Medische apparatuur blijkt kwetsbaar door 'vast' wachtwoord

Twee beveiligingsonderzoekers stellen dat tal van medische apparaten kwetsbaar zijn doordat er gebruik is gemaakt van niet te wijzigen standaardwachtwoorden. Hierdoor kunnen apparaten als externe defibrillatoren op afstand worden aangevallen.

Onderzoekers Billy Rios en Terry McCorkle hebben ontdekt dat tal van medische apparaten kwetsbaar zijn door hard-coded wachtwoorden. Een hacker kan hierdoor in theorie vrij eenvoudig toegang krijgen tot een apparaat en bijvoorbeeld instellingen veranderen of de firmware wijzigen, zo melden de Amerikaanse instanties FDA en ICS-CERT. Volgens de twee overheidsinstanties zijn de kwetsbaarheden onder andere ontdekt in hartmonitoren, laboratoriumapparatuur, infuuspompen, defibrillatoren en anesthesieapparaten. Specifieke modellen of merken worden uit veiligheidsoverwegingen niet genoemd.

De instanties stellen dat er geen aanwijzingen zijn dat de kwetsbaarheden actief misbruikt zijn. Om potentiële problemen toch op te lossen zouden de fabrikanten van de apparatuur aanpassingen moeten doen aan de software. Verder zouden ziekenhuizen zo min mogelijk internetaansluitingen moeten gebruiken om de kans op aanvallen te verkleinen, terwijl op bestaande systemen de autorisatiemethode verbeterd moet worden. Tevens wordt opgeroepen om systemen regelmatig te controleren en zo nodig te patchen, en het lokale netwerk te monitoren op mogelijke hackaanvallen.

Reacties (58)

[Anoniem: 399807]

Dit is weer een ander voorbeeld van op hol geslagen totaal zinloze ICT implementatie. ICT is volstrekt onnodig in dergelijke apparatuur. Je vraagt je af wie zoiets bedenkt. Hoe haal je het in je hoofd om apparaten te maken die in precaire situaties gebruikt worden en daarin een of andere vorm van wireless controle in the bouwen?

Het heeft geen enkel nut. Monitoren, infuuspompen etc. die waren altijd prima in orde zonder deze technologie. Nu ineens lijkt het of elk verdomd apparaat verbonden moet worden direct of indirect met internet of een LAN die dan weer een koppeling heeft met internet.

Het is pure draadloze hysterie. Omdat het kan, wordt het gedaan en men zoekt een reden om het te doen. Niemand lijkt te snappen dat nieuwe technologie soms helemaal niet beter is dan wat het vervangen zou.

We maken de samenleving en onze persoonlijke veiligheid in rap tempo onveilig en kwetsbaar.

[proatjeboksem]

Tsja, alles moet efficienter, losse apparatuur moet regelmatig bekeken worden door personeel en laat men daar nou lekker op bezuinigd hebben de laatste jaren.

daarnaast: 1 man kan op deze manier 5 monitoren op de IC in de gaten houden, waardoor het overige personeel de handen vrij heeft om patienten te verzorgen. Daarnaast is rust voor een patient ook belangrijk en als er iedere 5 minuten iemand bij je infuusje of monitor zit te rommelen valt dat niet mee.

[HDoc]

Alles moet veel efficiënter en zeker in de zorg. Nu functioneert veel nog zoals in 1930. Laten we nu net met z'n allen proberen de uitgaven in de zorg door meer efficiency te verbeteren.

Klagen over de tools die daar voor nodig zijn lijkt me dan niet op zijn plaats.

[celicadriver]

Ik vind het risico wat uit dit onderzoek naar voren zou komen een beetje over the top.
Ook onze patientmonitoren hebben een vast servicewachtwoord. Dit zijn monitoren van hetzelfde type waarvan we er een kleine honderd hebben. Het is natuurlijk ondoenlijk om op elke separate monitor een uniek servicewachtwoord in te stellen. Bovendien moet je fysiek bij de monitor staan om er iets mee te kunnen.

