Aumentare la healthcare security grazie alla tecnologia blockchain (di Mike Gault)

Traduzione dell’originale a cura di Alessandro_Omega

La blockchain, il protocollo alla base di Bitcoin, ha ricevuto un’enorme attenzione negli ultimi due anni. Sebbene inizialmente focalizzata sui servizi finanziari, la tecnologia promette molto per affrontare le sfide della sanità come l’interoperabilità e le frodi Medicare (Medicare fraud). In questo articolo esamineremo come funziona la tecnologia e le applicazioni specifiche nell’ambito sanitario.

Integrità e storia della data security

Da una prospettiva accademica, la sicurezza è stata storicamente classificata in tre principi distinti: riservatezza (confidentiality), integrità (integrity)e disponibilità (availability) (CIA). Chiedi ai professionisti del settore di descrivere questi componenti e riceverai una risposta uniforme in termini di riservatezza e disponibilità, tuttavia l’integrità (cosa significa e come affrontarla) è molto più astratta e genererà una varietà molto più ampia di risposte.

Figura 1: La triade della CIA per la data security

Pensando in termini di cartelle cliniche (record), un attacco alla disponibilità rappresenterebbe un attacco denial of service, perdendo l’accesso alle cartelle cliniche online di un paziente, un attacco alla riservatezza rappresenterebbe l’esfiltrazione di tali cartelle. Un attacco all’integrità, tuttavia, rappresenterebbe una manipolazione dannosa di tali record, sia per causare danni, coprire negligenza o condurre frodi come la retrodatazione per garantire la copertura assicurativa. È importante notare che l’ambito dell’integrità non deve essere limitato ai soli record. In realtà la definizione di integrità è molto più ampia e comprende sistemi, processi e operazioni.

Integrità dei sistemi

Al giorno d’oggi stiamo assistendo a violazioni dei dati delle istituzioni sanitarie con una regolarità allarmante. È chiaro che i controlli di sicurezza perimetrali e basati sulle firme esistenti semplicemente non funzionano in modo efficace. Gli attacchi hanno portato alla perdita di informazioni riservate, ma soprattutto gli attacchi sono stati avviati da malware che hanno compromesso l’integrità dei sistemi infettati.

In parole povere, le violazioni erano il risultato di un integrity attack. Riteniamo che non si possa avere riservatezza senza integrità. In effetti, la riservatezza è ciò che ottieni se i tuoi sistemi hanno integrità.

Per il settore sanitario possiamo includere anche i dispositivi medici come “sistemi”, siano essi scanner MRI o pacemaker, sono tutti costituiti da componenti software e firmware la cui integrità è fondamentale per il corretto funzionamento del dispositivo. Una garanzia di integrità in questo caso significherebbe dimostrare la provenienza e l’integrità di ogni componente software fino alla base di codice del produttore con verifica end-to-end e ricorso legale in caso di guasto di tali dispositivi.

Integrità del processo

Uno dei principali fallimenti del sistema sanitario statunitense è la mancanza di interoperabilità ed è quasi universalmente visto come un grosso ostacolo all’uso efficace e al raggiungimento del potenziale dell’IT sanitaria. Il trasferimento dei dati da un’istituzione all’altra è costoso e gli standard sono definiti in modo così approssimativo che finiscono per diventare barriere all’interoperabilità anziché facilitatori. Questo è un problema di process o di supply chain e se puoi garantire l’integrità del processo con la chain of custody end-to-end per le informazioni, sei un mezzo molto efficace per eliminare gli ostacoli all’interoperabilità. Potrebbe essere stato impossibile per un bad actor manipolare le informazioni per coprire le proprie tracce, ma se è possibile verificare l’integrità della supply chain, allora tali azioni possono essere rilevate e, soprattutto, il chi, cosa e come può essere verificato senza la necessità di lunghe e incerte indagini forensi.

