Measuring Healthcare Data Leaks and Security Flaws at Internet Scale
Diese Arbeit präsentiert die erste groß angelegte Untersuchung von Gesundheitsprotokollen (DICOM, HL7 und FHIR) über das Internet hinweg, die alarmierende Sicherheitsmängel wie weit verbreitete Authentifizierungsfehler, mangelnde Transportverschlüsselung und kritische Software-Schwachstellen aufzeigte, die tausende Systeme betreffen, während sie gleichzeitig eine koordinierte Offenlegungskampagne zur Behebung dieser Risiken detailliert beschreibt.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich das Internet als eine riesige, geschäftige Stadt vor, in der jedes Gebäude eine Haustür hat. Die meisten dieser Türen sind verschlossen, aber einige stehen weit offen und laden jeden dazu ein, einfach hineinzuspazieren. In der Welt der Medizin sind diese „Gebäude“ Computersysteme, die unsere privatesten Geheimnisse beherbergen: unsere Krankenakten, Röntgenbilder und Diagnosen. Um miteinander zu kommunizieren, verwenden Krankenhäuser spezielle Sprachen oder „Protokolle“ wie DICOM (für medizinische Bilder), HL7 (für allgemeine Patientendaten) und FHIR (eine neuere, webbasierte Sprache). Denken Sie an diese Protokolle als die spezifischen Dialekte, mit denen Ärzte und Maschinen sich gegenseitig Geheimnisse zuflüstern. Die große Frage, die sich Forscher gestellt haben, lautet: Wie viele dieser medizinischen Gebäude lassen ihre Türen unverschlossen und lassen Fremde einfach hereinwandern?
Dieses Papier ist wie ein Team von digitalen Detektiven, die beschlossen haben, die Straßen des Internets abzulaufen und an jeder Tür zu klopfen, die einem Krankenhaus gehören könnte. Sie haben sich nicht nur die alten, berühmten Türen (DICOM) angesehen, sondern auch die neueren, glanzvolleren (HL7 und FHIR), von denen viele davon ausgingen, dass sie sicher seien. Sie stellten ein künstliches „Fallen“-Gebäude (einen Honeypot) auf, um zu sehen, wer versuchte einzubrechen, und führten dann einen massiven Scan des gesamten Internets durch, wobei sie sowohl die alten IPv4-Adressen als auch die neueren, riesigen IPv6-Adressen überprüften. Was sie fanden, war etwas Beängstigendes: Eine enorme Anzahl medizinischer Systeme steht offen im Raum, oft ohne Schlösser (Authentifizierung) oder sogar ohne Dach (Verschlüsselung), wodurch Millionen von Patientendaten für jeden mit einer Internetverbindung zugänglich sind.
Die Detektivarbeit: Was sie taten
Die Forscher begannen damit, einen „Honeypot“ zu bauen, was wie ein falsches, leeres Haus im Internet ist, mit einem Schild, auf dem steht: „Krankenhaus“. Sie warteten neun Monate lang, um zu sehen, wer an die Tür klopfen würde. Sie fanden heraus, dass zwar viele Leute an der Tür für die alte DICOM-Sprache klopften, aber fast niemand die Türen für HL7 oder FHIR überprüfte. Dies war überraschend, da alle diese Sprachen verwenden, aber es deutete darauf hin, dass Hacker (und Forscher) sie ignoriert hatten.
Um das vollständige Bild zu erhalten, startete das Team einen massiven Scan über das gesamte Internet und suchte nach diesen drei medizinischen Sprachen auf sowohl den alten als auch den neuen Internet-Adresssystemen. Sie suchten nicht nur nach den Türen; sie versuchten, sie zu öffnen. Sie sendeten spezielle Nachrichten, um zu sehen, ob die Systeme sie ohne Passwort hineinlassen würden, und sie prüften, ob die Systeme „TLS“ verwendeten, was wie ein geheimer Tunnel ist, der Daten vor neugierigen Blicken schützt, während sie reisen. Sie überprüften auch die Software, die in diesen Systemen läuft, um zu sehen, ob sie bekannte Löcher oder Fehler aufweist, die Hacker nutzen könnten, um das Gebäude zu übernehmen.