Bij ons zitten de patientmonitoren zitten in een VLAN en hebben alleen een gateway ten behoeve van printverkeer. Bovendien zit er een acceslist op de gateway. Alleen op de databaseserver is er nog een NIC met een poot in een ander VLAN tbv het ophalen van patienten uit het ZIS en de export van ECG's. Daarbij zijn alle publiekelijk toegankelijke outlets voorzien van 802.1X en waar mogelijk de apparatuur zoals COWS en LOWS uitgerust met 2048bit versleuteld certificaat over EAP/TLS. Al met al is het zaakje goed dichtgetimmerd en dat zal in de meeste ziekenhuizen zo zijn. Dit is namelijk niet de manier waarop je als ziekenhuis de krant wil halen.

[Toon-VA]

Alles wordt tegenwoordig gemaakt om op één of andere manier met een netwerk te communiceren.

nieuws: Bedrijf maakt insulinepomp met touchscreen

Hier zelfs op tweakers is er eens een artikel geweest over een insulinepomp die je kan bedienen d.m.v. een touchscreen en die informatie op kan doorsturen naar een website.

Geen idee hoe de beveiliging is op deze machientjes, maar als er echt kwaadwilligen zijn zal er wel een hack voor gemaakt kunnen worden (met alle gevolgen ...).

Mijn vraag is of dit echt wel zo nuttig is en vooral NODIG? Het is leuk dat het kan, maar als je hierdoor een veiligheidsrisico mee oploopt met mogelijk dodelijke gevolgen door een verkeerde dosering na een hack, lijkt het mij vooral een Risico i.p.v. een verbetering.

[freaq]

dit meen je toch niet...
hardcoded passwords... wie bedenkt er nou zoiets???

[the_shadow]

dit meen je toch niet...
hardcoded passwords... wie bedenkt er nou zoiets???

Alle specialisten in het ziekenhuis moeten met die dingen werken. Je kan het ab-so-luut niet hebben dat een infuuspomp niet bediend kan worden, omdat een of andere grappenmaker het wachtwoord veranderd heeft naar iets anders.

[vhal]

Ik moet de eerste infuuspomp nog tegenkomen die niet bediend kan worden omdat er een wachtwoord op zit. Tenzij je specifieke settings in het gebruikers/servicemenu wilt veranderen heb je inderdaad een wachtwoord voor nodig. En daar gaat het hoofdzakelijk om.

Een van de meest gebruikte infuuspompen in de Nederlandse ziekenhuizen (Alaris GW/GH/GW) kan bediend worden zonder dat je ooit een password hoeft in te voeren.

Hetzelfde verhaal met beademings/anesthesiemachines van Drager (Evita, VS500, Zeus, Primus).

[452752]

Dit zijn meestal apparaten die aan worden geschaft, neer worden gezet en aan worden gezet. Om vervolgens jarenlang gebruikt te worden.

Het probleem is echter dat er meestal een besturingssysteem als Windows XP op draait. Met een standaard wachtwoord. Doordat dit soort apparaten nooit het systeembeheer passeren zal dit wachtwoord ook nooit veranderd worden.

[Reactie gewijzigd door 452752 op 23 juli 2024 00:16]

[thunder7]

Correct wat betreft het neerzetten en nooit meer naar kijken. Daarom staan ze bi ons in een apart VLAN, en is er enkel één verbinding naar het LIS (Laboratorium Informatie Systeem) zodat de systemen informatie van en naar dat systeem kunnen zenden. Wel zie ik de laatste tijd steeds vaker dat fabrikanten van afstand hun apparatuur willen beheren (en dan bedoelen ze niet de virus-scanner up-to-date houden (want die draait er bijna nooit op) of windows updates draaien, maar vooral storingen in de apparatuur controleren).

Dat is dan natuurlijk wel weer een risico, dat één hack bij een fabrikant gelijk alle systemen van die fabrikant over de hele wereld kwetsbaar maakt.

[Stoney3K]

Dat is dan natuurlijk wel weer een risico, dat één hack bij een fabrikant gelijk alle systemen van die fabrikant over de hele wereld kwetsbaar maakt.

Dat is bij 'normale' industriële automatiseringssystemen echt niet anders hoor. Die zijn ook vaak ontworpen om offline te draaien en dan worden ze ineens aan een netwerk of een VPN geknoopt omdat ze alle vestigen op afstand willen monitoren. Want dat is makkelijk.

