Eksperci ds. Bezpieczeństwa włamują się do zdalnie sterowanego robota chirurgicznego

Kluczowym wąskim gardłem, które uniemożliwia wykonywanie operacji ratujących życie w wielu częściach świata, jest brak wyszkolonych chirurgów. Jednym ze sposobów na obejście tego jest lepsze wykorzystanie tych, które są dostępne.

Wysyłanie ich na duże odległości w celu wykonania operacji jest wyraźnie nieefektywne ze względu na czas, jaki trzeba poświęcić na podróż. Tak więc coraz ważniejszą alternatywą jest możliwość przeprowadzenia telechirurgii z ekspertem w jednym miejscu, który kontroluje robota w innym, który fizycznie wykonuje niezbędne cięcie i krojenie w kostkę. Rzeczywiście, sprzedaż robotów medycznych rośnie w tempie 20 procent rocznie.

Ale chociaż zalety są jasne, wady zostały mniej dobrze zbadane. Telechirurgia opiera się na najnowocześniejszych technologiach w tak różnych dziedzinach, jak informatyka, robotyka, komunikacja, ergonomia i tak dalej. A każdy, kto zna te obszary, powie, że są one dalekie od bezpieczeństwa.

Dzisiaj Tamara Bonaci i koledzy z University of Washington w Seattle badają szczególne pułapki związane z technologią komunikacyjną związaną z telechirurgią. W szczególności pokazują, jak złośliwy napastnik może zakłócić zachowanie telerobota podczas operacji, a nawet przejąć takiego robota, gdy po raz pierwszy w ten sposób zhakowano robota medycznego.

Pierwsza telechirurgia miała miejsce w 2001 roku, a chirurg z Nowego Jorku z powodzeniem usunął woreczek żółciowy pacjenta w Strasburgu we Francji, ponad 6000 kilometrów dalej. Komunikacja przebiegała przez dedykowane światłowód dostarczony przez firmę telekomunikacyjną specjalnie do tej operacji.

To kosztowna opcja, ponieważ dedykowane włókna mogą kosztować dziesiątki tysięcy dolarów.

Od tego czasu chirurdzy przeprowadzili wiele zdalnych operacji i zaczęli eksperymentować ze zwykłymi łączami komunikacyjnymi przez Internet, które są znacznie tańsze.

Chociaż nie ma zarejestrowanych incydentów, w których infrastruktura komunikacyjna spowodowała problemy podczas operacji telechirurgicznej, nadal istnieją pytania dotyczące bezpieczeństwa i prywatności, na które nigdy nie udzielono pełnej odpowiedzi.

Tak więc Bonaci i spółka postanowili zbadać niektóre z tych pytań za pomocą robota telechirurgicznego o nazwie Raven II, który został opracowany na Uniwersytecie Waszyngtońskim. Raven II został zaprojektowany z myślą o radykalnym zmniejszeniu rozmiarów tych robotów, przy jednoczesnym zwiększeniu ich trwałości, aby można je było używać w ekstremalnych warunkach.

Robot składa się z dwóch ramion chirurgicznych, którymi chirurg steruje za pomocą najnowocześniejszej konsoli sterującej, która zawiera wideo i dotykową informację zwrotną.

Sam robot działa na jednym komputerze PC z oprogramowaniem opartym na otwartych standardach, takich jak Linux i Robot Operating System. Komunikuje się z konsolą sterowania za pomocą standardowego protokołu komunikacyjnego do zdalnej chirurgii, znanego jako Interoperable Telesurgery Protocol.

Ta komunikacja odbywa się za pośrednictwem sieci publicznych, które są potencjalnie dostępne dla każdego. A ponieważ robot został zaprojektowany do pracy w ekstremalnych warunkach, to łącze komunikacyjne może być połączeniem niskiej jakości z Internetem, być może nawet bezprzewodowym.

I na tym polega ryzyko. Ze względu na otwarty i niekontrolowany charakter sieci komunikacyjnych złośliwym podmiotom łatwo jest blokować, zakłócać lub przejmować komunikację między robotem a chirurgiem, powiedzmy Bonaci i spółka.

Więc to jest dokładnie to, co próbowali zrobić. Bonaci i spółka podjęli różne rodzaje cyberataków na robota, aby zobaczyć, jak łatwo jest go zakłócić.

Ich eksperyment jest stosunkowo prosty. Zamiast prawdziwej operacji, operator ma za zadanie przenosić gumowe klocki z jednej części tablicy na kołki na drugą. Następnie zespół mierzy, jak szybko operator może wykonać to zadanie podczas ataku i jak trudno oceniają je różni operatorzy.

