Gli esperti di sicurezza hackerano il robot chirurgico teleoperato

Un collo di bottiglia cruciale che impedisce l'esecuzione di interventi chirurgici salvavita in molte parti del mondo è la mancanza di chirurghi qualificati. Un modo per aggirare questo problema è fare un uso migliore di quelli disponibili.

Inviarli a grandi distanze per eseguire operazioni è chiaramente inefficiente a causa del tempo che deve essere speso in viaggio. Quindi un'alternativa sempre più importante è la possibilità della telechirurgia con un esperto in un posto che controlla un robot in un altro che esegue fisicamente il taglio e il taglio a dadini necessari. In effetti, la vendita di robot medici sta aumentando a un tasso del 20% all'anno.

Ma mentre i vantaggi sono chiari, gli svantaggi sono stati esplorati meno bene. La telechirurgia si basa su tecnologie all'avanguardia in campi diversi come l'informatica, la robotica, le comunicazioni, l'ergonomia e così via. E chiunque abbia familiarità con queste aree ti dirà che sono tutt'altro che sicure.

Oggi, Tamara Bonaci e i suoi amici dell'Università di Washington a Seattle esaminano le speciali insidie ​​associate alla tecnologia delle comunicazioni coinvolta nella telechirurgia. In particolare, mostrano come un malintenzionato possa interrompere il comportamento di un telerobot durante un intervento chirurgico e persino prendere il controllo di un tale robot, la prima volta che un robot medico è stato violato in questo modo.

La prima telechirurgia ha avuto luogo nel 2001 con un chirurgo a New York che ha rimosso con successo la cistifellea di un paziente a Strasburgo, in Francia, a più di 6.000 chilometri di distanza. Le comunicazioni passavano su una fibra dedicata fornita da una società di telecomunicazioni appositamente per l'operazione.

Questa è un'opzione costosa poiché le fibre dedicate possono costare decine di migliaia di dollari.

Da allora, i chirurghi hanno eseguito numerose operazioni a distanza e hanno iniziato a sperimentare i normali collegamenti di comunicazione su Internet, che sono notevolmente più economici.

Sebbene non siano stati registrati incidenti in cui l'infrastruttura di comunicazione abbia causato problemi durante un'operazione di telechirurgia, ci sono ancora domande sulla sicurezza e sulla privacy a cui non è mai stata data una risposta completa.

Così Bonaci e compagni hanno deciso di esplorare alcune di queste domande utilizzando un robot di telechirurgia chiamato Raven II, che è stato sviluppato presso l'Università di Washington. Raven II è progettato con l'obiettivo di ridurre drasticamente le dimensioni di questi robot migliorandone la durata in modo che possano essere utilizzati in ambienti estremi.

Il robot è costituito da due bracci chirurgici che vengono manipolati da un chirurgo utilizzando una console di controllo all'avanguardia che include feedback video e tattile.

Il robot stesso funziona su un unico PC che esegue software basato su standard aperti, come Linux e il sistema operativo del robot. Comunica con la console di controllo utilizzando un protocollo di comunicazione standard per la chirurgia remota noto come Interoperable Telesurgery Protocol.

Questa comunicazione avviene su reti pubbliche potenzialmente accessibili a chiunque. E poiché il robot è progettato per funzionare in condizioni estreme, questo collegamento di comunicazione può essere una connessione di bassa qualità a Internet, forse anche tramite wireless.

E qui sta il rischio. A causa della natura aperta e incontrollabile delle reti di comunicazione, diventa facile per entità dannose inceppare, interrompere o assumere il controllo della comunicazione tra un robot e un chirurgo, affermano Bonaci e co.

Quindi è esattamente quello che hanno cercato di fare. Bonaci e compagni hanno tentato vari tipi di attacchi informatici al robot per vedere quanto sia facile interromperlo.

