Хакеры прымусілі французскія супермаркеты размарожваць халадзільнікі

Што ахоплівае гэта відэа

• Пацверджана парушэнне працы халадзільнікаў у французскіх супермаркетах; скаардынаваная атака ва ўсіх краінах не даказана.
• Абнаўленне CERT-FR ад 13 кастрычніка называе сямействы кантролераў халадзільнікаў Danfoss, Copeland і Dixell.
• Заводскі скід адкрытага абсталявання без абнаўленняў бяспекі можа выдаліць змены зламысніка, пакідаючы прыладу ўразлівай.
• Праблема Rust #164250 дэманструе канкрэтныя збоі праверкі жыццёвага цыклу; яе тэма не пацвярджае універсальнага збою прыкладання або актыўнай эксплуатацыі ў вытворчасці.
• Apple абвясціла аб даступнасці HomeView з 13 лістапада на пералічаных рынках, пачатковай цаной 299 долараў ЗША і канкрэтнымі ўмовамі для асабістага кантэнту.

Перакладзеная стэнаграма

Перакладзена з арыгінальнай англійскай агучкі. Даступнае аўдыя і субтытры кантралююцца YouTube.

Як халадзільнікі супермаркетаў сапсавалі ежу?

0:00 Хакеры прымусілі халадзільнікі супермаркетаў у Францыі размарожвацца. Крамы выкінулі ежу. У гэтым відэа, як абслугоўванне сапсавала ежу? Што зламалася ў Rust? І чаму скід халадзільніка мог пакінуць небяспеку на месцы? Я вярнуся да гэтага папярэджання аб скідзе перад вердыктам. Сёння аўторак, трынаццатага кастрычніка, і гэта The Daily Diff. Халадзільныя сістэмы супермаркетаў - гэта абсталяванне, якое захоўвае свежыя і замарожаныя

0:21 прадукты халоднымі. Кантролер паведамляе абсталяванню, калі астуджаць і калі плавіць лёд з яго астуджальных частак. Рытэйлеры ў Францыі кажуць, што нападнікі змянілі гэтыя элементы кіравання, прымусіўшы персанал выкінуць сапсаваную ежу. Кіраўнік Coopérative U, Дамінік Шэльхер, пацвердзіў атаку ў панядзелак. Спецыялісты па халадзільным абсталяванні далучыліся да каманд крам для аднаўлення працы. Сёння Apple прадставіла HomeView, а распрацоўшчыкі Rust даследавалі памылку бяспекі памяці.

0:42 Размарозка - гэта звычайнае абслугоўванне.

Навошта халадзільніку размарозка?

0:45 Лёд назапашваецца на астуджальных частках і перашкаджае працы. Нармальны цыкл плавіць гэты лёд, затым астуджэнне аднаўляецца. Падтрымліванне размарозкі ставіць ежу пад пагрозу. Reuters паведамляе, што ўладальнік Intermarché заявіў, што пацярпелыя халадзільнікі награваліся на працягу шасці гадзін. Абслугоўваючыя кампаніі рэгулююць халадзільнае абсталяванне праз падлучаныя да Інтэрнэту панэлі кіравання. Той, хто захоплівае панэль, можа змяніць налады абсталявання. Адна законная функцыя наносіць шкоду для незаконнага карыстальніка. Сведка ў Парыжы апісаў, як персанал выкідваў каляскі з размарожанай ежай,

1:11 з расталым марожаным, што вылівалася на вуліцу. Рэагаванне на інцыдэнт уключае ачыстку тратуара. Ваша панэль маніторынгу рэдка мае слупок для гэтага. Колькасць крам адрозніваецца ў розных справаздачах.

Што на самай справе было пацверджана?

1:19 Нідэрландскі рытэйлер Ahold Delhaize таксама пацярпеў ад збояў. Ahold заявіў, што не мае прычын звязваць свой інцыдэнт з Францыяй. Атака на халадзільнае абсталяванне ў Францыі ўстаноўлена. Адна скаардынаваная атака па ўсіх паведамленых краінах застаецца недаказанай. Афіцыйная французская каманда рэагавання на кібербяспеку апублікавала папярэджанне. Сённяшняе абнаўленне называе кантролеры Danfoss, Copeland і Dixell. У ім гаворыцца, што інтэрфейсы кіравання павінны заставацца па-за межамі агульнадаступнага інтэрнэту. Ідэнтычнасць зламыснікаў і дакладны шлях пранікнення застаюцца невытлумачанымі.

1:45 Аддалены доступ дазваляе абслугоўваючым брыгадам наладжваць абсталяванне, не едучы ў кожную краму. Задача заключаецца ў захаванні гэтай зручнасці за кантраляваным доступам. Дызайнеры павінны абараніць двух кліентаў: тэхніка, які ім карыстаецца, і краму, якая на яго спадзяецца. Рэкамендацыя - выдаліць публічны доступ, праверыць канфігурацыю, і аднавіць доступ праз абароненую сетку. Аператары крам павінны каардынаваць свае дзеянні са сваім пастаўшчыком халадзільнага абсталявання. Разрыў злучэння можа перапыніць маніторынг, неабходны для страхавога

2:08 кантракту. Тым часам у Rust ёсць праблема бяспекі.

Што прапусцілі праверкі жыццёвага цыклу Rust?

