Die Herzschrittmacher und Defibrillatoren des amerikanischen Herstellers St. Jude Medical weisen haarsträubende Sicherheitslücken auf. Zu diesem Ergebnis kommt eine Untersuchung der US-Behörde für für Lebens- und Arzneimittel (Food and Drug Administration, FDA) Direktlink: Kern des Problems ist demnach die Merlin@home genannte Basisstation, die im Haus des Patienten aufgestellt wird.Per Funk, sogar aus größerer Entfernung zu beeinflussen
Sie kommuniziert über Funk mit dem Implantat und ist mit dem Internet verbunden, damit sich der behandelnde Arzt aus der Ferne über den Zustand seines Patienten informieren kann. Laut FDA können nicht autorisierte Personen durch Lücken die Basisstation manipulieren und damit die Funktion des Implantats stören. Und die Geräte können aus mehreren Metern Entfernung, unbemerkt manipuliert werden.
Herz in Gefahr
Ein Angreifer kann zum Beispiel den Takt des Herzschrittmachers manipulieren oder den Defibrillator auslösen(!!!). Auch ein rapides Entladen der Batterie ist dem Bericht zufolge durch eine Manipulation der Basis möglich. Neben Herzschrittmachern und Defibrillatoren sind Implantate betroffen, die in der kardialen Resynchronisationstherapie eingesetzt werden. ...
Ein neues Patch - gut, alles gut? Oder doch nicht alles gut?
Für Abhilfe sorgt ein Firmware-Update, das der Hersteller St. Jude Medical seit Anfang der Woche (ab 9.Jänner 2017) an die Merlin-Basis verteilt. Die FDA rät betroffenen Patienten, die Internetverbindung der Basis permanent aufrecht zu erhalten, damit gewährleistet ist, dass der potenziell lebenswichtige Patch sein Ziel erreicht, (Anm.: doch auch hier können Gefahren bestehen, die mit dem Internet verbunden sind).
Weitere Zweifel werden angemeldet
Der Sicherheits- und Krypto-Experte Matthew Green zweifelt allerdings daran, dass mit dem Firmware-Update alle Security-Probleme der Implantate gelöst wurden: Er weist in Twitter darauf hin, dass die Implantate auf zwei Wegen über Funk erreichbar sind. Es gibt eine Funkschnittstelle, die nur über die Distanz von zehn Zentimeter funktioniert und die im Krankenhaus genutzt wird, etwa um die Implantate zu programmieren. Die zweite Schnittstelle kann über mehrere Meter angesprochen werden.Letztere dient zur Kommunikation mit der Merlin-Basisstation beim Patienten (Internet/WLan). Dass kritische Befehle, wie Schocks über die Merlin-Internet-Schnittstelle abzusetzen sind, sollte eigentlich nicht möglich sein. Dem FDA-Bericht zufolge scheint das jedoch schon der Fall zu sein. Zudem setzen die Geräte laut Green auf eine schwache Authentifizierung mit lediglich 24-bit-langen RSA-Schlüsseln. Diese sei innerhalb kürzester Zeit durch geeignete Computer zu knacken.
Überlegungen zur Vorsicht sind allemal angebracht😟!
Quellen: fda.gov, Twitter, heise u.a.
Bildquellen: pixabay
Link: http://www.fda.gov/MedicalDevices/Safety/AlertsandNotices/ucm535843.htm
Twitter - Link: https://twitter.com/matthew_d_green/status/818816372637650948
---
Das Problem ist schon sehr lange bekannt, siehe:
„Terrorsicherer“ Herzschrittmacher für US-Vizepräsident Cheney