Integrità operativa

Le azioni di Edward Snowden sono state un problema di integrità operativa poiché ha operato al di fuori delle regole del sistema che era incaricato di amministrare. Oggi le frodi Medicare dovute a pagamenti impropri sono stimate in $50bl all’anno. Si tratta di una somma enorme e una percentuale significativa della quale potrebbe essere ridotta se ci fosse un mezzo per verificare l’integrità, la provenienza e la storia dei documenti utilizzati per creare tali affermazioni fraudolente. Fatturazione fantasma, tangenti e unbundling sono tutti esempi di violazione dell’integrità operativa che è stata effettivamente eliminata in Estonia attraverso la verifica end-to-end dell’integrità operativa.

In sintesi, se definiamo l’integrità in modo simile alla qualità umana come “l’assenza di compromessi” diventa chiaro quale sia il suo valore per la sicurezza dei sistemi sanitari. Se puoi garantire l’integrità, puoi garantire l’assenza di compromessi, che porta a un modello di sicurezza molto diverso.

Perché l’integrità è stata storicamente dimenticata

Nonostante la sua importanza crescente, l’integrità è stata in gran parte trascurata dal punto di vista della sicurezza e questo è principalmente per ragioni storiche.

In primo luogo, per i primi anni di Internet, la sicurezza era sinonimo di riservatezza dei dati in movimento, con la presunzione che funzionalità come il controllo degli accessi e i firewall fossero più che adeguate per proteggere i dati inattivi. Questa era una conseguenza naturale del modo in cui le organizzazioni operavano, poiché le reti isolate che assumevano un perimetro rafforzato e la protezione dell’e-commerce o dello scambio di informazioni richiedevano la necessità di messaggistica sicura.

Tuttavia, l’avvento del cloud computing, delle reti mobili e dell’Internet of Things ha messo seriamente in discussione questo approccio, così come una crescente consapevolezza da parte di diversi leader di pensiero nella security community, inclusi ricercatori come Bruce Schneier , il direttore della NSA, l’ammiraglio Michael S Rogers e Direttore della National Intelligence James Clapper , e ora sta emergendo un consenso sul fatto che in realtà l’integrità del sistema è la più grande minaccia nel cyberspazio, non la riservatezza dei dati in movimento.

A titolo di esempio, si consideri l’importanza relativa della riservatezza e dell’integrità nel settore sanitario:

Figura 2: violazione dell’integrità e violazione della riservatezza nel settore sanitario

In secondo luogo, l’integrità è stata ampiamente considerata un “problema risolto” dopo l’invenzione dell’infrastruttura a chiave pubblica (Public Key Infrastructure o PKI). L’impulso alla base della PKI è stato lo scambio di chiavi attraverso un canale non sicuro ed è stato subito riconosciuto che poteva essere utilizzato anche per le firme digitali e la verifica dell’integrità dei componenti del sistema. Sebbene i crittografi possano considerarlo un problema risolto, in realtà la PKI ha una serie di sfide che in pratica significano che è tutt’altro che ideale per affrontare questo caso d’uso. La complessità e il costo della sola gestione delle chiavi rendono molto difficile l’implementazione corretta, soprattutto per la conservazione dei dati nel long-term. Infatti Rob Joyce, capo dell’Ufficio per l’accesso su misura dell’NSA, ha recentemente evidenziato come l’NSA si avvicini allo sfruttamento della rete in primo luogo prendendo di mira le credenziali degli amministratori di sistema. Una volta che una credenziale è stata compromessa, un utente malintenzionato avrà accesso illimitato all’interno di una rete, raggiungerà la persistenza (modificando il firmware, i parametri di configurazione chiave, etc.) portando quindi all’esfiltrazione dei dati. La PKI ha altri problemi, non ultimo la complessità, e poi il ricorso a trust anchor chiamati autorità di certificazione (Certificate Authorities o CA), e sappiamo da eventi ben pubblicizzati che i certificati possono e sono stati sfruttati in passato, il che mette a fuoco l’intera questione di fiducia.

