医療
ある大学のセキュリティリサーチャーのグループが、遠隔手術ロボットをリモートでハッキングし、乗っ取りに成功したとMIT Technology Reviewが報じています。
遠隔手術とは、文字どおり遠隔操作によって行われる手術です。簡単にいうと、地球上のどこかにあるコンピューター（非常に専門的なソフトウェアとハードウェアを装備）の前に医師が座り、それとは別の場所にあるロボットを操作して手術を行います。手術の請求書を見たことがある人は驚かないと思いますが、医師がロボットを操作して行う手術は医師自らが行う手術よりも（特に出張費が伴う場合）安上がりです。
そのため、遠隔手術であれば、高度な訓練を受けた医師が現地に赴かなくても、高度な訓練を受けた医師のいない地域に住んでいる患者に難しい手術を実施できます。また、世界中に（比較的）安価な医療行為を提供できるようになり、大きな収入源が生まれる可能性があります。とはいえ、お察しのとおり、遠隔手術用の機器やプロトコルの中には危険なサイバー攻撃に対して脆弱なものがあります。
今回、ワシントン大学のサイバーフィジカルインタラクションの専門家、タマラ・ボナチ（Tamara Bonaci）氏率いるリサーチャーチームは、遠隔手術に必要な通信技術を対象に調査を実施しました。リサーチャーらは、遠隔手術の監視や妨害だけでなく、完全な乗っ取りも可能なことを発見しました。
MIT Technology Reviewにも書かれていますが、初期の遠隔手術は専用のファイバー回線経由で行われていました。この方策は、（使用する機械にマルウェアは一切存在しないことを前提とすれば）安全でしたが、同時に非常にコストがかかりました。外科医と患者を専用の直接回線で結ぶと、残念ながら、遠隔手術の金銭的メリットはほとんどなくなってしまいます。コスト面での折り合いをつけるため、遠隔手術を行う医師たちは、インターネットのような安価な通信手段を試してみなければなりませんでした。
今のところ、遠隔手術を標的にした攻撃は実際に行われていませんが、インターネットがそれほど安全でないことは周知の事実です。そこで、ボナチ氏とそのチームは手術ロボットRaven IIに攻撃を仕掛けることにしました。医師側には、患者を手術するロボットの監視と制御を行う医療機器があります。高機能コンソールでは動画を見るほか、実際の感触が伝わるため、医師は本当に手術をしているような手ごたえを得られます。
医師側にある機器の大半はLinuxベースのシステムで、特別に設計されたInteroperable Telesurgery Protocolというプロトコルを使い、公共のインターネット経由で患者側のロボットのOSと通信します。
リサーチャーチームはMIT Technology Reviewに対し、Interoperable Telesurgery Protocolは完全にオープンで公開されているため、遠隔手術装置の乗っ取りは非常に簡単だったと語っています。そのうえ、ロボットに送る信号を遅らせたり、医師から送られる信号がインターネットを通過するときに改ざんして、ロボットの動作を不安定にさせることもできました。ロボットの自動停止メカニズムを作動させ、DoS攻撃を実行したケースもたくさんありました。
リサーチャーが遠隔 #手術 システムRaven IIを #ハッキング して完全に #乗っ取り
Tweet
中でも驚いたのは、Raven IIの遠隔手術の動画がインターネット上を暗号化されずに配信されていたことでしょう。つまり、誰でも手術の様子を見ることができたのです。
リサーチャーチームは指令用の遠隔手術プロトコルに暗号化を組み込むテストも実施しました。コストやパフォーマンスの面でRaven IIの手術能力に深刻な影響は出ませんでした。しかし、遠隔手術は辺鄙な場所で行われることが多く、使用できるデータネットワーク機器が多少制限されるため、暗号化された動画はRaven IIシステムに適していないとのことです。
MIT Technology Reviewは、遠隔手術用の医療機器の売上高は年間20%の割合で増加していると報じています。
ヒント