导航菜单
首页 >  沐鸣开户测速 >  » 正文

为什么修复医疗设备的安全漏洞,物联网如此困难

沐鸣开户测速

当你还是个孩子的时候,当你的家人打开那台崭新的电脑时,你不会想到是第三方的工作让你能够输入第一个基本程序。曾经有一段时间,我们不必担心是哪家公司生产了支撑我们计算体验的所有正版软件或硬件。但最近的恶意软件攻击和其他安全事件表明,我们有多么需要关注我们每天使用的技术背后的供应链。
 
去年7月,美国国家安全与基础设施管理局(Infrastructure Security Agency,简称nsa)发布了一份有关网络安全与基础设施的报告。它迫使我们去关心,因为它会影响多种医疗设备。它还演示了软件组件供应链和支持的可用性如何影响组织更新设备以修复安全漏洞的能力——特别是在嵌入式计算空间中。
 
紧急/11是Interpeak Networks TCP/IP stack (IPNet)中的一个漏洞,它被授权给多个嵌入式操作系统供应商。IPNet也成为了Wind River VxWorks的主要网络栈,沐鸣开户测速直到2006年Wind River收购了Interpeak,不再支持IPNet。(风河本身于2009年被英特尔收购,并于2018年剥离。)但是,支持的终止并没有阻止其他几家制造商继续使用IPNet。当在IPNet中发现关键的bug时,它在众多医疗设备制造商中引起了恐慌,这些制造商将它作为产品构建的一部分来运行。
 
一般的医疗或物联网设备依赖于多个自由软件或开源工具。这些软件由任意数量的第三方来维护——通常只有一到两个人。以网络时间协议(ntp)为例,它是一种拥有数十亿个设备的软件,它的代码由一个人来维护。当OpenSSL心脏出血漏洞在2014年出现时,OpenSSL项目有两名开发人员参与其中。虽然现在有更多的开发人员在开发它,但“心脏出血”危机象征着当我们在设备中使用免费软件时所发生的事情——软件被修改,没有真正打过补丁,也没有真正维护在设备上,项目也没有得到什么好处。
 
补丁经济学
 
公司在开发产品和减少开支方面承受着持续的压力。为了节省上市时间和降低成本,硬件制造商经常使用参考设计来生产产品。这些设计带有板支持包,其中包含成功安装和运行给定设计上的操作系统所需的代码和驱动程序。有时它们还附带一些实用程序来执行设备上的诊断、硬件调试或监视。
 
但该委员会的支持包并不总是更新,以解决漏洞或更新的操作系统。这是许多Android设备的情况,它们继续被使用,但没有获得软件更新——因为主板支持包和驱动程序不支持内核更改。设备制造商经常需要为每个新版本的操作系统更新这些包。然后,需要在其上重新构建新版本的操作系统和应用程序。第三方组件,如摄像头或额外的传感器,也需要更新其驱动程序。完成这项工作需要大量的工作,需要一定程度的测试,类似于一个全新的设备。
较大的制造商,如三星,有能力吸收成本,并能够以较低的价格提供设备更新,因为他们控制着大量的细分市场(显示器、内存等)。苹果也有能力在数年内提供这些更新,因为它控制着设备背后的供应链,包括处理器,而且它远离了第三方知识产权。
 
但是对于其他制造商来说,沐鸣开户测速更新板支持包、相关驱动程序(当它们存在时)和应用程序的高成本使得将设备升级到一个全新的操作系统版本非常困难。而且通常甚至不可能更新一个特定的组件。结果,主要软件公司设定的预期并没有很好地传递到你没有销售那么多设备的市场,而且存在着巨大的增加收益的市场压力。
 
医疗设备不是智能手机
 
在消费设备市场上,制造商们试图推动一个持续的硬件升级周期,因此这类事情可能不会被视为一个大问题。但是有一种预期认为医疗设备将比其他设备使用的时间更长——它们被认为是资本支出,被写入新设备的建设预算。
 
要求医疗设备供应商承诺长期支持组件和长期供应链支持,最终用户将承担相应的成本。由于支持这些设备的费用,许多组织将放弃制造商支持,转而使用第三方公司提供技术支持和设备管理。这消除了制造商提供额外支持的动机。
 
医疗设备供应商并不总是能够灵活地升级他们的底层平台,因为他们许可组件的方式不同。由于第三方组件通常被许可用于预构建的功能,所以该许可可能只允许设备与特定版本的操作系统或内核一起使用。
 
虽然Linux社区在维护旧的内核版本和解决新内核版本发布后很长时间的安全问题方面一直是令人难以置信的,但是将修补过的内核放到合适的位置需要大量的工作。各个部分之间有很多依赖关系,要想像微软、苹果或IBM Red Hat那样大规模地为特定设备或操作系统提供安全更新,很难维护所有东西。较老的内核和库版本意味着较新的软件将不容易移植和使用,如果有的话。让Apache 2.4在红帽企业Linux 5上运行。例如,x是一项艰巨的任务。
 
不容易解决
 
克服这些问题对医疗设备安全构成的挑战将是困难的。美国联邦药品管理局(Federal Drug Administration,简称fda)试图通过其上市前的网络安全指导规定一份软件材料清单,这是一个良好的开端。它应该有助于理清主板支持包、内核更新、相关应用程序构建和支持硬件之间的依赖关系。
 
然而,处理风险意味着理解和处理设备如何从概念发展到配置的价值链。我们还需要改进设备的设计和更新,沐鸣开户测速以适应三星和苹果提供的支持水平。这意味着制造商需要致力于更长时间地使用平台,并致力于保持构建链的最新,以便能够始终如一地向客户交付补丁和更新。
这不是一个技术问题,而是一个商业和供应链问题。我们需要与我们的医疗设备和物联网供应商沟通并设定期望,我们希望在预期的时间段内获得软件支持和补丁,我们需要确保设备上的所有东西都得到更新,包括应用程序和第三方库。用强有力的合同语言来解决这个问题至关重要。
 
我们必须坦率地说明我们打算使用这些设备多久,我们对安全、服务水平和更新的期望是什么。我们还需要减少我们使用的设备的种类,并尽可能少地标准化供应商,以便我们能够利用有限的资源,保持这些设备处于良好的维修和维护状态。我们还可以通过减少供应商远程访问设备来减少网络攻击。支持需要所有级别的资金,要求供应商为长期支持做出更改需要双方的财务承诺。我们还需要使用软件清单来识别第三方组件,并根据合同确保它们能够像其他设备一样得到支持。
 
但我们需要明白,微软、苹果和其他大型供应商对安全补丁的期望,是一个最多生产数十万台设备的供应商所无法企及的。这是一个更小的市场,具有更高的临界性,需要更高程度的测试。在主要制造商之外,许多制造这些设备的公司都是小型企业,他们必须有能力开发新设备并同时支持现有的设备——这通常是困难的,即使对大公司来说也是如此。
 
我们需要与我们的医疗设备供应商合作,通过更好的流程解决紧急/11等问题。我们需要了解这些设备是如何工作的,我们也需要了解,为比标准PC更复杂的设备安装补丁需要大量的工作。在这些设备上部署补丁也会带来不同的风险。