L’uso di PKI come coltellino svizzero sia per la riservatezza che per l’integrità è indicativo della mancanza di innovazione intorno alle tecnologie di integrità e fino a poco tempo semplicemente non abbiamo trovato la tecnologia giusta. Un’importante intuizione sul motivo per cui questo approccio fallisce è l’osservazione che l’integrità e la riservatezza sono problemi diametralmente opposti. Si consideri ad esempio un crimine nel mondo fisico: più persone assistono a un crimine, più forte è l’integrità delle prove, ma meno confidenziali diventano le prove. Per integrità vogliamo più testimoni, per riservatezza vogliamo meno.

Presupposti e Trust Anchor

Chiedi a un professionista di questo settore quali strumenti utilizzano per affrontare l’integrità dei sistemi che hanno il compito di proteggere e otterrai un’ampia gamma di risposte, ma in genere puoi includere: “Abbiamo in atto procedure gestite da addetti ai lavori fidati per garantire la corretta gestione dei dati” o “Crittografiamo i nostri dati inattivi e ci affidiamo alla gestione delle chiavi gestita da amministratori fidati”. etc.

Come già indicato, questo si tratta di un errore; la crittografia non può risolvere il problema di integrità: semplicemente NON è possibile crittografare firmware, software o file di configurazione in esecuzione su una macchina e fare affidamento su PKI per mantenere lo stato. La gestione delle chiavi sposta semplicemente la trust anchor su una credenziale dell’amministratore delle chiavi e dobbiamo sospendere il sano scetticismo e i trust certificate da una CA a monte. Questo indica il motivo per cui la moderna sicurezza continua a fallire su scala epica; NON è possibile verificare empiricamente la fiducia.

“Qualsiasi tecnologia di sicurezza la cui efficacia non può essere determinata empiricamente è indistinguibile dalla fortuna cieca”.

Dan Geer, security researcher

In altre parole quando si costruiscono sistemi di sicurezza, se si dispone di un presupposto che include la fiducia (nelle chiavi, negli amministratori umani), con un tempo sufficiente verrai compromesso con probabilità 1.

Questa è la promessa della blockchain per la sicurezza informatica: se riesci a eliminare la necessità di fiducia, puoi costruire sistemi di sicurezza che non si basano su un’unica autorità e creare un cambio di paradigma nella sicurezza stessa. Invece di cercare le vulnerabilità, equivalente a cercare un ago in un pagliaio, puoi avere certezza matematica per ogni risorsa digitale che costituisce il sistema che vuoi proteggere.

Cos’è una Blockchain?

In poche parole una blockchain è un database distribuito, condiviso e gestito da più parti. I record possono solo essere aggiunti al database, mai rimossi, con ogni nuovo record collegato crittograficamente a tutti i record precedenti nel tempo.

Nuovi record possono essere aggiunti solo sulla base di un accordo sincrono o “consenso distribuito” delle parti che gestiscono il database. Collegando crittograficamente i record è impossibile per una parte manipolare i record precedenti senza interrompere la coerenza complessiva del database.

Figura 3: I fondamenti della blockchain

Usare la Blockchain come Trust Anchor

Ci sono due passaggi chiave nell’utilizzo di una blockchain come trust anchor per la sicurezza: registrazione e verifica.

