Wieso erreicht man die Geräte aus dem Internet?

[tnbh]

Machen die Ärzte oft Homeoffice beim Blut analysieren und Operieren? Laß Papa in Ruhe Hans Egon, der muss die HirnOP fertig machen.

Oder sind die Schwestern daheim beim Netflixen, während sie die Patienten überwachen, dass sie nicht abnippeln? SMS: Patient hat Herzversagen, Antwort: Ich muss nur noch drei Folgen schauen, dann komm ich.

Kenn ich nicht so, aber vielleicht ist das ja in Großstädten der Klinikalltag. ;-)

[E1chh0rn]

Selbst Microsoft bekommt seine eigene Infrastruktur (siehe Azure-Key-Geschichte) nicht sicher.

[Cryptkeeper]

Steht mehr oder weniger im Artikel:

> und das selbst dann, wenn die Geräte selbst nicht vom Internet aus erreichbar sind.

Die Geräte selbst sind eben nicht direkt aus dem Internet erreichbar.

> Angreifer müssen lediglich einen Mitarbeiter im Krankenhaus dazu bringen, einen bösartigen Link anzuklicken.

Klickt also ein interner Benutzer auf den öffentlichen Link attacker-example;com/evil-script.html (sch*iß Linksperre ^^), kann dort ein JavaScript beliebige Anfragen an interne Webseiten bsp. http;//10.1.1.1;8080/labor-analyse abschicken.

Dass das JavaScript damit was bösartiges anstellt oder Daten ausliest, verhindert normalerweise die Same-Origin-Policy. Aber moderne(tm) Webentwicklung geht eben so, dass man tausende Scripte von unterschiedlichsten Servern einbindet und auf alle möglichen externen APIs zugreifen muss und dazu die Same-Origin-Policy durch Cross-Origin Resource Sharing (CORS) aufweicht. Wobei keiner versteht, was dabei überhaupt abgeht. "Musst du im Skript so einstellen, sonst geht der Request nicht..."