Новое совместное исследование «Лаборатории Касперского» и группы функциональной нейрохирургии Оксфордского университета (University of Oxford Functional Neurosurgery Group) будоражит воображение. Формально оно посвящено уязвимостям нейростимуляторов – которые в принципе не слишком отличаются от уязвимостей ко взлому кардиостимуляторов. Более того, зачастую производятся одними и теми же фирмами-монополистами (например, Medtronic). Однако нейроимпланты относятся уже к другой сфере высокотехнологичной медицины, и если пока они только стимулируют мозг, пробуждая воспоминания, как разовьется эта технология, можно только представить (и она уже уязвима!).
Представим себе абсолютно киберпанковский сюжет, как в недалёком будущем киберзлоумышленники смогут атаковать импланты для управления памятью, чтобы красть, контролировать или модифицировать воспоминания людей. Это не так фантастично, как может показаться, учитывая, что уж на момент выхода фильма «Начало», полностью посвященному этой теме (то есть, почти десять лет назад), зачаточные технологии считывания визуальной информации напрямую из мозга человека уже существовали в рабочем виде (см. иллюстрации ниже, верхний ряд — то, на что смотрел глаз, нижний — то, что приборы считали с мозга в этот момент).
Как эти технологии продвинулись за 10 лет, мы не знаем, но подозреваем, что сильно, и вопрос похищения ценных данных – например, «ролика» памяти или комбинации нейронных вспышек, соответствующих коду сейфа, где лежит завещание дядюшки Скруджа – это только вопрос времени. Учитывая возможную дистанционность этого процесса через нейроимпланты, тогда нейрохакинг станет действительно веселым и интересным занятием.
Вернемся к исследованию «Лаборатории Касперского» и оксфордской группы. Нейростимуляторы, которые пациенты получают сегодня, работают как вживляемые генераторы импульсов, посылающие электрические сигналы в определённые зоны мозга. Терапевтически нейростимуляторы сейчас применяют для облегчения некоторых симптомов таких заболеваний, как обсессивно-компульсивное расстройство, эссенциальный тремор, большое депрессивное расстройство и болезнь Паркинсона. Последние версии подобных имплантов – наберите воздуха, сейчас будет интересно – управляются с помощью специального ПО, установленного на профессиональных планшетах и смартфонах врачей и пациентов. Передача данных между имплантом и цифровым устройством осуществляется по Bluetooth-каналу. И разумеется – ну разумеется – открыта для всех возможных рисков вредоносного воздействия со стороны практически на всех уровнях.
Объединив результаты практического и теоретического анализа, исследователи из «Лаборатории Касперского» и группы функциональной нейрохирургии Оксфордского университета выявили как уже имеющиеся, так и потенциальные риски:
Во-первых, это незащищённая инфраструктура с выходом в интернет . Эксперты нашли, как минимум, одну серьёзную уязвимость и несколько ошибок в конфигурации в онлайн-платформе для управления, которая популярна среди хирургов. Во-вторых, это небезопасная или незашифрованная передача данных между имплантом, ПО и сетью может обернуться вредоносным проникновением в имплант или даже – только представьте себе такую возможность – целую группу имплантов, подключённых к одной инфраструктуре.
Представьте себе ботнет, сделанный из человеческих мозгов! Метафора про зомби-устройства стремительно теряет образность и приближается к реальности – опять-таки, возможность такого брейн-хакинга только вопрос времени. В-третьих, это элементарные пароли – и тут их требует сама деликатная специфика нейроимплантов. В приоритете жизнь пациента, то есть, врач должен иметь возможность контролировать нейростимулятор в экстренных случаях, в том числе удалённо – а это значит, что пароль не может состоять из 32 смешанных букв и цифр в разном регистре, более того, по умолчанию такие импланты ОБЯЗАНЫ БЫТЬ снабжены специальным ПО для удалённого администрирования – бэкдором. То есть, ковровая дорожка для хакера в них уже встроена.
По оценкам рабочей группы Оксфорда, приблизительно через пять лет они смогут в электронном виде записывать сигналы мозга, участвующие в создании воспоминаний, и это позволит им расширять и даже «переписывать» события из памяти человека. Через десять лет на рынке может появиться первый коммерческий имплант для улучшения памяти, а через 20 лет технологии могут продвинуться так далеко, что воспоминания можно будет практически полностью контролировать.
«Возможность изменять и улучшать память с помощью электродов может со стороны казаться какой-то фантастикой, но в действительности всё это основано на чистой науке. Базовая технология для управления воспоминаниями существует уже сегодня, и появление своего рода протезов для памяти – лишь вопрос времени. Совместное исследование возможных рисков и уязвимостей сейчас, когда технология ещё относительно нова, сбережёт нам немало сил, времени и нервов в будущем», — Лори Пайкрофт, исследователь из группы функциональной нейрохирургии Оксфордского университета
Напомним, ранее АКБ сообщало , что эксперты обнаружили уязвимости в продукции Medtronic, выпускающую кардиостимуляторы, имплантируемые дефибрилляторы, устройствами ресинхронизации сердца и вставные сердечные мониторы. А также, разумеется, нейростимуляторы.
Как сообщает Threatpost, уязвимости нашли в программерах CareLink 2090 и CareLink Encore 29901, с помощью которого имплантированными стимуляторами управляют в амбулаторных условиях. Дыра позволяла удаленно загрузить и выполнить код через служащую для обновлений и обслуживания ПО-сеть Medtronic под названием Software Deployment Network (SDN).
По словам исследователей, уязвимость позволяла бы злоумышленнику (о реальных случаях не сообщалось) изменять функционал программеров и в конечном итоге нанести вред здоровью пациента. Medtronic посчитала ситуацию настолько серьезной, что отключила целиком SDN, а апдейты прошивки к устройствам начала раздавать вручную, через защищенные USB.
