備安全性。

4.定期更新

對設備的固件或軟件版本進行及時更新是至關重要的，以便可以從設備上獲得最新功能。更為重要的是，更新也包括對安全的升級，以便能夠及時修復漏洞。當然，最好將設備設置為自動更新。

5.保護路由器

與其他設備一樣，醫療健康設備也會使用家庭WiFi網絡連接到Internet。確保該路由器使用了強度較高且區別于其他設備的密碼，以防止被暴力破解或撞庫。另外，還要更改路由器的名稱，以防止它泄露您的地址或身份。再者，檢查路由器是否使用了加密方法，例如WPA2，以便確保路由器信號的安全。如果對安全性要求較高，還可以考慮購買具有內置安全保護功能的高級路由器，這樣可以監視連接到網絡的任何可疑設備。

6.使用VPN 和全面的安全解決方案

與上述類似，如果想要進一步保護通過Internet發送的健康數據，可以使用VPN。VPN 通過使用加密的連接方式來發送和接收數據，從而防止數據被窺探。這有助于確保您的健康數據的安全。

7.購買設備時，應深入研究

如今有越來越多的人有意愿購買新的聯網健康設備。要想確保設備的安全，在購買時不妨多閱讀有關對這些設備的評論，以及有關其制造商的新聞。詳細了解設備制造商在安全方面的措施，例如是否曾發生數據安全事件等。

結語

多年來，醫療領域在安全防護方面都相對落后。盡管近期醫療網絡安全工作已邁出了重要的一步，但許久以來，發生關于醫療健康設備的網絡安全事件相對不是很常見，這也減少了人們對這些設備安全性的關注。在未來幾年內，醫療行業的網絡安全建設將是一項挑戰。但如今醫務工作者和網絡安全從業者們已經開始注意到這些方面的威脅。希望人們在享受醫療健康設備給自身帶來好處，了解自身健康數據的同時，能夠更多地關注可能關乎自身健康的醫療健康設備的安全問題。