טיפים לשמירה על אבטחת מערכת פתוחה נגד איומים על סייבר

הבנת הנוף של Cyber Threat for OpenAPS

OpenAPS (Open Artificial Pancreas System) היא טכנולוגיה מבוססת קהילה, קוד פתוח שמחברת אינסולין עבור אנשים עם סוכרת.על ידי חיבור של תוקפים גלוקוז רצופים (CGM), משאבת אינסולין, ומחשב קטן (כמו Raspberry Pi או Intel אדיסון) שיתוף אלגוריתמים מותאמים אישית, היא יוצרת מערכת אבטחה סגורה שמתאים את האינסולין בזמן אמת.

לשמור על תוכנה ותוכנות תוכנה מעודכנים

תוכנה משוחררת היא נקודת הכניסה הנפוצה ביותר עבור התוקפים.קהילת OpenAPS ויצרניות הרכיבים (pump, CGM, גשר רדיו) באופן קבוע לשחרר כתמים לתיקון פרצות אבטחה, לשפר הצפנה ולשפר את היציבות.

עדכון ה-OpenAPS Build

התוכנה OpenAPS הליבה מעודכנת באמצעות GitHub משחררת. Monitor את ה-FLT:0 רשמי OpenAPS RepositoryFLT:1 ומנוי להודעה על הודעות.כאשר גרסה חדשה הוכרזה, לבדוק אותה על סביבה שאינה פרודוקטיבית קודם, ולאחר מכן ליישם אותה על מערכת ההפעלה שלך כמו FLT:0 ולבנות מחדש את התמונה.

המונחים: Peripherals

משאבת האינסולין שלך, CGM משדרת וגשר רדיו (למשל, ריילילינק, EmaLink, או דומה) לכל אחד יש קושחה משלו.בדוק את דפי התמיכה של היצרן או פורומים קהילתיים לעדכוני אבטחה.לדוגמה, גרסאות ישנות יותר של מערכת ריילילינק עשויה להיות חלש Bluetooth זוג; הודעות חדשות יותר לאכוף אימות חזק יותר.

עדכון אוטומטי זמין היכן בטוח

עבור רכיבים התומכים בו (למשל, Raspberry Pi OS או מערכת ההפעלה של הקפדה), לאפשר עדכונים אוטומטיים אבטחה. השתמש בחבילת 1:1 על Debian / Ubuntu. עבור היישום OpenAPS עצמו, להגדיר עבודה cron כדי לבדוק הודעות חדשות ולעדכן אותך.אבל לעולם לא לאפשר שדרוגים אוטומטיים לחלוטין עבור משאבת האינסולין או CGM ללא אישור למשתמש, כמו רע יכול לעשות עדכונים.

שימוש בסיסמאות חזקות וייחודיות

סיסמאות Weak הן הווקטור השני הנפוץ ביותר לאחר תוכנה מיושנת.מערכת OpenAPS שלך עשויה להיות מספר חשבונות: המשתמש לינוקס של ה- rig, אתר Nightscout, חשבון Dexcom, ה-Bolus PIN המרוחק של המשאבה, ו-Wi-Fi אישורים.כל אחד חייב להיות ייחודי והגנתי חזק.

מוטו הטוב ביותר

יצירת סיסמאות של לפחות 16 תווים, ערבוב מזוודה, מזוודה, ספרות וסמלים. להימנע ממילים מילון, תאריכים או דפוסי מקלדת. השתמש במנהל סיסמאות כמו Bitwarden, 1Password, או KeePassXC כדי לאחסן אותם בבטחה.לעולם אל תשתמש בסיסמאות על פני מערכות שונות.אם חשבון אחד נפגע, תוקפים לא יכולים לקעקעקע לאחרים.

לחץ על משתמשי לינוקס של ה-Rreg

כברירת מחדל, ה-OpenAPS rig לעתים קרובות יש משתמש בשם FLT:2 ; עם סיסמה סטנדרטית. Change זה מיד.בנוסף, גם קידוד מבוסס סיסמה ושימוש באימות מבוסס מפתח רק כדי ליצור זוג חזק אד 25519 מפתח עותק של המפתח לציבור לשק.

