Measuring Healthcare Data Leaks and Security Flaws at Internet Scale
تقدم هذه الورقة أول دراسة واسعة النطاق لبروتوكولات الرعاية الصحية (DICOM وHL7 وFHIR) عبر الإنترنت، والتي كشفت عن ثغرات أمنية مثيرة للقلق تشمل إخفاقات واسعة الانتشار في المصادقة، وانعدام تشفير النقل، وثغرات برمجية حرجة تؤثر على آلاف الأنظمة، مع تفصيل حملة إفصاح منسقة لمعالجة هذه المخاطر.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل الإنترنت كمدينة ضخمة ومزدحمة حيث لكل مبنى باب أمامي. معظم هذه الأبواب مغلقة، لكن بعضها يُترك مفتوحاً على مصراعيه، مما يدعو أي شخص للدخول مباشرة. في عالم الطب، هذه "المباني" هي أنظمة حاسوبية تحمل أسرارنا الأكثر خصوصية: سجلاتنا الطبية، وصور الأشعة، والتشخيصات. وللتواصل مع بعضهم البعض، تستخدم المستشفيات لغات خاصة، أو "بروتوكولات"، مثل DICOM (للصور الطبية)، وHL7 (للسجلات العامة للمرضى)، وFHIR (وهي لغة أحدث تعتمد على الويب). فكر في هذه البروتوكولات كأنها لهجات محددة يستخدمها الأطباء والآلات للهمس بالأسرار لبعضهم البعض. السؤال الكبير الذي يسأله الباحثون هو: كم عدد هذه المباني الطبية التي تُركت أبوابها مفتوحة، وهل يتجول الغرباء بداخلها؟
هذه الورقة البحثية تشبه فريقاً من المحققين الرقميين الذين قرروا السير في شوارع الإنترنت، وطرق كل باب قد ينتمي لمستشفى. لم يكتفوا بالبحث عن الأبواب القديمة والمشهورة (DICOM) فحسب، بل تحققوا أيضاً من الأبواب الأحدث والأكثر لمعاناً (HL7 وFHIR) التي افترض الكثيرون أنها آمنة. لقد نصبوا "فخاً" لمبنى وهمي (honeypot) ليروا من يحاول الاقتحام، ثم قاموا بعملية مسح شاملة لكامل الإنترنت، فحصوا فيها عناوين IPv4 القديمة وعناوين IPv6 الجديدة والضخمة. وما وجدوه كان مخيفاً بعض الشيء: عدد هائل من الأنظمة الطبية يجلس في العراء، غالباً بدون أي أقفال (مصادقة) أو حتى بدون سقف (تشفير)، مما يترك ملايين السجلات الطبية معرضة لأي شخص لديه اتصال بالإنترنت.
العمل التحقيقي: ماذا فعلوا؟
بدأ الباحثون ببناء "honeypot"، وهو يشبه منزلاً وهمياً فارغاً تُرِك على الإنترنت وعليه لافتة تقول "مستشفى". انتظروا تسعة أشهر ليروا من سيطرق الباب. وجدوا أنه بينما كان الكثير من الناس يطرقون الباب الخاص بلغة DICOM القديمة، لم يكن أحد تقرياً يفحص أبواب HL7 أو FHIR. كان هذا مفاجئاً لأن الجميع يستخدم تلك اللغات، لكنه أوحى بأن المخترقين (والباحثين) كانوا يتجاهلونها.
للحصول على الصورة الكاملة، أطلق الفريق مسحاً ضخماً عبر الإنترنت بأكره، بحثاً عن هذه اللغات الطبية الثلاث على أنظمة عناوين الإنترنت القديمة والجديدة. لم يبحثوا عن الأبواب فحسب؛ بل حاولوا فتحها. أرسلوا رسائل خاصة ليروا ما إذا كانت الأنظمة ستسمح لهم بالدخول بدون كلمة مرور، وتحققوا مما إذا كانت الأنظمة تستخدم "TLS"، وهو بمثابة نفق سري يحافظ على سلامة البيانات من الأعين المتطفلة أثناء انتقالها. كما تحققوا من البرامج التي تعمل داخل هذه الأنظمة لمعرفة ما إذا كان بها أي ثغرات أو عيوب معروفة يمكن للمخترقين استخدامها للسيطرة على المبنى.
النتائج الصادمة
كانت النتائج بمثابة جرس إنذار. وجد الفريق 2,841 خدمة رعاية صحية تعاني من عيوب أمنية خطيرة. إليك تفصيل ما اكتشفوه:
- الأبواب المفتوحة: وجدوا 1,780 نظام DICOM تسرب البيانات بسبب غياب المصادقة. وبالنسبة لـ HL7، وجدوا 903 أنظمة بدون مصادقة، ولكن بما أن معظم أنظمة HL7 مصممة لإرسال البيانات بدلاً من استرجاعها، فقد تم تأكيد 30 حالة فقط تعالج استعلامات البيانات التي قد تؤدي إلى تسريب. بالإضافة إلى ذلك، تم العثور على 242 نقطة نهاية (endpoint) لنظام FHIR تسرب بيانات المرضى. في المجمل، كان هناك 2,841 نقطة نهاية يمكن الوصول إليها دون مصادقة سليمة.