2:11 Rust - гэта мова праграмавання, кампілятар якой правярае выкарыстанне памяці перад выкананнем кода. Яго "borrow checker" адсочвае спасылкі, якія з'яўляюцца дэскрыптарамі даных. Гэтыя дэскрыптары павінны станавіцца непрыдатнымі, калі даныя знікаюць. Распрацоўшчык jsnell паведаміў пра код, які прымае кампілятар. Прыклад захоўвае спасылку на пэўны тэкст пасля заканчэння жыццёвага цыклу гэтага тэксту. Рэпарцёр кажа, што інструмент праверкі памяці выяўляе несапраўдны доступ. Кантэйнер абяцае, што яго спасылка можа існаваць на працягу ўсёй праграмы. Прызначэнне спасылкі з меншым тэрмінам жыцця ў яго поле праходзіць міма паведамленых

2:38 праверак. Ачыстка разглядае гэтую спасылку як доўгатэрміновую. Абяцанне захоўваецца пасля знікнення даных. Справаздача прайграваецца на апошніх стабільных версіях. Удзельнікі паказваюць звязаныя прыклады яшчэ з Rust адзін пункт чатыры. Праблема адзначана як высокі прыярытэт. Па нашай праверцы крыніц, яна застаецца адкрытай, без звязанага выпраўлення. Тэма запоўнена больш простымі прыкладамі. Яна таксама дае суправаджальнікам больш спосабаў праверкі выпраўлення.

2:58 Справаздача аб памылцы становіцца больш карыснай, калі людзі прыносяць рэпрадукцыі замест заявы аб непрацаздольнасці кожнага прыкладання. Сачыце за канчатковым выпраўленнем кампілятара. Гэтыя прыклады ўстанаўліваюць канкрэтныя небяспечныя вынікі з прынятага кода. Тэма не дае доказаў таго, што кожнае прыкладанне Rust ідзе гэтым шляхам або што зламыснікі эксплуатуюць яго ў вытворчасці.

Што на самай справе робіць Apple HomeView?

3:15 Apple HomeView - гэта сяміцалевы смарт-дысплей для званкоў, забаў і сумяшчальных хатніх аксесуараў. Папярэднія заказы пачынаюцца сёння, з даступнасцю трынаццатага лістапада. Амерыканская пачатковая цана - дзвесце дзевяноста дзевяць долараў. Siri становіцца яшчэ адным жыхаром, якому трэба дзесьці зараджацца. Apple кажа, што HomeView распазнае да шасці чалавек. Агульны экран на кухні павінен вырашыць, чый каляндар ён павінен паказваць. Гэта праблема прыватнасці, калі госць стаіць перад камерай.

Калі з'яўляецца асабісты кантэнт?

3:38 HomeView павінен распазнаць твар зарэгістраванага чалавека. Іх спалучаны тэлефон або планшэт павінен быць прысутны і нядаўна разблакаваны. Прылады звычайна выкарыстоўваюць адну і тую ж бесправадную сетку. Гэтыя ўмовы кантралююць, калі асабісты кантэнт з'яўляецца на агульным экране. Новыя функцыі Siri пачынаюцца на англійскай мове, у бэта-версіі. Apple кажа, што некаторыя функцыі на аснове сервера маюць штодзённыя ліміты выкарыстання, з пашыраным доступам, даступным за плату ў будучыні. Кухонны памочнік, відаць, набывае апетыт да падпіскі.

4:02 Apple кажа, што HomeView не будзе прадавацца ў Еўрапейскім Саюзе, пакуль новыя функцыі Siri там недаступныя. Для еўрапейскіх хатніх гаспадарак абнаўленне разумнага дома - гэта прагляд амерыканскага прэс-рэлізу. Не патрабуецца запісу на ўстаноўку. Кожнае абяцанне патрабуе мяжы, якая трымаецца. Абслугоўванне халадзільнага абсталявання патрабуе абмежаванага доступу. Rust павінен адхіляць спасылкі, якія перажываюць свае даныя. HomeView павінен захоўваць асабісты кантэнт, прывязаны да правільнага чалавека.

4:24 Звычайныя функцыі могуць мець дарагія наступствы.

Чаму заводскі скід можа пакінуць небяспеку?

4:27 Вось дэталь скіду. Папярэджанне Францыі абвяшчае, што скід адкрытага абсталявання без абнаўленняў бяспекі недастатковы. Ён можа выдаліць змены зламысніка, пакідаючы прыладу ўразлівай. Аднаўленне патрабуе абароненага доступу, а таксама чыстых налад. Дзверы трэба адрамантаваць пасля таго, як зламыснік сыдзе. Калі вы аддаеце перавагу прачытаць гэта, чым пачуць ад мяне, "diff" прыходзіць на вашу пошту кожную раніцу, бясплатна на the daily diff dot dev, спасылка ніжэй.

Чаму вердыкт НЕАБХОДНА ПЕРАГЛЯДЗЕЦЬ?

4:47 Такім чынам, сённяшні вердыкт - НЕАБХОДНА ПЕРАГЛЯДЗЕЦЬ. Я б настойваў на абароненым доступе да кіравання, перш чым называць гэтыя халадзільныя сістэмы адноўленымі. Толькі чыстыя налады пакідаюць наступны інцыдэнт чакаць ля дзвярэй. Падпішыцеся, націсніце званок і скажыце мне ў каментарах, калі б вы паставілі іншы штамп. І гэта ўсё на сёння. Я Ніка з Axrisi. Злівайце адказна.

Крыніцы

1. Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigérationCERT-FR / ANSSI
2. Hackers raise fridge temperatures at hundreds of French supermarkets to spoil foodReuters / ABC News
3. Coopérative U refrigeration-incident confirmationDominique Schelcher
4. The secret behind Danfoss adaptive defrostDanfoss
5. struct's lifetime requirements can be bypassed via covariant field assignment · #164250rust-lang/rust
6. Meet Apple HomeView, a new way to enjoy entertainment, stay connected, and manage the homeApple