שואבים את הבולוס PIN

אם המשאבה שלך תומכת בבולדוג מרחוק באמצעות מערכת OpenAPS, PIN צריך להיות לפחות 6 ספרות, לא יום ההולדת שלך או רצף משותף. כמה משאבות מאפשרות להאריך את אורך משתנה; להשתמש במקסימום. לשנות את תקופת PIN, ולעולם לא לשתף אותו עם צדדים שאינם בוטחים.

המונחים: network security Measures

ה- OpenAPS מפיץ מידע על Wi-Fi כדי להעלות נתונים ל- Nightscout ולקבל שינויים בתצורה.רשת ביתית חסרת ביטחון חושפת את הנוקשות לתוקפים מקומיים או למכשירי IoT זדוניים.

Wi-Fi הצפנה ו- Roadr Harding

השתמש בהצפנה WPA3 אם נתב שלך תומך בה; אחרת, WPA2 עם AES בלבד (Alf TKIP) דיסable WPS ו UPnP, אשר ידועים להיות מנוצלים. Change the ברירת מחדל SSID ומנהל סיסמאות. הגדר את חומת האש הנתב כדי לחסום קשרים נכנסים מהאינטרנט.אם נתב ISP שלך מוגבל, שקול הצבת נתב יותר מסוגל מאחורי או באמצעות חומת אש ייעודית כמו mpense.

רשת IoT נפרדת

צור אורח או IoT VLAN עבור ה- OpenAPS ומכשירים ביתיים חכמים אחרים.זה מבודד אותם מהמחשבים העיקריים והטלפונים שלך.גם אם השקיה נפגעת, התוקף אינו יכול לגשת לקבצים האישיים שלך. הגדר את התוואי כדי לאפשר השקיה רק להגיע לאינטרנט ולשרת Nightscout שלך (או ליל הלילה המקומי שלך) על נמלים ספציפיים.

VPN לגישה מרחוק

אם אתה צריך לגשת ל-SSH מרחוק (למשל, עבור פתרון בעיות או overrides ידני), להשתמש VPN במקום לחשוף SSH או ממשק האינטרנט ישירות לאינטרנט. להגדיר WireGuard או OpenVPN על ה- rig, או להשתמש בשירות מנהרה מאובטח כמו Tailscale או ZeroTier.

עקבו אחרי System Activity

גילוי מוקדם של אנומליות יכול לעצור התקפה לפני שהיא גורמת נזק.OpenAPS לוכד עושר של נתונים: מנות אינסולין, קריאה CGM, החלטות הלולאה ואירועים במערכת.

ניתוח אוטומטי Log Analysis

התקנת צופה יומן כמו FLT 3:5 כדי לחסום ניסיונות SSH הכושלים של SSH. השתמש בכלים כמו LT:4 או FLT:5 כדי לקדם יומני לשרת מרכזי או לשלוח דוא"ל לך סיכום יומי.

המונחים:

Nightscout ניתן להגדיר לשלוח התראות עבור דפוסים יוצאי דופן, כגון שגיאות תקשורת משאבה חוזרות או שינויים בלתי צפויים בקצב הבסטל. integrate עם IFTTT או Pushover כדי לקבל הודעות דחיפה.אם השקייה שלך תומך בו, לאפשר הודעות דוא"ל או SMS כאשר המערכת מזהה מכשיר חדש ברשת Bluetooth או כאשר חיבור Wi-Fi טיפות באופן בלתי צפוי.

המונחים: time

הגדר תזכורת שבועית או דו-שבועית לתקליטת יומני סריקה ידנית.שימו לב להודעות שגיאה המציינות כי נכשל פענוח, חבילות לא פתורות, או כישלונות אימות.קהילת OpenAPS יש תבניות עבור יומני קידוד - להשתמש בהם כדי לדגל אירועים חשודים.

הגבלת הגישה והשימוש בשני-Factor Authentication

הגבלות שיכולות לתקשר עם מערכת OpenAPS. יש להבטיח את השקייה פיזית, וגישה מרחוק צריכה לדרוש הוכחות מרובות של זהות.

