嵌入式IoMT設(shè)備的安全設(shè)計
醫(yī)療行業(yè)對連接設(shè)備的日益依賴使其易受網(wǎng)絡(luò)攻擊,排名僅次于小型企業(yè)。為了防止?jié)撛诘臑?zāi)難,美國食品藥品監(jiān)督管理局(FDA)已經(jīng)制定了可供醫(yī)療設(shè)備制造商遵循的嵌入式設(shè)備安全實現(xiàn)指南。這份指南涵蓋了設(shè)計、開發(fā)、產(chǎn)品發(fā)布、售后支持和停產(chǎn)等各個階段。盡管FDA指南中的信息對于設(shè)計人員來說是必讀的,但它通常以高層級角度編寫,最常見的是闡述應(yīng)當實現(xiàn)哪些功能,而沒有說明如何實現(xiàn)。為了幫助醫(yī)療設(shè)備設(shè)計人員深入研究,本文提供了一些缺失的細節(jié)。
自2014年以來,F(xiàn)DA一直在發(fā)布關(guān)于醫(yī)療行業(yè)網(wǎng)絡(luò)安全的建議,每一項都在更新之前的要求以應(yīng)對快速演變的威脅態(tài)勢。最新指南包含在2022年4月發(fā)布的“醫(yī)療設(shè)備中的網(wǎng)絡(luò)安全:質(zhì)量體系考慮因素和售前提交內(nèi)容:行業(yè)和食品藥品監(jiān)督管理局員工的草案指南”中。它主要有三個部分:
一般原則:
如何以及為什么網(wǎng)絡(luò)安全應(yīng)該是設(shè)備安全、質(zhì)量體系規(guī)定的一部分,如何為安全進行設(shè)計,為什么提供透明度至關(guān)重要,以及提交文檔。
安全產(chǎn)品開發(fā)框架:
如何使用威脅模型和包含安全控制、全局系統(tǒng)和多模式傷害視圖的安全架構(gòu)來管理和評估安全風險,以及更新和補丁的需要。這部分還提供了關(guān)于網(wǎng)絡(luò)安全測試的詳細信息。
網(wǎng)絡(luò)安全透明度:
通過貼標簽和建立漏洞管理計劃來傳達,它承認用戶具有不同的緩解能力,并且解決方案應(yīng)適合每一個人。
不過,對于嵌入式系統(tǒng)設(shè)計人員來說,最有用的信息在最后的附錄1中,包括關(guān)于身份驗證、授權(quán)、加密技術(shù)、執(zhí)行完整性、事件檢測、記錄彈性、固件和軟件更新的信息。
有必要單獨涵蓋每個主題,以填補FDA廣泛指南中缺失的細節(jié)。
首先,身份驗證對于安全模型而言必不可少。公鑰/私鑰對和關(guān)聯(lián)的證書鏈將醫(yī)療設(shè)備連接到網(wǎng)絡(luò)。需要將私鑰與可能包含漏洞并使密鑰容易獲取的設(shè)備固件隔離。FDA建議將加密密鑰置于類似于Microchip的CryptoAuthentication?安全IC的防篡改安全密鑰存儲中。
必須通過信任彼此的設(shè)備和云來驗證到云服務(wù)器的連接。雖然可以對每個會話都進行驗證,但這可能會在電池供電的物聯(lián)網(wǎng)(IoT)設(shè)備中消耗大量電能。硬件加密加速器和安全密鑰存儲的組合顯著緩解了這個問題,因為它可在休眠模式下保持納安級的極低電流。
用戶身份驗證允許管理員、技術(shù)人員和其他人員進行特權(quán)設(shè)備訪問,這引入了密鑰認證的概念。這類用例是通過預定義的CryptoAuthentication集成電路(IC)配置利用Trust Platform Design Suite(TPDS)開發(fā)工具提供的。
信息真實性對于在嵌入式系統(tǒng)中為消息簽名并驗證其可信度必不可少。雖然密碼認證IC本質(zhì)上處理加密或未加密的消息驗證,但也可以使用采用對稱的相關(guān)加密加速器的消息驗證代碼(MAC)。
授權(quán)是FDA指南的另一個重要貢獻,因為它建立了最小特權(quán)原則,即在可信執(zhí)行區(qū)和應(yīng)用區(qū)之間設(shè)置權(quán)限和許可來管理關(guān)鍵代碼。每個模塊只能訪問實現(xiàn)其目的所需的信息和資源。
加密技術(shù)顯然是確保安全的另一個關(guān)鍵因素。FDA明智地建議使用標準加密算法,因為在大量社區(qū)用戶輸入的幫助下,公共組織不斷對它們進行測試和更新。加密密鑰將驗證數(shù)據(jù)的完整性,但不會驗證有效性,因此設(shè)計人員必須驗證所有來自外部源的數(shù)據(jù)是否結(jié)構(gòu)良好并符合相應(yīng)的規(guī)范或協(xié)議。
機密性與身份驗證和授權(quán)有關(guān),如果加密密鑰在硬件中未被保密,則可能發(fā)生未經(jīng)授權(quán)的使用。制造商應(yīng)確保對所有可能被黑客利用,從而對患者造成傷害的數(shù)據(jù)的機密性提供支持。在處理和存儲用于身份驗證的加密密鑰時,必須確保機密性,因為披露可能導致對設(shè)備功能的未經(jīng)授權(quán)使用或濫用。
FDA文件提供了正確實現(xiàn)授權(quán)和身份驗證方案的信息,這些方案通常會確保機密性。不過,設(shè)計人員應(yīng)當在威脅建模期間評估是否為這種情況,并對系統(tǒng)進行必要的更改以確保采取適當?shù)目刂拼胧?/p>
此外,F(xiàn)DA還說明了事件檢測和記錄,同時建議將它們存儲下來以供取證發(fā)現(xiàn)使用。這涉及保留和恢復可信的默認設(shè)備配置,設(shè)計人員必須確定如何使用安全密鑰存儲來實現(xiàn)這一點。
可以合理地假設(shè),現(xiàn)在所有物聯(lián)網(wǎng)(IoT)設(shè)備都允許進行無線(OTA)固件和軟件更新,但事實是許多這樣的設(shè)備沒有這種能力。沒有適當?shù)墓碳銦o法快速部署系統(tǒng)更新來應(yīng)對最新的威脅。代碼更新也應(yīng)符合已建立的用戶權(quán)限,因為擁有公鑰的人員可以控制OTA更新并注入有害代碼。
幸運的是,CryptoAuthentication IC讓這個過程變得既簡單又自動化,并且可以確保更新得到執(zhí)行。單個CryptoAuthentication IC可以安全地存儲FDA提到的大部分(如果不是全部)用例的加密密鑰。
總結(jié)
對于醫(yī)療設(shè)備制造商而言,F(xiàn)DA的最新指南涵蓋的范圍十分全面,目的是推動醫(yī)療系統(tǒng)網(wǎng)絡(luò)安全領(lǐng)域的發(fā)展。這些指南以可納入立法的形式編寫,而不是作為嵌入式系統(tǒng)設(shè)計人員的“操作指南”,這就是為什么基準級別的討論只包含在附錄中。
Microchip花費多年時間開發(fā)出一套安全設(shè)備和工具的可信生態(tài)系統(tǒng),在開始開發(fā)將包含在下一代醫(yī)療產(chǎn)品中的系統(tǒng)之前,它是一個很好的起點。
評論