Measuring Healthcare Data Leaks and Security Flaws at Internet Scale
Dit artikel presenteert de eerste grootschalige studie naar gezondheidszorgprotocollen (DICOM, HL7 en FHIR) over het internet, die alarmerende beveiligingsgebreken onthult, waaronder wijdverspreide authenticatieproblemen, een gebrek aan transportencryptie en kritieke softwarekwetsbaarheden die duizenden systemen treffen, terwijl het tegelijkertijd een gecoördineerde campagne voor openbaarmaking beschrijft om deze risico's aan te pakken.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Stel je het internet voor als een enorme, bruisende stad waar elk gebouw een voordeur heeft. De meeste van deze deuren zijn op slot, maar sommige staan wagenwijd open, waardoor iedereen zo naar binnen kan lopen. In de wereld van de geneeskunde zijn deze "gebouwen" computersystemen die onze meest privégeheimen bevatten: onze medische dossiers, röntgenfoto's en diagnoses. Om met elkaar te communiceren, gebruiken ziekenhuizen speciale talen, of "protocollen", zoals DICOM (voor medische beelden), HL7 (voor algemene patiëntendossiers) en FHIR (een nieuwere, webgebaseerde taal). Denk aan deze protocollen als de specifieke dialecten die artsen en machines gebruiken om geheimen aan elkaar te fluisteren. De grote vraag die onderzoekers hebben gesteld is: hoeveel van deze medische gebouwen hebben hun deuren open laten staan, en dwalen er vreemden rond?
Dit artikel is als een team digitale detectives dat besloot de straten van het internet af te struinen, waarbij ze op elke deur klopte die bij een ziekenhuis zou kunnen horen. Ze keken niet alleen naar de oude, beroemde deuren (DICOM); ze controleerden ook de nieuwere, flitsendere deuren (HL7 en FHIR) waarvan men aannam dat ze veilig waren. Ze zetten een nep "valstrik"-gebouw op (een honeypot) om te zien wie er probeerde in te breken, en voerden vervolgens een massale scan uit over het hele internet, waarbij ze zowel de oude IPv4-adressen als de nieuwere, enorme IPv6-adressen controleerden. Wat ze vonden was een beetje eng: een enorm aantal medische systemen zit in de open lucht, vaak zonder enige sloten (authenticatie) of zelfs zonder dak (encryptie), waardoor miljoenen patiëntendossiers toegankelijk zijn voor iedereen met een internetverbinding.
Het Detectiewerk: Wat Ze Deden
De onderzoekers begonnen met het bouwen van een "honeypot", wat een soort nep, leeg huis is dat op het internet staat met een bordje waarop "Ziekenhuis" staat. Ze wachtten negen maanden om te zien wie er aan de deur zou kloppen. Ze ontdekten dat hoewel veel mensen aan de deur klopten voor de oude DICOM-taal, bijna niemand de deuren controleerde voor HL7 of FHIR. Dit was verrassend omdat iedereen deze talen gebruikt, maar het suggereerde dat hackers (en onderzoekers) hen hadden genegeerd.
Om het volledige plaatje te krijgen, lanceerde het team een massale scan over het hele internet, zoekend naar deze drie medische talen op zowel de oude als de nieuwe internetadres-systemen. Ze zochten niet alleen naar de deuren; ze probeerden ze ook te openen. Ze stuurden speciale berichten om te zien of de systemen hen zonder wachtwoord zouden binnenlaten, en ze controleerden of de systemen "TLS" gebruikten, wat een soort geheime tunnel is die gegevens veilig houdt voor indringers terwijl ze reizen. Ze controleerden ook de software die in deze systemen draait om te zien of deze bekende gaten of bugs heeft die hackers zouden kunnen gebruiken om het gebouw over te nemen.
De Schokkende Bevindingen
De resultaten waren een wake-up call. Het team vond 2.841 zorgdiensten met ernstige beveiligingsgebreken. Hier is de uitsplitsing van wat ze ontdekten:
- De Open Deuren: Ze vonden 1.780 DICOM-systemen die gegevens lekken door het ontbreken van authenticatie. Voor HL7 vonden ze 903 systemen zonder authenticatie, maar omdat de meeste HL7-systemen zijn ontworpen om data te pushen in plaats van op te halen, werden er slechts 30 gevallen bevestigd waarin daadwerkelijk data-opvragingen werden verwerkt die tot een lek zouden kunnen leiden. Daarnaast werden er 242 FHIR-endpoints gevonden die patiëntgegevens lekken. In totaal waren 2.841 endpoints toegankelijk zonder de juiste authenticatie.