Het enige 'nieuwswaardige' is dat ziekenhuisapparatuur er ook kwetsbaar voor is. Maar erg verbazend is dat nu ook weer niet.

[Anoniem: 382732]

Wat heeft Windows XP er mee te maken? Een vast wachtwoord geeft op andere OS-en vergelijkbare problemen.

[Gomez12]

Meeste zooi is niet echt hardcoded, maar wordt simpelweg nooit veranderd.

Heb jij zin om een aangesloten levensreddend apparaat te voorzien van een update van het wachtwoord waardoor bijv dat ding "even" moet rebooten.

Ik zie de kop al verschijnen : Patient overleden, maar IT-beveiligingsbeleid is wel goed in ziekenhuis x.

[Sfynx]

Je kan het wachtwoord natuurlijk ook veranderen voordat je het ding aansluit op een patiënt

[Fireshade]

En elke arts of verpleger die in nood in moet grijpen is op de hoogte van die wachtwoordverandering van 10 minuten geleden?

[vhal]

9 v/d 10 keer wordt zo'n update uitgevoerd door de firma of door de afdeling medische techniek in een ziekenhuis. Het zou bijzonder vervelend zijn als een IT afdeling te pas en te onpas updates over the air knalt naar een medisch apparaat.

Wat betreft het password verhaal., er zal wel een kern van waarheid inzitten wat betreft medische apparatuur welke aangesloten zit op een EPD/EVS/PDMS/etc en mogelijkheden heeft om (wireless) te communiceren. Stand alone apparatuur zal een minder risico zijn.

Zelf onderhouden wij in het ziekenhuis zelf medische apparatuur of besteden we het uit aan externe firma's. Voor die laatste is het niet te doen uit praktisch oogpunt om veranderde hardcoded passwords bij te houden voor elk ziekenhuis. Maar ach, zo moeilijk is het niet om ze te onthouden.

[defixje]

Ooit aan gedacht, dat je een update ook voor of na het aansluiten van een Patiënt kunt uitvoeren?

[djunicron]

Bedrijven die ermee werken. Die zijn te bang voor het financieel verlies dat gepaard gaat met dure samples die niet meer uit het apparaat terug te halen zijn. Als je een batch draait van €200.000 en je wilt het proces om wat voor reden dan ook direct afbreken wil je niet hoeven zoeken / navragen wat het hoogste niveau wachtwoord is en wie deze het laatste heeft veranderd.

Daarom hardcoded. En daarom moet je dergelijke systemen offline houden. Het is nooit grappig als iemand erbij komt en at random je dure / gevoelige apperatuur dingen gaat laten doen "omdat het kan".

[ATS]

Weet je wie: klanten en sales. Die zitten überhaupt niet te wachten op passwords en logins enzo. Die willen gewoon werken met het systeem. De programmeurs kunnen veiligheidssystemen bouwen wat ze willen, maar als er van 'boven' wordt overruled dat het makkelijker moet allemaal, dan doe je daar weinig tegen.

Oh, en ja, dat spul hangt aan het internet.

[Reactie gewijzigd door ATS op 23 juli 2024 00:16]

[Stoney3K]

Weet je wie: klanten en sales. Die zitten überhaupt niet te wachten op passwords en logins enzo. Die willen gewoon werken met het systeem.

Klanten en sales hebben zo'n wachtwoord niet nodig, want dat is voor bijvoorbeeld een service-menu waar je instellingen in kan zetten die specifiek zijn per klant, niet per patiënt. Of om bijvoorbeeld storingen terug te vinden en nader te onderzoeken.

Iets wat je als meditech-specialist niet aan een klant toe zal vertrouwen.

[tpq36]

Nog maar niet te spreken van de diverse ingebouwde easter eggs.
Op diverse apparatuur zijn spelletjes te spelen.

[F-I-X]

Echt totale bullshit wat je hier verteld..

Werk al 22 jaar in de medische technische wereld en dit is nog nooit voor gekomen. Laat staan dat het er uberhaubt in zou zitten word het apparaat er per direct op straat gegooit. In elk geval hier nog nooit gezien.