Konsola kontrolna łączy się z robotem przez standardową sieć, z którą połączony jest również atakujący komputer. Taka konfiguracja umożliwia atakującemu komputerowi przechwytywanie i manipulowanie sygnałami wysyłanymi w obu kierunkach między konsolą kontrolną a robotem.

Zespół wypróbowuje trzy rodzaje ataków. Pierwsza zmienia polecenia wysyłane przez operatora do robota, usuwając je, opóźniając lub zmieniając ich kolejność. Powoduje to, że ruch robota staje się nierówny i trudny do kontrolowania.

Drugi rodzaj ataku modyfikuje intencję sygnałów wysyłanych przez operatora do robota, zmieniając, powiedzmy, odległość, w jakiej ramię powinno się poruszać lub stopień, w jakim powinno się obracać i tak dalej. Większość z tych ataków miała zauważalny wpływ na Kruka natychmiast po wystrzeleniu, mówią Bonaci i spółka.

Ostatnią kategorią ataku jest porwanie, które całkowicie przejmuje robota. Okazuje się to stosunkowo łatwe, ponieważ Interoperable Telesurgery Protocol jest publicznie dostępny. Powiadają, że skutecznie przejęliśmy kontrolę nad teleoperacją.

Opracowali nawet, jak generować ruchy, które uruchamiały wbudowany w robota mechanizm automatycznego zatrzymywania. Dzieje się tak, gdy ruch przenosi ramiona poza określoną odległość lub sprawia, że ​​poruszają się one zbyt szybko.

Poprzez ciągłe wysyłanie poleceń, które uruchamiały ten mechanizm, zespół był w stanie przeprowadzić rodzaj ataku typu denial of service. Jesteśmy w stanie łatwo powstrzymać robota przed prawidłowym zresetowaniem, co skutecznie uniemożliwia operację chirurgiczną, mówią.

A jeśli tego rodzaju cyberataki nie były wystarczająco złe, połączenie wideo było również publicznie dostępne, umożliwiając niemal każdemu oglądanie operacji w czasie rzeczywistym.

Nietrudno sobie wyobrazić, jak tego rodzaju cyberataki mogą mieć śmiertelne konsekwencje. Nawet atak typu „odmowa usługi” w kluczowym momencie zabiegu chirurgicznego może być śmiertelny.

Widząc, jak skuteczne mogą być tego rodzaju cyberataki, Bonaci i spółka sugerują również sposoby zapobiegania im. Najbardziej oczywistym jest szyfrowanie komunikacji między konsolą sterującą a robotem.

Przetestowali nawet ten pomysł i powiedzieli, że robot działał zgodnie z oczekiwaniami. Wykorzystanie szyfrowania i uwierzytelniania ma niski koszt i duże korzyści dla chirurgii telerobotycznej, łagodząc wiele analizowanych ataków, podsumowują.

Jednak szyfrowanie nie może udaremnić każdego rodzaju ataku. W szczególności nadal pozwala na ataki typu man-in-the-middle, w których podsłuchujący przechwytuje sygnały w obu kierunkach, jednocześnie oszukując obie strony, że nadal ze sobą rozmawiają.

A szyfrowanie wideo prawdopodobnie nie jest praktyczne w przypadku łączy sieciowych przewidzianych do zdalnej operacji w ekstremalnych lokalizacjach. To może nie być kwestia bezpieczeństwa, ale wiąże się z ważnymi kwestiami prywatności.

To interesująca praca, która ma głębokie implikacje nie tylko dla sposobu, w jaki będzie wykonywana telechirurgia, ale także dla sposobu, w jaki społeczeństwo postrzega bezpieczeństwo i prywatność tych systemów.

Operatorzy telechirurgii będą musieli wziąć pod uwagę, jak bezpieczny będzie ich sprzęt. A decydenci polityczni i opinia publiczna będą musieli dojść do własnych wniosków, jaki rodzaj bezpieczeństwa i prywatności jest akceptowalny. Tak czy inaczej, gra w kotka i myszkę w zakresie cyberbezpieczeństwa będzie kontynuowana

Nr ref.:arxiv.org/abs/1504.04339: Jak zabezpieczyć robota: eksperymentalna analiza zagrożeń bezpieczeństwa cybernetycznego wobec zdalnie sterowanej robotyki chirurgicznej

ukryć