2-Factor Authentication (2FA) עבור Nightscoutout

Nightscout הוא לעתים קרובות נקודת הקצה של הציבור.Enable 2FA באמצעות ספק האירוח שלך (למשל, Google, GitHub, או Azure AD) או להשתמש בשירות צד שלישי כמו Auth0. עבור Nightscout מעוות עצמית, ליישם את TOTP באמצעות כלים כמו FLT 6 בשרת.זה מונע סיסמה ממתן גישה לנתונים של גלוקוז או את היכולת לשנות פרופילים.

Least Privilege for משתמשים

צור חשבונות נפרדים עבור כל אדם הזקוק לגישה (למשל, מטפל, אנדוקרינולוג) ו להקצות זכויות מינימליות.לדוגמה, חשבון הצופה צריך רק לקרוא נתונים, לא לערוך פרופילים או לעורר בולוסים ידניים.

בקרת גישה פיזית

אם השקיה נמצאת בחלל משותף, לאבטח אותה בתיבה נעולה או מציירת. יציאות USB בלתי ניתנות להתאמה ולפתור האפס אם אפשר. שקול באמצעות חותם טמפר-לכאורה כדי לזהות הפרעה פיזית.

הצפנה של נתונים במנוחה ובמעבר

יש מוצפנים נתונים לבריאות רגישה בכל מקום בו היא מתגוררת - בכרטיס SD של ה-Cygue, במהלך העלאת לילות, ובגיבויים. OpenAPS תומך בהצפנת עבור כמה מסלולים, אבל ייתכן שתצטרכו להרחיב אותו.

הובלת ה-Rig's Storage

השתמש ב- LUKS (לינוקס Unified Key) כדי להצפין את מערכת הקבצים השורשית של ה-Cy (מלבד חלוקת המגף) זה מגן על נתונים אם כרטיס SD נגנב או ה- rig הוא אבוד.על Raspberry Pi, מפלט משורש מוצפן באמצעות קידוד 7 - הקהילה מספקת תסריטים. Enter the Pass באופן ידני ב-חול, או להשתמש במודול TPM לקידוד אוטומטי עבור קידוד מהימן בסביבות.

קידוד Nightscout Transmissions

תמיד להתחבר ל- Nightscout מעל HTTPS /TLS. השתמש בתעודה בתוקף של Let's Encrypt או CA מכובדת להימנע מתעודות חתום עצמית אלא אם יש לך רשת פנימית קפדנית.עבור פרטיות נוספת, לשקול אירוח Nightscout על התחום שלך עם תצורה חזקה של HTTPS (TLS 1.3, סודיות מתקדמת מושלמת).

הצפנה גיבוי

באופן קבוע לגבות את קבצי התצורה של ה-Coughs ו- logs. הצפנה את ארכיון הגיבוי עם כלי כמו GnuPG או FLT:8 לפני אחסון אותו בענן או על כונן USB. השתמש בפרשת מעבר חזקה שונה מהסיסמה של הכניסה של הקפדה.אחסן את ה-back Passwords ב-Alexmant.

Bluetooth ורדיו תקשורת

OpenAPS מסתמכת על Bluetooth Low Energy (BLE) ורדיו תת-GHz כדי לדבר עם CGM ומשאבה.קישורים אלחוטיים אלה ניתן ליירט או להימחק.פרוטוקולים מודרניים כוללים הצפנה, אך מכשירים מבוגרים עשויים שלא להיות חסרים.

שימוש ב- Bluetooth

ודא משדר CGM שלך ומשאבת תמיכה במצב אבטחה BLE 1 רמה 3 (הפענוח עם אימות) Dxcom G6 ו- G7, ו משאבות מדטרוניקה חדשות כמו 780G, השתמש בקישורים מוצפנים.אם אתה משתמש משאבה ישנה יותר (למשל, מדטרוניק 7xx או Omnipod), פרוטוקול הרדיו עשוי להיות לא מוקרן במקרה זה, טווח על ידי רכס רדיו קשיח, כדי למנוע פגיעה פיזית במקומות שבהם ניתן למנוע את מערכת רדיו צפופה Criger או לעקוף את ה-ידי CGM.