Trouwens zijn password maar één ding. Er zijn bij de iets oudere apparaten veelal toetscombinaties die je moet gebruiken om in een service menu te komen. Je moet die dus fysiek bedienen en dan nog zitten er in een service menu niet direct een knopje op de patient te laten overlijden.
Dan zijn er ook nog b.v de infuuspompen/beademings toestelen met vaste codes voor verschillende menu's en instellingen maar dit houd ook in dat apparaten eerste uit gezet moeten worden en via een toetsencombinatie in een login scherm moeten komen.
Blijft allemaal fysiek aanwezig zijn bij de handelingen.

Voornamelijk de bewakingsapparatuur staat wel allemaal op het netwerk en in een apart VLAN alleen zijn deze apparaten meestal niet vanuit het netwerk te bereiken enkel de centrale posten (overzichtsschermen) maar niet de monitor die aan de patient zit.

Tegenwoordig zijn er idd AED's die kunnen verbinden met het draadloos netwerk (via een apart SSID en key) die zichzelf kunnen melden als er problemen zijn gedetecteerd bij een zelfstandig uitgevoerde zelftest.. maar ook dat is uit te zetten en veelal niet bruikbaar in de Nederlandse ziekenhuizen. Die werken nog met eigen instrumentele diensten die aanwezig zijn en fysiek de apparatuur controleren en niet een op afstand uitbestede technische service verlener. Nog niet althans..

Maar met al dit soort openbaringen word er veel geschreeuwd maar is de praktijk anders. De kans dat er iets gebeurd is vrij klein en rechtvaardigt de puha en opwinding totaal niet.

Passworden en codes zijn maar beperkt bekend en het groepje techneuten in deze wereld is niet zo groot dat je verwacht dat het rondgaat.. en dan nog zijn de apparaten in gebruik in situaties waar je niet zomaar even iets als onbekende kan gaan uitvoeren.

[dasiro]

Maar met al dit soort openbaringen word er veel geschreeuwd maar is de praktijk anders. De kans dat er iets gebeurd is vrij klein en rechtvaardigt de puha en opwinding totaal niet.

inderdaad. Alles is te kraken, maar wie gaat er de tijd voor nemen om het uit te zoeken en daarna ook nog eens effectief in de praktijk uit te voeren in een levensnoodzakelijke situatie?

Dit soort verhalen kom je enkel tegen in films of extreem geheime operaties. De kans dat je opa plots dood ligt omdat een oma hem verdacht van een affaire is NIHIL

[yrosma]

Heb zelf ooit nog een keer restanten van een pacman spelletje uit de code mogen halen van een medisch rontgen systeem. Praat dan wel over meer dan 10 jaar geleden. Code zelf was van rond 1995 dus iets andere tijden.

Het verhaal deed de ronde dat het er dus echt in heeft gezeten in het veld en er een arts dus per ongeluk in terecht is gekomen. Maar of dat echt zo is durf ik niet te zeggen. Heb nooit de hele code erin gezien. Wel restanten van code van onder andere de highscore en pacman bitmaps. Daar ging namelijk de PR over. Als het ziekenhuis naam niet werd ingevuld kwamen er allemaal spookjes te staan.

Dus helemaal bullshit wil ik het niet noemen. Al denk ik niet dat er tegenwoordig nog van dit soort geintjes in zitten. Zou killing zijn voor je business.

[We Are Borg]

Betrouwbare bron? Of roep je maar wat?

[Hedva]

Ik heb meegewerkt aan de handleidingen van GE Heathcare apparatuur. Het zijn wachtwoorden die uit 3 tekens bestaan ( ieder 0 - 99). Neem als voorbeeld de Procare Monitor B20. Met het eerste wachtwoord dat je er invoert kun je posities wijzigen van de signalen, het 2e wachtwoord kun je het hele systeem wijzigen (je hebt het eerste wachtwoord nodig om uberhaupt het tweede te kunnen invoeren). Ieder type apparaat (monitor) heeft wel zijn eigen soort wachtwoord. Maarja, Elke B20 bijvoorbeeld heeft dus wel het zelfde wachtwoord. Dat ding wordt in ziekenhuizen over de hele wereld gebruikt, waarbij sommige ziekenhuizen er 50 tot 100 hebben.

