[論文レビュー] To Make a Robot Secure: An Experimental Analysis of Cyber Security Threats Against Teleoperated Surgical Robots

Tamara Bonaci, Jeffrey A. Herron+4 more|arXiv (Cornell University)|Apr 16, 2015

Security and Verification in Computing参考文献 23被引用数 64

ひとこと要約

本論文は、Raven IIプラットフォームを用いて、無人通信ネットワーク環境下における遠隔操作型手術ロボットに対するサイバー脅威を実験的に分析しており、攻撃者が最小限の努力で制御を乗っ取り、外科医の意思を操作する、または緊急停止機能を無効化する可能性があることを示している—場合によっては1パケットで実現する。主な貢献は、深刻な脆弱性の特定と、パケット認証などの基本的なセキュリティ対策が、最小限のパフォーマンスコストで大多数の攻撃を防げるという事実の提示である。

ABSTRACT

Teleoperated robots are playing an increasingly important role in military actions and medical services. In the future, remotely operated surgical robots will likely be used in more scenarios such as battlefields and emergency response. But rapidly growing applications of teleoperated surgery raise the question; what if the computer systems for these robots are attacked, taken over and even turned into weapons? Our work seeks to answer this question by systematically analyzing possible cyber security attacks against Raven II, an advanced teleoperated robotic surgery system. We identify a slew of possible cyber security threats, and experimentally evaluate their scopes and impacts. We demonstrate the ability to maliciously control a wide range of robots functions, and even to completely ignore or override command inputs from the surgeon. We further find that it is possible to abuse the robot's existing emergency stop (E-stop) mechanism to execute efficient (single packet) attacks. We then consider steps to mitigate these identified attacks, and experimentally evaluate the feasibility of applying the existing security solutions against these threats. The broader goal of our paper, however, is to raise awareness and increase understanding of these emerging threats. We anticipate that the majority of attacks against telerobotic surgery will also be relevant to other teleoperated robotic and co-robotic systems.

研究の動機と目的

• 遠隔操作型手術ロボットに対する現実世界のサイバー脅威を特定・特徴づけること、特にセキュリティのないネットワーク環境下での脅威を対象とする。
• Raven IIロボティック外科学システムに対するさまざまなサイバー攻撃の実行可能性と影響を評価すること。
• 暗号化や認証などの既存のセキュリティメカニズムが、リアルタイムパフォーマンスに悪影響を及げない範囲で、遠隔操作型手術システムに実用的に適用可能かどうかを評価すること。
• シーケンス番号の検証やネットワーク監視などの実行可能な緩和戦略を提案し、システムの耐性強化を図ること。

提案手法

• パブリックおよびアドホック無線ネットワーク経由でRaven II手術ロボットプラットフォームに対する実験的侵入テストを実施した。
• 相互運用性のある遠隔手術プロトコル（ITP）の分析を通じて攻撃表面をマッピングし、プロトコルレベルの弱みを同定した。
• コマンドインジェクション、シーケンス番号の改ざん、パケットフラッドによるサービス拒否攻撃を含む、制御されたサイバー攻撃を実行した。
• フィードバックチャネルおよびコマンドチャネルに認証と暗号化を追加した場合のパフォーマンスへの影響を評価した。
• 複数のデータストリームや異常な順序違いパケットレートを検出するためのネットワーク監視メカニズムを提案・テストした。
• リアルタイムロボティクス外科学システムに適用可能な標準的なセキュリティメカニズム（例：HMAC、チェックサム）の実装可能性を評価した。

実験結果

リサーチクエスチョン

• RQ1 Raven II手術ロボットは、パブリックまたはセキュリティのないネットワーク経由でリモート攻撃に対してどれほど脆弱であるか？
• RQ2 遠隔操作型手術ロボットを標的としたサイバー攻撃の種別は何か？ また、それらの攻撃が患者の安全や手術結果に与える潜在的影響は？
• RQ3 パケット認証や暗号化といった既存のセキュリティメカニズムを、遠隔操作型ロボティクスシステムに適用可能か？ その場合、リアルタイムパフォーマンスに悪影響を及げないか？
• RQ4 シーケンス番号の弱さといったプロトコルレベルの欠陥が、E-stopのような安全装置を回避するためにどれほど悪用可能か？
• RQ5 システムの応答性や使いやすさを損なわせることなく、実用的で低コストの緩和戦略をどれほど実装できるか？

主な発見

• 攻撃者は、ITPプロトコルにおける弱いシーケンス番号処理を悪用することで、1つの悪意あるパケットでロボットの制御を完全に乗っ取ることができる。
• 緊急停止（E-stop）機構は、誤ったロボット動作を引き起こす可能性があるため、安全設計に深刻な欠陥を示している。
• コマンド改ざんやサービス拒否攻撃など、多くの攻撃はリソース消費が最小限で実行可能であり、スパイシーでスケーラブルである。
• ITPプロトコルにパケット認証とチェックサムを追加すれば、複数の深刻な攻撃を防げるが、相互運用性に影響を与えない。
• 基本的なセキュリティメカニズム（例：認証）を追加しても、メモリ使用量は約3000KB増加するにとどまり、リアルタイムパフォーマンスにとって許容可能である。
• ビデオフィードバックの暗号化は、帯域幅とリアルタイム制約のため、実現不可能であると考えられ、プライバシーと応答性の間で深刻なトレードオフが生じる。