أمن البرامج الثابتة وتحديثات OTA للأجهزة الطبية

باتت طلبات اعتماد الأجهزة الطبية تُرفض على أساس الأمن السيبراني قبل أن تُرفض على أساس الوظيفة السريرية: خطاب رفض القبول بسبب غياب قائمة SBOM، أو ثغرة CVE في مكوّن غير قابل للترقيع تُكتشَف في المراقبة بعد التسويق. نحن نبني خط أمن البرامج الثابتة وتحديثات OTA كي يُقلِع الجهاز بشِفرة موقّعة فقط، ويقبل تحديثات موقّعة فقط، ويُسلِّم أدلة قائمة SBOM وإدارة الثغرات وسجل التدقيق التي يطلبها توجيه FDA قبل التسويق ومُراجِع معيار IEC 81001-5-1. هذه طبقة قابلية الصيانة التي تُبقي الجهاز المنشور قابلًا للترقيع لسنوات، لا اختبار اختراق لمرة واحدة.

Challenges specific to Medical Devices

• رفض القبول بسبب غياب قائمة SBOM

  ترفض مراجعة الأمن السيبراني قبل التسويق لدى FDA الطلب لعدم وجود قائمة مكوّنات برمجية قابلة للقراءة آليًا تُعدِّد كل مكوّن خارجي ومفتوح المصدر مع إصداره وثغراته المعروفة.

• تعذُّر ترقيع جهاز منشور بأمان

  تظهر ثغرة CVE من صنف Log4Shell في مكوّن مُسلَّم، لكن البرنامج الثابت يفتقر إلى مسار تحديث موقّع، فيواجه المُصنِّع سحبًا للمنتج بدلًا من دفع صورة مُعالَجة إلى الوحدات المنشورة.

• البرامج غير الموقّعة تتيح للمهاجم البقاء

  بدون Secure Boot يُشغِّل المُحمِّل أي صورة في الذاكرة، فتنجو نسخة خبيثة أو مُعدَّلة بعد إعادة التشغيل ولم يعد بوسع الجهاز إثبات أنه يُشغِّل شِفرة معتمدة من المُصنِّع.

• تراجع OTA يُعيد فتح ثغرة مُرقَّعة

  آلية تحديث تقبل صورة موقّعة أقدم تتيح للمهاجم إنزال وحدة مُرقَّعة إلى إصدار مُصاب، ما يُبطل كامل قصة إدارة الثغرات في مرحلة ما بعد التسويق.

• لا طريقة منسّقة لتتبُّع ثغرات CVE وفرزها

  تتطلّب المراقبة بعد التسويق مطابقة جرد المكوّنات مع الإفصاحات الجديدة، لكن دون تغذية من SBOM إلى CVE يعلم الفريق بالثغرات القابلة للاستغلال من العملاء أو الجهات التنظيمية أولًا.

• أحداث الأمن لا تترك سجلًا يُحتجّ به

  فشل التحقق من التوقيع أو رفض تحديث أو تغيير في الإعداد لا يُنتج سجلًا مقاومًا للعبث، فلا يستطيع المُصنِّع إعادة بناء حادثة أو إثبات الضبط أثناء تدقيق IEC 81001-5-1.

How GizanTech solves them

1. سلسلة ثقة Secure Boot v2. نُفعّل Secure Boot v2 العتادي مع بصمة المفتاح العام المنصهرة في eFuse، ونُوقّع كل مرحلة من المُحمِّل والتطبيق بـ RSA-3072/ECDSA، ونُعطّل JTAG وتنزيل ROM كي تُنفَّذ البرامج الموقّعة من المُصنِّع فقط.
2. تحديثات OTA موقّعة ومحمية من التراجع. تُسلَّم التحديثات صورًا موقّعة بمفتاح غير متصل، ويُتحقّق منها قبل التفعيل، وتُضبط بعدّاد إصدار أحادي الاتجاه مضاد للتراجع في eFuse كي يُرفَض الإنزال إلى نسخة مُصابة عند المُحمِّل.
3. توليد قائمة CycloneDX SBOM آليًا. يُصدِر بناء CI قائمة SBOM بصيغة CycloneDX تُعدِّد كل مكوّن وإصدار وترخيص، مُصدَّرة بوصفها الأثر القابل للقراءة آليًا الذي يطلبه طلب FDA قبل التسويق ومراجعة البرمجيات مجهولة المنشأ في IEC 81001-5-1.
4. إدارة ثغرات مدفوعة بقائمة SBOM. نربط قائمة SBOM بتغذية CVE (NVD/OSV) كي يُفحَص كل إصدار أمام الإفصاحات المعروفة، وتُفرَز الثغرات حسب قابلية الاستغلال، ويُسجَّل قرار الترقيع أو التبرير للمراقبة بعد التسويق.
5. أقسام تحديث A/B قابلة للترقيع ميدانيًا. تُتيح خانتا تطبيق مزدوجتان مع مراقب تأكيد-وتراجُع دفعَ صورة مُعالَجة والتحقق منها عبر الأثير، مع العودة إلى آخر خانة سليمة إذا فشل الإقلاع، فلا يُعطِّل الترقيع وحدة منشورة أبدًا.
6. سجل تدقيق أمني موقّع للإلحاق فقط. تُكتب نتائج سلامة الإقلاع وقبول التحديثات ورفضها وتغييرات الإعداد المتعلقة بالأمن في سجل أحداث مُسلسَل بالتجزئة وموقّع بـ HMAC يُصدَّر دليلًا مقاومًا للعبث لإعادة بناء الحوادث والتدقيق.