Die schockierenden Erkenntnisse
Die Ergebnisse waren ein Weckruf. Das Team fand 2.841 Gesundheitsdienste, die schwerwiegende Sicherheitsmängel aufwiesen. Hier ist die Aufschlüsselung dessen, was sie entdeckten:
- Die offenen Türen: Sie fanden 1.780 DICOM-Systeme, die aufgrund fehlender Authentifizierung Daten leckten. Für HL7 fanden sie 903 Systeme ohne Authentifizierung, aber da die meisten HL7-Systeme darauf ausgelegt sind, Daten eher zu senden als abzurufen, wurden nur 30 Fälle bestätigt, in denen tatsächlich Datenabfragen stattfanden, die zu einem Leck führen könnten. Zusätzlich wurden 242 FHIR-Endpunkte gefunden, die Patientendaten preisgaben. Insgesamt waren 2.841 Endpunkte ohne ordnungsgemäße Authentifizierung zugänglich.
- Die fehlenden Tunnel: Eine erschreckende Zahl von 94,4 % aller gefundenen exponierten Systeme verwendeten keine Transportverschlüsselung. Das bedeutet, wenn jemand die Daten abfangen würde, könnte er sie lesen wie eine Postkarte.
- Die kaputten Fenster: Sie fanden 1.373 Systeme, die Software mit bekannten, gefährlichen Schwachstellen ausführten. Einige dieser Fehler waren so schlimm (mit einem „CVSS-Score“ von bis zu 9,8, was nahe am maximalen Gefahrenlevel liegt), dass ein Hacker potenziell die volle Kontrolle über das System übernehmen könnte.
- Die Patientenzahl: Speziell für die neueren FHIR-Systeme identifizierten sie 242 Endpunkte, die Daten leckten und potenziell die Datensätze von 2.124.518 Patienten preisgaben. Auch wenn dies teilweise Testdaten sein mag, ist die schiere Anzahl alarmierend.
Die „Falle“ und der Realitätscheck
Die Forscher führten auch ein „Honeypot“-Experiment durch, um zu sehen, welche Art von Ärger in der freien Wildbahn herrscht. Sie fanden heraus, dass der gefälschte DICOM-Server zwischen 4 und 22 Mal pro Tag von automatisierten Bots gescannt wurde, die nach Schwachstellen suchten. Ihre gefälschten HL7- und FHIR-Server wurden jedoch völlig ignoriert. Dies deutet darauf hin, dass Hacker zwar aktiv die alten medizinischen Bildsysteme jagen, aber noch keinen massiven Jagd auf die neueren Datensätze gestartet haben – die Forscher warnen jedoch, dass dies nicht bedeutet, dass die neueren Systeme sicher sind, sondern nur, dass sie noch nicht gezielt angegriffen wurden.
Was passierte danach?
Das Team hat nicht nur die Liste der kaputten Türen veröffentlicht; sie haben versucht, sie zu reparieren. Sie kontaktierten die Besitzer dieser verwundbaren Systeme durch einen Prozess namens „Responsible Disclosure“ (verantwortungsbewusste Offenlegung) und schickten E-Mails an die Verantwortlichen. Sie fragten, ob die Systeme absichtlich im Internet waren und ob sie sich der Risiken bewusst waren.
Die Reaktion war gemischt. Nur 26 Personen antworteten auf ihren Fragebogen, und obwohl die meisten zugaben, dass die Systeme beabsichtigt waren, sagten nur 4, dass sie die Probleme behoben hatten. Als die Forscher das Internet vier Wochen später erneut scannten, hatte sich die Zahl der verwundbaren Systeme kaum verändert. Tatsächlich sank die Zahl der exponierten Hosts für FHIR-Systeme nur um 15,08 % und für DICOM um winzige -1,64 %. Dies deutet darauf hin, dass die Behebung dieser Probleme unglaublich schwierig ist, vielleicht weil die Systeme von Menschen betrieben werden, die nicht merken, dass sie exponiert sind, oder weil die Technologie zu komplex ist, um sie einfach zu sichern.
Das große Ganze
Das Papier kommt zu dem Schluss, dass der Zustand der Cybersicherheit im Gesundheitswesen „alarmierend“ ist. Es geht nicht nur darum, dass Daten geleakt werden; es geht darum, dass die Systeme so unsicher sind, dass ein Hacker potenziell eine Medikamentendosis eines Patienten ändern oder eine Diagnose löschen könnte, was lebensbedrohlich wäre. Die Forscher argumentieren, dass das Hauptproblem darin besteht, dass diese medizinischen Systeme nie für das Internet gedacht waren, sie aber dennoch dort sind, oft ohne Schlösser. Sie plädieren dafür, dass Krankenhäuser aufhören müssen, diese sensiblen Systeme mit dem öffentlichen Web zu verbinden, und stattdessen bessere Sicherheitstools einsetzen sollten. Die langsame Reaktion auf ihre Warnungen zeigt jedoch, dass dies eine massive Herausforderung ist, die noch nicht gelöst wurde.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.