Sikkerhedseksperter hacker teleopereret kirurgisk robot

En afgørende flaskehals, der forhindrer, at livreddende operationer udføres i mange dele af verden, er manglen på uddannede kirurger. En måde at omgå dette på er at gøre bedre brug af dem, der er tilgængelige.

At sende dem over store afstande for at udføre operationer er klart ineffektivt på grund af den tid, der skal bruges på at rejse. Så et stadig vigtigere alternativ er muligheden for telekirurgi med en ekspert et sted, der styrer en robot et andet sted, der fysisk udfører den nødvendige klipning og terninger. Faktisk stiger salget af medicinske robotter med en hastighed på 20 procent om året.

Men selvom fordelene er klare, er ulemperne blevet mindre godt undersøgt. Telekirurgi er afhængig af banebrydende teknologier inden for så forskellige områder som databehandling, robotteknologi, kommunikation, ergonomi og så videre. Og enhver, der er bekendt med disse områder, vil fortælle dig, at de langt fra er fejlsikre.

I dag undersøger Tamara Bonaci og venner ved University of Washington i Seattle de særlige faldgruber, der er forbundet med den kommunikationsteknologi, der er involveret i telekirurgi. De viser især, hvordan en ondsindet angriber kan forstyrre en telerobots adfærd under operationen og endda overtage en sådan robot, første gang en medicinsk robot er blevet hacket på denne måde.

Den første telekirurgi fandt sted i 2001, hvor en kirurg i New York med succes fjernede galdeblæren på en patient i Strasbourg i Frankrig, mere end 6.000 kilometer væk. Kommunikationen kørte over en dedikeret fiber leveret af et teleselskab specifikt til driften.

Det er en dyr mulighed, da dedikerede fibre kan koste titusindvis af dollars.

Siden da har kirurger udført adskillige fjernoperationer og begyndt at eksperimentere med almindelige kommunikationsforbindelser over internettet, som er væsentligt billigere.

Selvom der ikke er registreret hændelser, hvor kommunikationsinfrastrukturen har forårsaget problemer under en telekirurgioperation, er der stadig spørgsmål om sikkerhed og privatliv, som aldrig er blevet besvaret fuldt ud.

Så Bonaci og co satte sig for at udforske nogle af disse spørgsmål ved hjælp af en telekirurgirobot kaldet Raven II, som blev udviklet ved University of Washington. Raven II er designet med det mål at reducere størrelsen af ​​disse robotter dramatisk og samtidig forbedre deres holdbarhed, så de kan bruges i ekstreme miljøer.

Robotten består af to kirurgiske arme, der manipuleres af en kirurg ved hjælp af en avanceret kontrolkonsol, som inkluderer video og haptisk feedback.

Robotten selv kører på en enkelt pc, der kører software baseret på åbne standarder, såsom Linux og Robot Operating System. Den kommunikerer med kontrolkonsollen ved hjælp af en standardkommunikationsprotokol til fjernkirurgi kendt som Interoperable Telesurgery Protocol.

Denne kommunikation foregår over offentlige netværk, der potentielt er tilgængelige for alle. Og fordi robotten er designet til at fungere under ekstreme forhold, kan denne kommunikationsforbindelse være en forbindelse af lav kvalitet til internettet, måske endda trådløst.

Og deri ligger risikoen. På grund af kommunikationsnetværkenes åbne og ukontrollable karakter bliver det nemt for ondsindede enheder at blokere, forstyrre eller overtage kommunikationen mellem en robot og en kirurg, siger Bonaci og co.

Så det er præcis, hvad de forsøgte at gøre. Bonaci og co har forsøgt forskellige typer cyberangreb på robotten for at se, hvor let den er at forstyrre.

Deres eksperiment er relativt ligetil. I stedet for en rigtig operation har operatøren til opgave at flytte gummiklodser fra en del af et pløkkebræt til en anden. Holdet måler derefter, hvor hurtigt operatøren kan udføre denne opgave under et angreb, og hvor svært forskellige operatører vurderer opgaven.

