Советы по поддержанию безопасности системы Openaps против киберугроз

Прошивка для периферийных устройств

У вашего инсулинового насоса, передатчика CGM и радиомоста (например, RileyLink, EmaLink или аналогичных) есть своя прошивка. Проверьте страницы поддержки производителя или форумы сообщества для обновлений безопасности. Например, старые версии прошивки RileyLink могут иметь слабое соединение Bluetooth; более новые версии обеспечивают более сильную аутентификацию. Аналогично, передатчики Dexcom G6 и G7 получают обновления прошивки по воздуху через официальное приложение - убедитесь, что ваш смартфон или приемник применяет их быстро. Если ваш насос серии Medtronic 7xx, обратите внимание, что старые модели не имеют шифрования; рассмотрите возможность обновления до более нового насоса, который поддерживает аутентифицированную связь.

Автоматические обновления, где безопасно

Для компонентов, которые поддерживают его (например, Raspberry Pi OS или операционная система буровой установки), включите автоматические обновления безопасности. Используйте пакет на Debian / Ubuntu. Для самого приложения OpenAPS настройте работу cron, чтобы проверить новые выпуски и уведомить вас. Но никогда не включайте полностью автоматические обновления для инсулиновой помпы или прошивки CGM без подтверждения пользователя, так как плохое обновление может повлиять на дозирование.

Используйте сильные, уникальные пароли

Слабые пароли являются вторым наиболее распространенным вектором после устаревшего программного обеспечения. Ваша система OpenAPS может иметь несколько учетных записей: пользователь Linux буровой установки, сайт Nightscout, учетная запись Dexcom, удаленный болюсный PIN-код насоса и учетные данные Wi-Fi. Каждый должен быть отличным и криптографически сильным.

Пароль Лучшие практики

Создавайте пароли не менее 16 символов, смешивая верхние, нижние регистры, цифры и символы. Избегайте словарных слов, дат или шаблонов клавиатуры. Используйте менеджер паролей, такой как Bitwarden, 1Password или KeePassXC, чтобы хранить их безопасно. Никогда не используйте пароли повторно в разных системах. Если одна учетная запись скомпрометирована, злоумышленники не могут поворачиваться к другим.

Защитите пользователя Linux Rig

По умолчанию на OpenAPS часто есть пользователь по имени со стандартным паролем. Измените это немедленно. Также отключите вход в SSH на основе пароля и используйте только аутентификацию на основе ключа. Создайте сильную пару клавиш Ed25519 и скопируйте открытый ключ на буровую установку. По желанию добавьте второй фактор, такой как YubiKey для сеансов SSH.

Pump PIN-код для пульта Bolus

Если ваш насос поддерживает удаленное болюсирование через систему OpenAPS, PIN-код должен быть не менее 6 цифр, а не ваш день рождения или общая последовательность. Некоторые насосы позволяют изменять длину PIN-кода; используйте максимум. Периодически меняйте PIN-код и никогда не делитесь им с ненадежными сторонами.

Реализация мер сетевой безопасности

Накопитель OpenAPS осуществляет связь по Wi-Fi для загрузки данных в Nightscout и получения изменений конфигурации. Незащищенная домашняя сеть подвергает буровую установку воздействию местных злоумышленников или вредоносных устройств IoT. Защищайте сеть на каждом уровне.

Wi-Fi шифрование и закаливание маршрутизаторов

Используйте шифрование WPA3, если ваш маршрутизатор поддерживает его; в противном случае, WPA2 только с AES (избегайте TKIP). Отключите WPS и UPnP, которые, как известно, могут быть использованы. Измените пароль SSID по умолчанию и администратора. Настройте брандмауэр маршрутизатора для блокировки входящих соединений из Интернета. Если ваш маршрутизатор ISP ограничен, рассмотрите возможность размещения более способного маршрутизатора за ним или с помощью выделенного брандмауэра, такого как pfSense.

Отдельная сеть IoT

Создайте гостевую или IoT VLAN для установки OpenAPS и других устройств умного дома. Это изолирует их от ваших основных компьютеров и телефонов. Даже если установка скомпрометирована, злоумышленник не может получить доступ к вашим личным файлам. Настройте маршрутизатор, чтобы позволить установке только достичь Интернета и вашего сервера Nightscout (или вашего локального экземпляра Nightscout) на определенных портах.

VPN для удаленного доступа

Если вам нужно получить удаленный доступ к буровой установке (например, для устранения неполадок или ручных переопределений), используйте VPN вместо того, чтобы подвергать SSH или веб-интерфейс непосредственно Интернету. Настройте WireGuard или OpenVPN на буровой установке или используйте безопасный туннельный сервис, такой как Tailscale или ZeroTier. Никогда не пересылайте порты 22, 443 или 8080 с вашего маршрутизатора на буровую установку.

Мониторинг активности системы

Раннее выявление аномалий может остановить атаку до того, как она причинит вред. OpenAPS регистрирует множество данных: дозы инсулина, показания КГМ, петлевые решения и системные события. Регулярно просматривайте эти журналы на предмет неожиданных закономерностей.

Автоматический анализ лога

Установите на платформе лог-наблюдатель , чтобы заблокировать повторные неудачные попытки SSH. Используйте такие инструменты, как или , чтобы перенаправить журналы на центральный сервер или отправить вам ежедневное резюме. Ищите признаки несанкционированного доступа: незнакомые IP-адреса, необычное выполнение команд или изменения конфигурации за пределами обычных окон обновлений.