1. Registrazione.Un sistema da proteggere comprenderà più componenti: firmware, software, file di configurazione, audit e event log, etc. Ciascun componente avrà una supply chain associata (ossia una registrazione della sua storia e provenienza). Ad esempio, pensa a un dispositivo medico come uno scanner MRI, in cui i componenti del dispositivo potrebbero provenire da un produttore diverso e avranno una storia di revisioni ad esso associate. Per registrare un componente, un produttore genererà un’impronta digitale (o hash-value) di ciascun componente da registrare e invierà tale impronta digitale alla rete di partecipanti che tenteranno (utilizzando un processo chiamato “consenso distribuito”) di inserire contemporaneamente quell’impronta digitale nelle loro copie locali della blockchain. Una volta registrata, al produttore verrà restituita una firma che collega crittograficamente l’impronta digitale del componente a una voce nella blockchain.
2. Verifica. Dopo che un componente è stato registrato e generata una firma, in qualsiasi momento futuro è possibile verificare rapidamente le proprietà del componente (l’ora della registrazione, l’integrità e l’identità dell’ente di registrazione). Per fare ciò un verificatore rigenererà un’impronta digitale del componente e utilizzerà la firma come prova crittografica per confermare che corrisponda alla voce corretta nella blockchain. Una proposta di valore importante e fondamentale dell’utilizzo di una blockchain per l’integrità è che non ci sono chiavi da compromettere: i trust anchor in effetti sono a) la sicurezza dell’algoritmo che genera l’impronta digitale, nonché b) prove ampiamente testimoniate (la blockchain).

Di chi ti fidi?

In matematica, una dimostrazione si basa su assunzioni (o assiomi) fondamentali. In sicurezza questi presupposti sono chiamati trust anchor. Quindi quali sono i presupposti alla base di qualsiasi affermazione sulla sicurezza? Per un CISO che cerca di proteggere un’organizzazione, che sia un ospedale regionale o un’azienda Fortune 500, ci sarà una lunga lista di presupposti, tra cui quasi sicuramente l’affidabilità degli amministratori del sistema e la sicurezza delle chiavi che gestiscono.

Utilizzando una blockchain per verificare l’integrità non è più necessario mantenere segreti o chiavi: la verifica si basa solo su informazioni pubblicamente disponibili. Confrontalo con l’infrastruttura a chiave pubblica (PKI). In una PKI il trust anchor è la sicurezza delle chiavi che devono essere gestite dall’entità firmataria, per l’intera vita del componente. In alcuni regimi di conformità ciò significa molti anni.

L’esperienza ci dice che la gestione delle chiavi è estremamente difficile da fare nel modo corretto e la principale intuizione della sicurezza basata su blockchain è che anche per l’integrità è completamente inutile. L’uso della blockchain come una trust anchor rende le prove ampiamente testimoniate: chiunque abbia una copia della blockchain può verificare l’assenza di compromessi senza fare affidamento su segreti, chiavi o credenziali dell’amministratore.

Estonia: un milione di record sanitari sulla blockchain

Nel 2007 il governo estone è stato vittima di quello che è considerato il primo caso di attacco informatico state-sponsored che ha paralizzato il governo per un periodo di diversi giorni. Ci sono state molte lezioni apprese da questo attacco, non ultima l’importanza della resilienza, la capacità di recuperare, o tornare indietro, a uno stato valido noto e fare affidamento sui segreti per garantire quello stato sia una strategia pericolosa.

Sotto gli auspici del governo estone, un team di scienziati ha deciso di costruire una tecnologia di sicurezza in grado di eliminare la necessità di persone fidate o addetti ai lavori in questo processo di verifica. Oggi la tecnologia che hanno sviluppato è nota come blockchain ed è una tecnologia di base e un substrato di sicurezza sottostante per i sistemi informativi governativi. Ogni modifica e accesso alla cartella sanitaria, ogni transazione finanziaria e ogni evento di sicurezza nel cyberspazio viene registrato nella blockchain, producendo un livello di sicurezza, trasparenza e verificabilità che non era mai stato possibile prima.

Implementando la blockchain su larga scala, il governo estone può garantire che ogni accesso alle cartelle cliniche, ogni cambiamento nelle cartelle cliniche e nella supply chain dei dati digitali sia verificabile utilizzando la blockchain che garantisce l’integrità del sistema, del processo e delle operazioni.

Sebbene la prevenzione della criminalità al 100% sia impossibile, ora è possibile avere il 100% di rilevamento, responsabilità e verificabilità su sistemi altamente complessi. Laddove la motivazione e il comportamento umano devono essere verificati in combinazione con controlli di sicurezza efficaci e integrità di sistemi e processi, pensa alla blockchain.