科技猎深度：心脏起搏器漏洞的背后
大学专家表示，没有决定性证据表明设备会变“砖”。
密歇根大学研究人员针对MedSec提出的一项声明提出了疑问。原声明中称，St Jude Medical公司的植入式心脏起搏器和除颤器有可能遭到远程入侵。
近期，MedSec公开发表了一篇报告，称St Jude Medical销售的生命维持装置有可能遭到黑客的远程入侵。具体来说，黑客可以通过远程发送恶意信号，让设备变“砖”，或者将其电量耗尽。
MedSec并没有帮助制造商修复该问题，而是联手投资公司Muddy Waters Capital做空了St Jude的股票。这使得这对伙伴能够在公布漏洞消息的同时通过公司股票价格的下跌获利。
St Jude称MedSec的指控“错误且有误导性”。
现在，密歇根大学表示MedSec报告中描述的一些安全漏洞并不像人们一开始担心的那样严重。大学研究人员尝试实地测试MedSec的攻击，而目前获得的一个案例证明，安全公司St Jude给出的证据存在漏洞。
“我们的意思并不是报告是假的。我们说它不是决定性的，因为证据并不支持结论。我们能够在不制造安全问题的情况下生成报告中所描述的情况。”
Archimedes医疗设备安全中心的计算机科学和工程负责人、密歇根大学计算机科学副教授Kevin Fu说。
“对首席工程师而言，它可能看上去十分严重，但是对于门诊医生而言，它就像是最开始以为黑客控制了你的电脑，后来却发现你只是忘记了插上键盘。”
MedSec的报告包括了一张关于心脏除颤器无线监控站错误信息的图片，作为基于无线信号的攻击成功摧毁植入式设备的证据。当监控站对除颤器进行操作时，错误的信息会显示出来，代表着设备已经死去，因为它没有再传出实地信号。档案中说：
许多情况下，这种崩溃攻击让Cardiac设备彻底失去响应，对来自Merlin@home设备和Merlin程序员的查询请求没有回复。因此，无法确定Cardiac设备是否还在运行。Medsec极端怀疑它们在一些情况下是“变砖”了：无法响应。有可能是医生选择了不植入对编程人员响应的设备。
有的时候，遭受崩溃攻击的Cardiac设备仍旧能够与程序员通信，此时屏幕显示出的信息令人警惕。
密歇根大学的团队则指出，被植入的起搏器或除颤器能够，且将会继续正常运行，即便是在监控站显示信息错误的情况下也是如此。
换句话说，没有决定性的证据能够说明起搏器或者除颤器在无线信号被干扰之后停止了运作。对于用户而言，这更像是一种烦人的情况，而不是致命的。
Fu 表示：“我们相信起搏器的运作是正常的。”
Muddy Waters发言人对媒体表示：“显然操作的目的不是让攻击重现。”MedSec拒绝对此事发表评论。有媒体认为，如果通讯是被暂时阻断的，那么将很难判断情况的严重程度。另外一方面，如果无线干扰阻止了所有植入式设备和监控站之间的通讯，那么将有可能需要医生介入修复，但这并不是最理想的情况。不过，始终要记住，没有硬证据能支持设备“变砖”的说法，是MedSec强烈的炒作让这件事发生的。
这就是上周的可怕头条的背后故事。
尽管医疗设备制造商必须提升产品的安全性， 大叫着天塌了也是毫无建设意义的。医疗网络安全的核心是安全和风险管理，归根结底，使用医疗设备的患者总要比没有使用的人安全得多。
密歇根大学研究人员仍旧在检查MedSec报告。在结论出来之前，可能还会有更多发现甚至改进。与此同时，这个案例在计算机安全行业内引起了不小的震动，但这只是因为MedSec公司不怎么正统的手段毫无必要地惊吓了使用St Jude产品的用户。
应用安全提供商Arxan Technologies公司CTo Sam Rehman对媒体表示：“我个人的看法是，从伦理上讲，很难理解为什么人们要经历这些。安全产业的任务是通过保护系统来建立信任。”
相关阅读
安全公司披露医疗设备漏洞竟是为了投资策略