Edit: Anyway, er zijn maar paar mensen in de wereld die die passwords weten (2e password), en zover ik weet kun je dat per apparaat op één hand tellen. En van die spelletjes van tpq36 weet ik niks van. Maar zou wel leuk zijn, zie je een patiënt pong spelen op zijn eigen monitor

[Reactie gewijzigd door Hedva op 23 juli 2024 00:16]

[Anoniem: 125738]

Dat het systeem pas vraagt om het 2e wachtwoord als de eerste goed is, is nog wel de grootste security flaw. Dat maakt het brute-forcen nog makkelijker, gewoon proberen tot er om het tweede wachtwoord wordt gevraagd, op dat moment weet je dan zeker dat de eerste al goed is.

[Anoniem: 131162]

dan moet je denk ik eerst het menu door, met het eerste kan je al wel wat. En wellicht kun je het maar 3 keer proberen ofzo, dat verteld het verhaal niet. ALs je in het menu komt weet je dus al dat het eerste goed is, daar heldpt dat tweede ww je echt niet bij.

blijft wel een flaw om wachtwoorden in te bakken, maar voor support wel erg makelijk

[Dekker3D]

Als je 3 pogingen krijgt en een gemiddeld ziekenhuis er 50-100 heeft, heb je ongeveer 150-300 pogingen per ziekenhuis en dan weet je de wachtwoorden van ALLE apparaten van hetzelfde type.

Ik heb het eerst waarschijnlijk verkeerd gelezen dat beide wachtwoorden een getal tussen 0 en 99 zijn, wat zou betekenen dat je na 200 pogingen het al zeker weet (en na 100 50% kans hebt om de juiste wachtwoorden te hebben).

Als het inderdaad 3 karakters zijn van 0-99, dan heb je 1000000 pogingen nodig voor elk van de twee wachtwoorden. Nog steeds een redelijk nummer: je probeert gewoon 1 wachtwoord per machine per week, en hoopt dat iemand anders de machine gebruikt waardoor je de 3 pogingen weer krijgt. Zoek je ook een lijst van ziekenhuizen die deze machines gebruikt, heb je misschien iets van 100 ziekenhuizen met 100 van die machines per stuk. Dan hoef je maar 100 pogingen per machine te gebruiken. Het duurt wel een jaartje of wat, maar dan kan het wachtwoord uitgelekt zijn.

En zelfs als de 3 pogingen meteen opgebruikt worden heb je al iets van 3% kans dat iemand de wachtwoorden weet. DAT WIL JE NIET. Niet met medische apparatuur.

[SuperDre]

Dan is het dus nog altijd beter dan maar om 1 wachtwoord vragen die je met brute-forcen zou kunnen achterhalen...

[Lothlórien]

ik weet in ieder geval dat wij sudoko kunnen spelen op onze GE Healtcare NanoVue ( een spectrofotometer, aangepast om DNA/RNA/eiwitten te meten). Hoe dat zit met apparaten in de kliniek zoals een MRI weet ik niet.

[Mel33]

En Spectro Blocks, maar dat zit gewoon in een map in het utilities menu, is dan ook geen easter egg

[Toon-VA]

Er zijn wel AED toestellen die gekoppeld zijn aan een netwerk.

Deze zijn zo geprogrammeerd dat wanneer ze uit hun "kastje" worden gehaald en niet binnen x aantal minuten een ambulance wordt gebeld ze automatisch de hulpdiensten oproepen.

Maar of deze zo kwetsbaar zijn weet ik ook niet, de inwendige werking van die machine's is mij onbekend.

[To_Tall]

Er zal een firmware worden gebruikt. Windows XPe is een bekende en populair systeem.
En als je de firmware locked kan er ook weinig mee gebeuren. behalve parameters aanpassen op de consol. maar daarvoor heb je geen toegang nodig tot het OS

Maar naast een XPe systeem zijn er ook genoeg Linux varianten die zulke systemen beheren. zelfde verhaal zelfde keuze..

Dat er op bepaalde systemen zoals Hart monitoren beademings aperatuur e.d. een netwerk aansluiting zit kan ik ook nog wel begrijpen. Maar als het goed inelkaar gezet is hoeft deze niet te comuniceren met het OS.. maar met de uitgifte van data aan een tussen firmware.