Il loro esperimento è relativamente semplice. Al posto di una vera e propria operazione, l'operatore ha il compito di spostare i blocchi di gomma da una parte all'altra di una tavoletta. Il team misura quindi la velocità con cui l'operatore può completare questa attività durante un attacco e quanto sia difficile da valutare l'attività da parte dei vari operatori.

La console di controllo si collega al robot tramite una rete standard, a cui è collegato anche il computer che effettua l'attacco. Questa configurazione consente al computer attaccante di intercettare e manipolare i segnali inviati in entrambe le direzioni tra la console di controllo e il robot.

La squadra prova tre tipi di attacchi. La prima modifica i comandi inviati dall'operatore al robot cancellandoli, ritardandoli o riordinandoli. Ciò fa sì che il movimento del robot diventi a scatti e difficile da controllare.

Il secondo tipo di attacco modifica l'intenzione dei segnali dall'operatore al robot modificando, ad esempio, la distanza che un braccio dovrebbe muovere o il grado di rotazione e così via. La maggior parte di questi attacchi ha avuto un notevole impatto sul Raven subito dopo il lancio, affermano Bonaci e co.

L'ultima categoria di attacco è un dirottamento che prende completamente il controllo del robot. Questo risulta essere relativamente facile poiché il protocollo di telechirurgia interoperabile è disponibile pubblicamente. Abbiamo effettivamente preso il controllo della procedura teleoperata, dicono.

Hanno anche scoperto come generare movimenti che attivassero un meccanismo di arresto automatico integrato nel robot. Ciò si verifica quando un movimento porta le braccia oltre una certa distanza predefinita o le fa muovere troppo velocemente.

Inviando costantemente comandi che attivavano questo meccanismo, il team è stato in grado di effettuare una sorta di attacco denial of service. Siamo in grado di impedire facilmente che il robot venga ripristinato correttamente, rendendo così di fatto impossibile una procedura chirurgica, dicono.

E se questo tipo di attacco informatico non fosse già abbastanza grave, la connessione video era anche disponibile pubblicamente consentendo a quasi tutti di guardare l'operazione in tempo reale.

Non è difficile immaginare come attacchi informatici di questo tipo possano avere conseguenze letali. Anche l'attacco Denial of Service in un punto cruciale durante un intervento chirurgico potrebbe essere fatale.

Avendo visto quanto possono essere efficaci questi tipi di attacchi informatici, Bonaci e compagni suggeriscono anche modi per prevenirli. La più ovvia è crittografare le comunicazioni tra la console di controllo e il robot.

Hanno anche testato questa idea e hanno affermato che il robot si è comportato come previsto. L'uso della crittografia e dell'autenticazione ha un basso costo e benefici elevati per la chirurgia telerobotica, mitigando molti attacchi analizzati, concludono.

Tuttavia, la crittografia non può sventare ogni tipo di attacco. In particolare, consente ancora attacchi man-in-the-middle in cui un intercettatore intercetta i segnali in entrambe le direzioni ingannando entrambe le parti che stanno ancora parlando tra loro.

E la crittografia video probabilmente non è pratica rispetto al tipo di collegamenti di rete previsti per la chirurgia remota in luoghi estremi. Potrebbe non essere un problema di sicurezza, ma solleva importanti questioni di privacy.

Questo è un lavoro interessante che ha profonde implicazioni non solo per il modo in cui verrà eseguita la telechirurgia, ma anche per il modo in cui il pubblico percepisce la sicurezza e la privacy di questi sistemi.

Gli operatori di telechirurgia dovranno valutare la sicurezza delle loro apparecchiature. E i responsabili politici e il pubblico dovranno trarre le proprie conclusioni sul tipo di sicurezza e privacy accettabile. In ogni caso, il gioco del gatto e del topo della sicurezza informatica continuerà

Rif:arxiv.org/abs/1504.04339: Per rendere sicuro un robot: un'analisi sperimentale delle minacce alla sicurezza informatica contro la robotica chirurgica teleoperata

nascondere