医疗安全研究：起搏器生态系统网络存在安全隐患，短期内难以解决

据外媒 26 日报道，安全研究人员在本周发表的一份研究报告中指出困扰领先起搏器生产厂商的一系列网络安全问题，主要包括缺乏身份验证与加密功能、第三方软件库遭受成千上万漏洞攻击等，使起搏器再度成为医疗器械安全领域的热议话题。

起搏器是用于调节异常心律的植入式心脏装置，大多数可由医师与技术人员在设备附近或远程更新。WhiteScope IO 研究人员 Billy Rios 与 Jonathan Butts 针对四家厂商生产的起搏器程控仪（ 临床设置中用于监测可植入装置工作原理与设置治疗参数的装置 ）进行了射频通信检测。

检测结果表明，为植入体提供支持的基础设施普遍存在严重安全漏洞，患者护理与网络安全之间的斗争相持不下。此外，所有心脏起搏器系统在可移动媒介上均存在未加密文件系统。就软件而言，Rios 与 Butts 在现有厂商生产的程控仪第三方库中发现 8,000 多个已知漏洞。由于医疗机构将未加密数据（社会保障卡号与病历等）存储在程控仪中，因此部分设备不仅存在患者私人信息被窃取的风险，还具有侵犯患者隐私之嫌。

安全专家表示，纵观医疗设备现状，全面修复更新仍不失为一大挑战。尽管美国食品药品监督管理局（ FDA ）已经努力简化了网络安全更新常规流程，但检测结果仍显示所有程控仪均与存在已知漏洞的陈旧软件有关。

报告详细内容见《 Pacemaker Ecosystem Evaluation.pdf 》

原作者：Michael Mimoso，译者：青楚，译审：游弋

from hackernews.cc.thanks for it.