VULNERABILIDADES DE SEGURIDAD EN SISTEMAS EMBEBIDOS

Características básicas de Kaspersky OS

FUENTE

Sitio web de KasperskyOS

Los últimos aportes tecnológicos en el campo médico han representado un verdadero incremento no sólo en la calidad de servicio brindado por entidades de salud, sino también en la calidad de vida de muchos pacientes con enfermedades crónicas de complejidad diversa.

Tales mejoras vienen de la mano de nuevas funcionalidades en dispositivos médicos, que de a poco van integrándose en nuestro mundo de redes e Internet. Los avances en dispositivos implantados (IMD) permiten solucionar afecciones de variada índole, cumpliendo normalmente una función vital en su portador, pero acarreando nuevas consideraciones en materia de seguridad que continúan siendo subestimadas.

En este contexto, ¿podemos “contagiarnos” de virus informáticos? No sólo es posible para un virus infectar de forma inalámbrica un dispositivo médico implantado, sino que luego tal dispositivo puede propagar el virus de igual modo a sus pares, derivando en la misma situación que un contagio por virus biológico.





Como agregado, la implementación de equipos médicos seguros presenta desafíos no menores, como ser costo de desplegar y mantener una red médica segura, desembocando en un alarmante número de organizaciones de salud que no llevan a cabo un detallado análisis de riesgos, tal y como debiesen.


Existen numerosas razonas que sirven de motivación a atacantes para vulnerar estas herramientas. Entre ellas encontramos las siguientes:

    Son considerados un blanco fácil ya que presentan aplicaciones antiguas con un inadecuado nivel de seguridad. La gran mayoría de los dispositivos biomédicos se encuentran “sellados” -no permiten modificaciones- y no son capaces de correr agentes de autenticación de terceros o software suplicante para 802.1X, sin existir manera para el usuario de intervenir en estos equipos mediante un navegador web.

    Abren la posibilidad de recolectar datos del paciente, ya sean clínicos o financieros, para conseguir provecho de ellos mediante variadas formas de lucro, como venta ilegal o extorsión.
 

El problema de la seguridad física

Estos equipos normalmente se encuentran desplegados dentro del alcance físico del paciente y muy pocos incluyen mecanismos de logueo para prevenir el acceso no autorizado, buscando salvaguardar la disponibilidad inmediata en caso de emergencia. Un porcentaje muy pequeño de dispositivos –por ejemplo, las bombas de infusión inteligentes-, presentan la opción de bloquear el sistema, generalmente deshabilitada por defecto.

Sin embargo, la presencia de autenticación de credenciales para el modo de mantenimiento se vuelve crucial a fin de evitar ataques que produzcan cambios en la configuración del equipo con consecuencias de alto riesgo para el paciente.

Otras buenas prácticas incluyen:

    Adquisición de equipos que permitan utilizar certificados, en contraste con sistemas de acceso por nombres de usuarios y contraseñas, ya que puede gestionarse su revocación o renovación de manera remota.

    Evitar equipos antiguos que no utilicen métodos no robustos de cifrado como ser WEP. De no ser posible esto, aislarlos correctamente del resto de la infraestructura de red.

    Crear dominios PKI específicos para dispositivos médicos móviles, y asegurarse que los mismos permitan diferentes certificados.

    No olvidar contemplar que estos dispositivos normalmente incorporan puertas traseras para el fabricante. Permitirle la comunicación directa mediante estas backdoors sin debilitar el nivel de seguridad del sistema ni exponer las zonas críticas a peligros externos debe ser un aspecto a tener en cuenta en el diseño de las capas de la topología de red.