- الأنفاق المفقودة: نسبة مذهلة بلغت 94.4% من جميع الأنظمة المكشوفة التي وجدوها لم تستخدم تشفير النقل. وهذا يعني أنه إذا اعترض شخص ما البيانات، فيمكنه قراءتها تماماً مثل قراءة بطاقة بريدية.
- النوافذ المكسورة: وجدوا 1,373 نظاماً يعمل ببرمجيات تحتوي على ثغرات خطيرة ومعروفة. كانت بعض هذه العيوب سيئة للغاية (بدرجة "CVSS score" تصل إلى 9.8، وهي قريبة من أقصى مستويات الخطر) لدرجة أن المخترق يمكنه نظرياً السيطرة الكاملة على النظام.
- عدد المرضى: بالنسبة لأنظمة FHIR الأحدث تحديداً، حددوا 242 نقطة نهاية تسرب البيانات، مما قد يعرض سجلات 2,124,518 مريضاً للخطر. ورغم أن بعض هذه البيانات قد تكون بيانات تجريبية، إلا أن العدد الهائل مثير للقلق.
"الفخ" والواقع المرير
أجرى الباحثون أيضاً تجربة "honeypot" ليروا نوع المشاكل التي تحدث في الواقع. وجدوا أن خادم DICOM الوهمي تعرض للمسح ما بين 4 إلى 22 مرة يومياً بواسطة برمجيات آلية (bots) تبحث عن نقاط الضعف. ومع ذلك، تم تجاهل خوادم HL7 وFHIR الوهمية تماماً. يشير هذا إلى أنه بينما يطارد المخترقون بنشاط أنظمة الصور الطبية القديمة، فإنهم لم يبدأوا بعد عملية صيد واسعة لأنظمة السجلات الأحدث—لكن الباحثين يحذرون من أن هذا لا يعني أن الأنظمة الأحدث آمنة، بل يعني فقط أنه لم يتم استهدافها بعد.
ماذا حدث بعد ذلك؟
لم يكتفِ الفريق بنشر قائمة الأبواب المكسورة؛ بل حاولوا إصلاحها. تواصلوا مع مالكي هذه الأنظمة الضعيفة من خلال عملية تسمى "الإفصاح المسؤول"، حيث أرسلوا رسائل بريد إلكتروني للمسؤولين. وسألوا ما إذا كانت هذه الأنظمة من المفترض أن تكون على الإنترنت وهل كانوا على علم بالمخاطر.
كانت الاستجابة متباينة. رد 26 شخصاً فقط على استبيانهم، وبينما أقر معظمهم بأن الأنظمة كانت موجودة عن قصد، قال 4 فقط إنهم قاموا بإصلاح المشكلات. وعندما قام الباحثون بمسح الإنترنت مرة أخرى بعد أربعة أسابوت، لم يتغير عدد الأنظمة الضعيفة إلا قليلاً. في الواقع، بالنسبة لأنظمة FHIR، انخفض عدد المضيفين المكشوفين بنسبة 15.08% فقط، أما بالنسبة لـ DICOM، فكان التغيير ضئيلاً بنسبة -1.64%. يشير هذا إلى أن إصلاح هذه المشكلات أمر صعب للغاية، ربما لأن الأنظمة يديرها أشخاص لا يدركون أنهم مكشوفون، أو لأن التكنولوجيا معقدة للغاية بحيث يصعب تأمينها بسهولة.
الصورة الكبيرة
تخلص الورقة البحثية إلى أن حالة الأمن السيبراني في الرعاية الصحية "مثيرة للقلق". الأمر لا يقتصر فقط على تسريب البيانات؛ بل إن الأنظمة غير آمنة لدرجة أن المخترق قد يتمكن من تغيير جرعة دواء المريض أو حذف تشخيص طبي، وهو أمر قد يهدد الحياة. يرى الباحثون أن المشكلة الرئيسية هي أن هذه الأنظمة الطبية لم تُصمم أصلاً لتكون على الإنترنت، ومع ذلك فهي موجودة، وغالباً بدون أي أقفال. ويجادلون بأن على المستشفيات التوقف عن توصيل هذه الأنظمة الحساسة بشبكة الإنترنت العامة والبدء في استخدام أدوات أمنية أفضل، لكن الاستجابة البطيئة لتحذيراتهم تظهر أن هذا تحدٍ هائل لم يتم حله بعد.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.