Bluetooth Pairing Management

שמור את Bluetooth של הקפדה לגלות רק במהלך הצמד הראשוני, ולאחר מכן להשבית אותו.רגילים רגילים אודיטינג יחד באמצעות הגדרות Bluetooth של הקפדה.אם אתה מזהה מכשיר לא ידוע, להסיר אותו מחדש את כל ההפריטים עם מפתחות טריים. כמה השקיות מאפשרות הגדרת Bluetooth PIN - להשתמש בו.

רדיו Frequency Shielding

עבור פרנויה נוספת, לשקול את השקייה בכלוב קטן פאראדיי (שקית מתכת) כאשר לא בשימוש במהלך השינה או הנסיעה.זה מונע כל תקשורת רדיו, אבל להיות מודע לכך גם מפסיק פעולה רגילה.

למדו את עצמכם ולהישאר מתוחכמים

הנוף האיום מתפתח, וקהילת OpenAPS משתפת כל הזמן טכניקות אבטחה חדשות.להישאר מעודכן הוא תהליך מתמשך.

הצטרפו ל- Security-Focusing Channels

השתתפות בפורומים קהילתיים של OpenAPS פורומים של OpenAPS , וערוץ #אבטחה על OpenAPS דיסקרד או Slack לעקוב אחר חוקרים כמו אלה ב-FLT:2OWASP Medical Device Security ProjectFLT 3 למנויי אבטחת מידע המכסים את מכשירי הבריאות של IoT, כגון בלוג אבטחת המידע של קריבס או ה- FDA.

הערכת סיכונים תקופתיים

בכל כמה חודשים, בדוק את היציבה הביטחונית שלך: לבדוק עדכונים, לבדוק את הגיבוי שלך, לסובב סיסמאות, לאשר כי 2FA הוא עדיין פעיל. השתמש בכלים בקוד פתוח כמו FLT 9 כדי לסרוק את הרשת שלך עבור נמלים פתוחים ו-FLT:10 כדי לפקח על תעבורת Bluetooth עבור אנומליות.

למד מאירועים אמיתיים

קרא על תקריות אבטחה קודמות הכרוכות במכשירי סוכרת.לדוגמה, המחקר של 2019 שהפגין התקפה תיאורטית על רדיו ללא זעזועים של משאבה מדטרוניק הובילה לשינויים בכל רחבי התעשייה.הבנת המקרים האלה עוזרת לך להעריך מדוע יש צורך בהפחתה מסוימת.

תכנון גיבוי ואסון התאוששות

אבטחה אינה רק על מניעה; היא גם על עמידות.אם התקפה תצליח, תוכנית גיבוי חזקה מבטיחה שתוכל לשחזר במהירות את הפעולה הרגילה מבלי לסכן את בריאותך.

גיבויים סדירים

חזרה לדף המלאכה הפתוחה (בדרך כללFLT:11) מדי יום באמצעות עבודה עלון.מנע את הקבצים הגדרות, פרופיל, ואת קבצי יומן. שמור לפחות את 7 הגיבויים האחרונים.

גיבוי גיבוי Offline Copies

לאחסן גיבוי לא מקוון מוצפן על כונן USB שבדרך כלל מנותק מהשקה.תייג אותו עם התאריך ולאחסן אותו בקופסא בטוחה באש.במקרה שהשקה נהרסת או מושחתת, תוכל לשחזר מהעתק הלא מקוון.

מצב חירום

הכינו תוכנית נפילה: דעו כיצד להפעיל את המערכת במצב פתוח (הכנה) אם ה-Auto-loop הסגורה נפגעת.יש משאבה חסומה, חיישן CGM ובנק כוח טלפון מוכן לעבור למצב ידני, כך שאתם לא מזיזים במהלך משבר.

מסקנה

שמירה על מערכת OpenAPS דורשת גישה שכבתית: לשמור על תוכנה נוכחית, להשתמש באימות חזק, להצפין את הרשת שלך, להצפין נתונים, לפקח על omaomalies, ולהכין למקרי חירום.שום אמצעי אחד אינו הוכחה טיפשית, אבל בשילוב הם יוצרים הגנה לעומק שהופך התקפות מוצלחות מאוד.קהילת OpenAPS היא משאב חזק - נשענת על זה, לתרום תובנות משלך, יחד אנחנו יכולים לשמור על החיים האלה, מביקורת אבטחה קבועה, לבצע את זה היום, לבחון את זה בטוח.