[iVisionz]

Vraagje; wat heb je er in godsnaam aan om een AED te hacken??

[SunnieNL]

Nou, stel dat je een mafia baas bent en je wil je concurrent vermoorden die in het ziekenhuis ligt.
Dan hack je eerst de AED in het zodat hij te hoge dosis geeft of juist helemaal niets.. en vervolgens geef je de man in kwestie een spuitje zodat hij een hartstilstand krijgt.
Ziekenhuis pakt AED, en die doet niets...

(ik kijk te veel CSI ... )


of je doet het gewoon voor de lol.. zoals wel meer hackers inbreken op systemen.. voor de lol.

[Stoney3K]

Nou, stel dat je een mafia baas bent en je wil je concurrent vermoorden die in het ziekenhuis ligt.
Dan hack je eerst de AED in het zodat hij te hoge dosis geeft of juist helemaal niets.. en vervolgens geef je de man in kwestie een spuitje zodat hij een hartstilstand krijgt.

Heb je überhaupt wel in de gaten wat de functie van een AED is?

Zo'n ding is bedeoeld om een hartstilstand te veroorzaken als een hart compleet onregelmatig aan het kloppen is. Door het hart dan te zappen en stil te zetten, kun je de patiënt weer reanimeren met hartmassage.

Eventjes vanuit de firmware een zap uitdelen gaat ook niet zomaar, daar zijn beveiligingen voor ingebouwd die compleet los staan van het OS.

[dragonhaertt]

volgens mij weet jij ook niet helemaal hoe een aed werkt, reanimeren dmv hartmasage is namelijk onzin.

[MAX3400]

Nou ben ik al enige tijd niet in een ziekenhuis geweest maar ik kan me amper herinneringen voor me halen dat een patient met een infuuspomp als mobiel accesspoint fungeerde of dat er een ethernet-kabel achteraan sleepte. Ook de standaard AED's die tegenwoordig in elk winkelcentrum hangen, zitten voor zover ik kan zien, ook niet direct op de kabel aangesloten.

Is lees het hele onderzoek voorlopig meer als proof of concept en niet zozeer dat het daadwerkelijk al in de praktijk is uitgevoerd (of stilgehouden); ziekenhuizen en andere medische instellingen zijn juist erg spaarzaam met (mobiele) verbindingen intern om eventuele verstoring van de behandelingen te voorkomen.

[Anoniem: 382732]

Wel eens op intensive care geweest? Die apparatuur wordt allemaal vanuit een centrale ruimte gemonitord. Dan is ethernet wel zo handig om de boel te integreren.

[F-I-X]

True.. vooral bewakingsmonitoren zijn veelal met een LAN of WLAN verbonden. Alleen worden er door de frabrikanten eisen aan het netwerk gesteld. Daarbij draait de medische apparatuur bijna altijd in een apart VLAN

[vhal]

Het nieuwste telemetriesysteem van Philips kan bijvoorbeeld prima draaien op een bestaand wi-fi netwerk van het ziekenhuis. Wel worden er eisen verbonden aan accespoints en het merk. Of je het wil is een tweede...


Ons huidig telemetriepark is nog een oud coax SDN netwerk (433Mhz range) wat volledig losstaat van het (W)LAN en zal dit jaar vervangen worden voor wireless 2.4Ghz netwerk welke dedicated is. Geen gezeur met IT over het mogelijk beheer en ondersteuning.

[F-I-X]

Wij zijn sinds kort overgegaan van het oude Dräger telemetrie systeem op de 203 Mhz naar de M300 op WiFi.

Het Wifi draait op "hetzelfde draadloze netwerk als de rest alleen zijn er meerdere SSID's die op de accesspoints aanwezig zijn.

Het heeft voordelen en nadelen maar idd zou mjn voorkeur ook zijn geweest om het in een dedicated Wifi netwerk te doen alleen zou alles dan dubbel op moeten omdat op de verpleegafdelingen al veel gebruik gemaakt word van de draadloze netwerken zoals COWS, VOIP en hotspot functionaliteit.

Maar heeft idd ook in onze situatie wat voeten in de aarde om zeker te zijn van een de up-time en niet dat ze zomaar updates gaan doen aan de AP's of het netwerk.