Kontrolkonsollen forbindes til robotten over et standardnetværk, som den angribende computer også er knyttet til. Denne opsætning gør det muligt for den angribende computer at opfange og manipulere de signaler, der sendes i begge retninger mellem kontrolkonsollen og robotten.

Holdet afprøver tre typer angreb. Den første ændrer de kommandoer, som operatøren sender til robotten, ved at slette, forsinke eller ombestille dem. Dette medfører, at robottens bevægelse bliver ryk og svær at kontrollere.

Den anden type angreb ændrer hensigten med signaler fra operatøren til robotten ved at ændre, f.eks. afstanden en arm skal bevæge sig, eller graden den skal rotere og så videre. De fleste af disse angreb havde en mærkbar indvirkning på Raven umiddelbart efter opsendelsen, siger Bonaci og co.

Den sidste kategori af angreb er en kapring, der fuldstændig overtager robotten. Dette viser sig at være relativt nemt, da den interoperable telekirurgiske protokol er offentligt tilgængelig. Vi tog effektivt kontrol over den teleopererede procedure, siger de.

De fandt endda ud af, hvordan man kunne generere bevægelser, der udløste en automatisk stopmekanisme indbygget i robotten. Dette sker, når en bevægelse tager armene ud over en foruddefineret afstand eller får dem til at bevæge sig for hurtigt.

Ved konstant at sende kommandoer, der udløste denne mekanisme, var holdet i stand til at udføre en slags lammelsesangreb. Vi er i stand til nemt at forhindre robotten i nogensinde at blive korrekt nulstillet, og dermed effektivt umuliggøre en kirurgisk procedure, siger de.

Og hvis denne form for cyberangreb ikke var slem nok, var videoforbindelsen også offentligt tilgængelig, så næsten alle kunne se operationen i realtid.

Det er ikke svært at forestille sig, hvordan cyberangreb af denne art kan have dødelige konsekvenser. Selv lammelsesangrebet på et afgørende tidspunkt under et kirurgisk indgreb kan være fatalt.

Efter at have set, hvor effektive disse former for cyberangreb kan være, foreslår Bonaci og co også måder at forhindre dem på. Det mest oplagte er at kryptere kommunikationen mellem kontrolkonsollen og robotten.

De testede endda denne idé og sagde, at robotten fungerede som forventet. Brugen af ​​kryptering og autentificering har lave omkostninger og høje fordele for telerobotkirurgi, hvilket afbøder mange analyserede angreb, konkluderer de.

Kryptering kan dog ikke forhindre enhver form for angreb. Især tillader det stadig man-in-the-middle-angreb, hvor en aflytning opsnapper signaler i begge retninger, mens den narre begge parter, at de stadig taler med hinanden.

Og videokryptering er sandsynligvis ikke praktisk over den slags netværksforbindelser, der er forudset til fjernkirurgi på ekstreme steder. Det er måske ikke et sikkerhedsproblem, men det rejser vigtige spørgsmål om privatlivets fred.

Det er interessant arbejde, der har dybtgående implikationer, ikke kun for den måde, telekirurgi vil blive udført på, men på den måde, hvorpå offentligheden opfatter sikkerheden og privatlivet i disse systemer.

Telekirurgioperatører bliver nødt til at tage et syn på, hvor sikkert deres udstyr skal være. Og politiske beslutningstagere og offentligheden bliver nødt til at nå deres egne konklusioner om, hvilken form for sikkerhed og privatliv der er acceptabel. Uanset hvad, vil katten og musen med cybersikkerhed fortsætte

Ref:arxiv.org/abs/1504.04339: At gøre en robot sikker: En eksperimentel analyse af cybersikkerhedstrusler mod teleopereret kirurgisk robotik

skjule