- De Ontbrekende Tunnels: Een verbluffende 94,4% van alle blootgestelde systemen die ze vonden, maakte geen gebruik van transportencryptie. Dit betekent dat als iemand de gegevens onderschept, ze deze net zo makkelijk kan lezen als een ansichtkaart.
- De Gebroken Ramen: Ze vonden 1.373 systemen die software draaien met bekende, gevaarlijke kwetsbaarheden. Sommige van deze gebreken waren zo erg (met een "CVSS-score" tot wel 9,8, wat dicht bij het maximale gevechtniveau ligt) dat een hacker potentieel de volledige controle over het systeem zou kunnen krijgen.
- Het Patiëntenaantal: Specifiek voor de nieuwere FHIR-systemen identificeerden ze 242 endpoints die gegevens lekken, wat potentieel de records van 2.124.518 patiënten blootlegt. Hoewel een deel hiervan testdata zou kunnen zijn, is het enorme aantal alarmerend.
De "Valstrik" en de Realiteitscheck
De onderzoekers voerden ook een "honeypot"-experiment uit om te zien welke problemen er in de praktijk plaatsvonden. Ze ontdekten dat de nep DICOM-server tussen de 4 en 22 keer per dag werd gescand door geautomatiseerde bots die op zoek waren naar zwakke plekken. Hun nep HL7- en FHIR-servers werden echter volledig genegeerd. Dit suggereert dat terwijl hackers actief op zoek zijn naar de oude medische beeldingssystemen, ze nog niet zijn begonnen aan een massale jacht op de nieuwere recordsystemen — hoewel de onderzoekers waarschuwen dat dit niet betekent dat de nieuwere systemen veilig zijn, maar enkel dat ze nog niet doelwit zijn geworden.
Wat Erna Gebeurde?
Het team heeft niet alleen de lijst met kapotte deuren gepubliceerd; ze hebben geprobeerd ze te repareren. Ze namen contact op met de eigenaren van deze kwetsbare systemen via een proces dat "verantwoordelijke openbaarmaking" (responsible disclosure) wordt genoemd, door e-mails te sturen naar de mensen die de leiding hebben. Ze vroegen of de systemen bedoeld waren om op het internet te staan en of zij op de hoogte waren van de risico's.
De reactie was gemengd. Slechts 26 mensen reageerden op hun vragenlijst en hoewel de meesten toegaven dat de systemen opzettelijk online waren, gaf slechts 4 aan de problemen te hebben opgelost. Toen de onderzoekers vier weken later het internet opnieuw scantten, was het aantal kwetsbare systemen nauwelijks veranderd. Sterker nog, voor FHIR-systemen daalde het aantal blootgestelde hosts slechts met 15,08%, en voor DICOM was de verandering een minieme -1,64%. Dit suggereert dat het oplossen van deze problemen ongelooflijk moeilijk is, misschien omdat de systemen worden beheerd door mensen die niet beseffen dat ze blootgesteld zijn, of omdat de technologie te complex is om gemakkelijk te beveiligen.
Het Grotere Plaatje
Het artikel concludeert dat de staat van cybersecurity in de gezondheidszorg "alarmerend" is. Het gaat niet alleen om het lekken van gegevens; het gaat erom dat de systemen zo onveilig zijn dat een hacker potentieel een medicatiedosis van een patiënt kan wijzigen of een diagnose kan verwijderen, wat levensbedreigend kan zijn. De onderzoekers suggereren dat het hoofdpijndossier is dat deze medische systemen nooit bedoeld waren voor het internet, maar dat ze er toch zijn, vaak zonder sloten. Ze betogen dat ziekenhuizen moeten stoppen met het verbinden van deze gevoelige systemen aan het publieke web en moeten beginnen met het gebruiken van betere beveiligingstools, maar de trage reactie op hun waarschuwingen laat zien dat dit een enorme uitdaging is die nog niet is opgelost.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.