Groetjes collega

[452752]

Er is anders flink wat embedded apparatuur dat gebruik maakt van Ethernet.

RS232 is ouderwets, USB heeft latency problemen, FireWire is te obscuur. Ethernet is perfect om onderdelen van een apparaat met elkaar te verbinden.

[johnkeates]

" FireWire is te obscuur"

Hoe de fuq is dat een probleem? Als een F-16 er mee kan vliegen, waarom zou een ander embedded systeem er geen gebruik van kunnen maken?

Het is juist een ideale bus! Dat er weinig kiloknallers a la supermakt zijn die geen consumenten apparatuur met firewire aanbieden betekend nog niet dat het 'obscuur' is.
Dan zou InfiniBand of Fiberchannel dus ook obscuur zijn?

[Reactie gewijzigd door johnkeates op 23 juli 2024 00:16]

[parcol]

FireWire -> Fly By Wire?

[vhal]

RS232 mag dan wel ouderwets zijn, je komt het nog wel erg vaak tegen bij de huidige generatie medische apparatuur om deze te koppelen naar bijvoorbeeld een PDMS systeem. Niet ieder apparaat is helaas voorzien van een ethernetpoort.

[mphilipp]

Zie de commentaren van de mensen uit het veld. Weer een goed voorbeeld van 'securitydeskundologen' die naam maken belangrijker vinden dan zinvolle info geven. Je leest zo vaak over 'hacks' die heel erg vergezocht zijn zodat ze in de praktijk feitelijk niet uit te voeren zijn. Dergelijke lieden moet eigenlijk de mond gesnoerd worden want bv in dit geval veroorzaken ze alleen maar onrust die dus eigenlijk nergens op gebasseerd is. Maar Jan met de Pet weet dat niet.

[telenut]

ik ken een ziekenhuis waar ze zelfs voor alle security toestellen het standaard wachtwoord gebruiken... zal voor de medische toestellen dus ook niet anders zijn. De veiligheid op IT vlak laat in vele ziekenhuizen nog te wensen over, en daar is nooit controle op. Onlangs audit gehad, en men keek enkel of er noodprocedures voorhanden waren...

[YellowCube]

wat voor 'n audit was dat dan?
Wat je zegt is zoiets als: ' ze hebben een bloedonderzoek gedaan en niet eens gekeken of ik HIV Positief ben"
Dat kan, aangezien ze alleen maar geinteresseerd waren of je toevallig diabetes hebt.

Met andere woorden: de ene audit is de andere niet.
Bovendien vind ik een controle op noodprocedures heel wat zinvoller dan een controle op het wel of niet, via haast ondenkbare omwegen, kunnen hacken van een defibrillator.

En misschien kun je, ook in het kader van wat mphilipp hierboven zegt wat meer toelichten wat je bedoelt met "security toestellen".

[telenut]

aangezien men deze nacht opnieuw heeft ingebroken in onze gebouwen kan je al raden wat die securitytoestellen zijn en zal ik hier niet veel meer info over geven :-) Straks verdenken ze mij nog...

[YellowCube]

ik zal het wel niet begrijpen maar:
je hebt het over een ziekenhuis waar de "securitytoestellen" niet op orde zouden zijn en meldt terstond dat er bij jullie in de gebouwen ingebroken is.
Je werkt in een ziekenhuis en dat heeft meerdere gebouwen?
En dat alles link je vervolgens aan een audit in een ziekenhuis waar ze enkel de noodprocedures gechecked hebben.

Ik heb het idee dat je de zaken een beetje bij elkaar aan het harken bent om maar iets te kunnen zeggen over de vermeende staat van de ICT in ziekenhuizen.

[Anoniem: 338693]

Fabrikanten van apparatuur, zeker zo specialistisch als deze, moeten gewoon standaard een nieuw wachtwoord forceren. Geen standaard wachtwoorden, maar forceren die boel. Het is wel bekend dat er miljoenen apparaten rondslingeren met een standaard wachtwoord.

[Oilman]

En dan op de achterkant van het apparaat een post-it briefje plakken met het nieuwe wachtwoord? Er is een reden waarom deze 'wachtwoorden' hard-coded zijn en dat heeft niets met gemakzucht te maken.