Onderzoekers van een Amerikaanse universiteit hebben een nieuwe manier gevonden om medische apparatuur, zoals pacemakers, defibrillatoren en insulinepompjes, tegen ongeautoriseerde toegang te beschermen door de hartslag van een patiënt te gebruiken.

Deze apparatuur, die vaak in of op het lichaam is aangebracht, beschikt over draadloze mogelijkheden, zodat medisch personeel de patiënt kan monitoren. Dit heeft ook een nadeel, namelijk dat de apparaten te hacken zijn, aldus onderzoekers van de Rice University. Medische implantaten beschikken niet over een wachtwoord, zoals bij een wifi-router thuis het geval is, omdat medisch personeel vaak snel toegang tot het apparaat nodig heeft. Dat zorgt er ook voor dat de apparaten kwetsbaar voor aanvallen zijn.

"Als je een apparaat in je lichaam hebt, kan een persoon voorbij lopen, op een knop drukken en je privacy schenden, of je zelfs een schok geven", aldus onderzoeker Masoud Rostami. Een aanvaller zou een insulinepomp ook insuline kunnen laten geven of de software van de pacemaker updaten. "Maar onze voorgestelde oplossing dwingt iemand die het apparaat wil uitlezen om je eerst aan te raken", merkt de onderzoeker op.

Hartslag

Om eventuele ongeautoriseerde toegang te voorkomen ontwikkelden de onderzoekers het Heart-to-Heart authenticatiesysteem, dat de hartslag van de patiënt als een wachtwoord gebruikt. Het systeem vereist dat de software in het medische implantaat met het "aanraak" apparaat communiceert. Dit apparaat wordt de 'programmer' genoemd.

Als medisch personeel de patiënt aanraakt, detecteert de programmer een elektrocardiogram (EKG) handtekening van het kloppende hart. De interne en externe apparaten vergelijken de details van de EKG en voeren een "handshake" uit. Als de signalen die door beide apparaten op hetzelfde moment zijn verzameld overeenkomen, worden ze het wachtwoord dat toegang tot het apparaat geeft.

"Het signaal van je hartslag is elke seconde anders, dus is het wachtwoord ook elke keer anders", aldus Rostami. "Je kunt het zelfs een minuut later niet meer gebruiken." Het systeem zal in november tijdens de Computer and Communications Security conferentie in Berlijn worden gepresenteerd.