泄露的DICOM医疗标准暴露了数百万患者记录

由于在整个所有者环境中缺乏适当的安全性，一个已有30年历史、很少更新的医疗设备协议暴露了大量高度个人化的数据。

研究人员表示，在过去的几十年里，由于医疗设备使用传统协议，大约6000万份个人和医疗记录可能已经暴露。

来自Aplite的研究人员检查了医学数字成像和通信(DICOM)协议，这是国际公认的医学成像传输标准，在全球大多数放射学，心脏病学成像和放疗环境中实施。根据他们将于12月在伦敦举行的欧洲黑帽会议上发表题目为数百万处于危险中的患者记录:遗留协议的危险这一研究，他们发现该协议的用户通常不使用安全控制。

Applite的高级IT安全顾问Sina Yazdanmehr和Ibrahim Akkulak发现，有超过3800台使用DICOM协议的服务器可以在互联网上访问，其中30%的服务器泄露了敏感数据。

研究人员解释说，DICOM协议确实包含安全措施，如TLS集成和用户识别，但由于各种原因，大多数供应商没有实现它们。其中包括缺乏对安全风险的认识。以及在安全措施存在之前开发硬件，这使得升级变得复杂和耗时(甚至可能不可行)。并且一些供应商的目标是规模较小的组织，这些组织通常缺乏实现访问控制和证书等安全措施所需的IT基础设施。

Yazdanmehr说：“管理TLS证书很复杂。这需要大量的专业知识和资源来避免使用不安全的自签名证书。没有一项安全措施是强制性的，因此缺乏监管治理可能被视为不安全的另一个原因。“

考虑到该协议的最新版本是在30年前的1993年推出的，最初的版本于1985年发布，1988年发布了修订版，也许安全漏洞是意料之中的。Yazdanmehr表示：“2021年有一些更新，但不是我们希望看到的安全改进。”

研究人员表示，他们估计，在过去的30年里，有5900万条记录可能是可见的，其中包括个人信息，如姓名、地址、出生日期、性别。在某些情况下，我们甚至可以看到这些人的社会安全号码。”

他们还表示，有医疗记录显示了某些情况下的检查结果，如核磁共振、x光或CT扫描结果，以及检查日期和时间。

Yazdanmehr说：“与他们交谈过的机器供应商意识到了这些问题，他们不知道风险有多大，也不知道数据泄露的量有多大。”

他指出，这些设备应该能够相互通信并交换数据，但安全移动电子记录涉及到链中的每个环节都是安全的和最新的，并且在大多数设备和医疗设备能够支持先进和复杂的安全措施之前，将会出现问题。

研究人员已经发布了一份关于安全问题的建议，他们建议用户评估是否真的需要将DICOM服务器暴露给远程访问，并在可能的情况下将通信保留在内部。