Настройка оповещений

Nightscout может быть настроен на отправку предупреждений о необычных моделях, таких как повторяющиеся ошибки связи насоса или неожиданные изменения базальной скорости. Интегрируйтесь с IFTTT или Pushover для получения push-уведомлений. Если ваша установка поддерживает его, включите оповещения по электронной почте или SMS, когда система обнаруживает новое устройство в сети Bluetooth или когда соединение Wi-Fi неожиданно падает.

Рецензирование журналов периодически

Установите еженедельное или двухнедельное напоминание для ручного сканирования журналов. Обратите внимание на сообщения об ошибках, которые указывают на неудавшееся расшифрование, недействительные пакеты или сбои аутентификации. В сообществе OpenAPS есть шаблоны для анализа журналов - используйте их для флагирования подозрительных событий.

Ограничьте доступ и используйте двухфакторную аутентификацию

Ограничьте возможности взаимодействия с системой OpenAPS. Буровая установка должна быть физически защищена, а удаленный доступ должен требовать нескольких доказательств личности.

Двухфакторная аутентификация (2FA) для Nightscout

Nightscout часто является конечной точкой, обращенной к общественности. Включите 2FA через своего хостинг-провайдера (например, Google, GitHub или Azure AD) или используйте стороннюю службу, такую как Auth0. Для самостоятельного размещения Nightscout, реализуйте TOTP с помощью таких инструментов, как на сервере. Это предотвращает утечку пароля от предоставления доступа к данным глюкозы или возможности изменять профили обработки.

Наименьшее преимущество для пользователей

Создавайте отдельные учетные записи для каждого человека, которому нужен доступ (например, воспитателя, эндокринолога) и назначайте минимальные привилегии. Например, учетная запись зрителя должна только читать данные, а не редактировать профили или запускать ручные болюсы. Регулярно проверяйте учетные записи и удаляйте те, которые больше не нужны.

Физический контроль доступа

Если установка находится в общем пространстве, закрепите ее в закрытом ящике или ящике. Отключите USB-порты и кнопку сброса, если это возможно. Рассмотрите возможность использования явного уплотнения для обнаружения физических помех. Для портативных установок, используемых на работе или в школе, убедитесь, что они не оставлены без присмотра в доступных местах.

Шифрование данных в режиме покоя и транзита

Чувствительные данные о здоровье должны быть зашифрованы везде, где они находятся - на SD-карте буровой установки, во время загрузки в Nightscout и в резервных копиях. OpenAPS поддерживает шифрование для некоторых путей, но вам может потребоваться расширить его.

Зашифровать хранилище Rig

Используйте LUKS (Linux Unified Key Setup) для шифрования корневой файловой системы буровой установки (кроме раздела загрузки). Это защищает данные, если SD-карта украдена или буровая установка потеряна. На Raspberry Pi загрузка из зашифрованного корня с использованием — сообщество предоставляет скрипты. Введите парольную фразу вручную при загрузке или используйте модуль TPM для автоматического расшифровки в доверенных средах.

Шифрование передач Nightscout

Всегда подключайтесь к Nightscout по HTTPS/TLS. Используйте действительный сертификат от Let’s Encrypt или авторитетный CA. Избегайте самоподписанных сертификатов, если у вас нет строгой внутренней сети. Для дополнительной конфиденциальности рассмотрите возможность размещения Nightscout на своем собственном домене с сильной конфигурацией HTTPS (TLS 1.3, идеальная прямая секретность).

Backup Шифрование

Регулярно резервное копирование файлов конфигурации и журналов буровой установки. Зашифровать архив резервного копирования с помощью инструмента, такого как GnuPG или перед его хранением в облаке или на USB-накопителе. Используйте сильную парольную фразу, отличную от пароля входа в систему. Храните резервную парольную фразу в менеджере паролей.

Безопасный Bluetooth и радиосвязь

OpenAPS использует Bluetooth Low Energy (BLE) и под-ГГц радио для связи с CGM и насосом. Эти беспроводные линии связи могут быть перехвачены или заклинило. Современные протоколы включают шифрование, но более старые устройства могут не иметь его.

Используйте Encrypted Bluetooth

Убедитесь, что ваш передатчик CGM и насос поддерживают режим безопасности BLE 1 уровня 3 (шифрование с аутентификацией). Dexcom G6 и G7, а также новые насосы Medtronic, такие как 780G, используют зашифрованные ссылки. Если вы используете более старый насос (например, серия Medtronic 7xx или более старый Omnipod), радиопротокол может быть незашифрован. В этом случае свести к минимуму диапазон, удерживая установку физически близко к насосу и CGM, и избегать использования системы в переполненных общественных местах, где злоумышленник может находиться в пределах радиодиапазона.

Bluetooth управление парами

Храните Bluetooth буровой установки открытым только во время первоначального сопряжения, затем отключите его. Регулярно проверяйте парные устройства через настройки Bluetooth буровой установки. Если вы обнаружите неизвестное устройство, удалите его и повторно свяжете все периферийные устройства со свежими клавишами. Некоторые буровые установки позволяют установить PIN-код Bluetooth - используйте его.

Радиочастотный щит

Для дополнительной паранойи рассмотрите возможность помещения буровой установки в небольшую клетку Фарадея (металлический мешок), когда она не используется во время сна или путешествия. Это предотвращает любую радиосвязь, но имейте в виду, что она также останавливает нормальную работу. Используйте это только в том случае, если вы абсолютно уверены, что никакой петли не требуется.

Воспитывайте себя и оставайтесь информированными

Пейзаж угроз развивается, и сообщество OpenAPS постоянно делится новыми методами безопасности. Быть в курсе - это непрерывный процесс.

Присоединяйтесь к каналам, ориентированным на безопасность