[论文解读] To Make a Robot Secure: An Experimental Analysis of Cyber Security Threats Against Teleoperated Surgical Robots

Tamara Bonaci, Jeffrey A. Herron+4 more|arXiv (Cornell University)|Apr 16, 2015

Security and Verification in Computing参考文献 23被引用 64

一句话总结

本文通过实验分析了使用Raven II平台的远程操控外科机器人所面临的网络安全隐患，表明攻击者可仅用单个数据包便轻易劫持控制权、操纵外科医生意图或绕过紧急停止功能。主要贡献在于识别出关键安全漏洞，并证明通过基本安全措施（如数据包认证）可几乎完全防止此类攻击，且性能损耗极低。

ABSTRACT

Teleoperated robots are playing an increasingly important role in military actions and medical services. In the future, remotely operated surgical robots will likely be used in more scenarios such as battlefields and emergency response. But rapidly growing applications of teleoperated surgery raise the question; what if the computer systems for these robots are attacked, taken over and even turned into weapons? Our work seeks to answer this question by systematically analyzing possible cyber security attacks against Raven II, an advanced teleoperated robotic surgery system. We identify a slew of possible cyber security threats, and experimentally evaluate their scopes and impacts. We demonstrate the ability to maliciously control a wide range of robots functions, and even to completely ignore or override command inputs from the surgeon. We further find that it is possible to abuse the robot's existing emergency stop (E-stop) mechanism to execute efficient (single packet) attacks. We then consider steps to mitigate these identified attacks, and experimentally evaluate the feasibility of applying the existing security solutions against these threats. The broader goal of our paper, however, is to raise awareness and increase understanding of these emerging threats. We anticipate that the majority of attacks against telerobotic surgery will also be relevant to other teleoperated robotic and co-robotic systems.

研究动机与目标

• 识别并表征在未受保护网络环境中，远程操控外科机器人所面临的真实世界网络安全威胁。
• 评估针对Raven II机器人外科系统实施各种网络攻击的可行性及其影响。
• 评估现有安全机制（如加密和认证）是否可实际应用于远程操控外科系统，而不会损害实时性能。
• 提出可操作的缓解策略，例如序列号验证和网络监控，以增强系统韧性。

提出的方法

• 在公共及临时无线网络环境下，对Raven II外科机器人平台进行了实验性渗透测试。
• 通过分析互操作性远程外科技巧协议（ITP）并识别协议层面的弱点，绘制了攻击面。
• 执行了受控的网络攻击，包括命令注入、序列号操纵以及通过数据包洪泛发起的拒绝服务攻击。
• 评估了在反馈通道和命令通道中增加认证与加密机制对性能的影响。
• 提出了并测试了一种网络监控机制，用于检测多路数据流或异常的乱序数据包率。
• 评估了在实时机器人外科技巧系统中部署标准安全机制（如HMAC、校验和）的可行性。

实验结果

研究问题

• RQ1 Raven II外科机器人在公共或未受保护网络环境下，对远程网络攻击的脆弱性如何？
• RQ2 可对远程操控外科机器人实施哪些类型的网络攻击？这些攻击对患者安全和手术结果可能造成何种潜在影响？
• RQ3 现有安全机制（如数据包认证和加密）是否可应用于远程操控机器人系统，而不会降低实时性能？
• RQ4 协议层面的缺陷（如弱序列号处理机制）在多大程度上可被利用以绕过紧急停止等安全机制？
• RQ5 可实施哪些实际、低开销的缓解策略，以在不损害系统响应速度或可用性的情况下提升安全性？

主要发现

• 攻击者可通过利用ITP协议中弱序列号处理机制，仅用一个恶意数据包便完全劫持机器人的控制权。
• 紧急停止（E-stop）机制可被滥用以触发非预期的机器人行为，暴露出安全设计中的关键缺陷。
• 许多攻击（包括命令操纵和拒绝服务）可使用极少资源执行，使其具有隐蔽性和可扩展性。
• 若在ITP协议中增加数据包认证和校验和，可防止其中几种最严重的攻击，且不影响互操作性。
• 增加基本安全机制（如认证）仅使内存使用量增加约3000KB，对实时性能而言可接受。
• 由于带宽和实时性限制，加密视频反馈可能不可行，从而在隐私与响应速度之间形成关键权衡。