Hackers obligaron a los refrigeradores de supermercados franceses a descongelarse

Lo que cubre este video

• Se confirma la interrupción de la refrigeración en los supermercados franceses; no se ha probado un ataque coordinado en todos los países reportados.
• La actualización del CERT-FR del 13 de octubre menciona las familias de controladores de refrigeración Danfoss, Copeland y Dixell.
• Restablecer de fábrica el equipo expuesto sin actualizaciones de seguridad puede eliminar los cambios del atacante mientras deja el dispositivo vulnerable.
• El problema #164250 de Rust demuestra fallas específicas en la comprobación de "lifetime"; su hilo no establece una ruptura universal de aplicaciones o una explotación activa en producción.
• Apple anunció la disponibilidad de HomeView para el 13 de noviembre en los mercados listados, con un precio inicial de $299 dólares estadounidenses y condiciones específicas para el contenido personal.

Transcripción traducida

Traducido de la narración original en inglés. El audio y los subtítulos disponibles son controlados por YouTube.

¿Cómo estropearon los refrigeradores de los supermercados la comida?

0:00 Los hackers obligaron a los refrigeradores de los supermercados en Francia a descongelarse. Las tiendas tiraron la comida. En este video, ¿cómo el mantenimiento estropeó la comida? ¿Qué se rompió en Rust? ¿Y por qué reiniciar un refrigerador podría dejar el peligro en su lugar? Volveré a esa advertencia de reinicio antes del veredicto. Es martes, trece de octubre, y este es The Daily Diff. Los sistemas de refrigeración de los supermercados son el equipo que mantiene fríos los alimentos

0:21 frescos y congelados. Un controlador le dice al equipo cuándo enfriar y cuándo derretir el hielo de sus partes de enfriamiento. Los minoristas en Francia dicen que los atacantes cambiaron esos controles, dejando al personal desechar los alimentos afectados. El jefe de Coopérative U, Dominique Schelcher, confirmó el ataque el lunes. Especialistas en refrigeración se unieron a los equipos de las tiendas para restaurar el servicio. Hoy, Apple presentó HomeView, y los desarrolladores de Rust investigaron un error de seguridad de memoria.

0:42 La descongelación es un mantenimiento de rutina.

¿Por qué un refrigerador necesita descongelación?

0:45 El hielo se acumula en las partes de enfriamiento y estorba. Un ciclo normal derrite ese hielo, luego se reanuda la refrigeración. Mantener la descongelación funcionando pone en riesgo los alimentos. Reuters informa que el dueño de Intermarché dijo que los refrigeradores afectados se calentaron durante seis horas. Las empresas de mantenimiento ajustan la refrigeración a través de paneles de control conectados a internet. Alguien que toma el control de un panel puede cambiar la configuración del equipo. Una característica legítima causa daño a un usuario ilegítimo. Un testigo en París describió al personal desechando carros de comida descongelada,

1:11 con helado derretido derramándose en la calle. La respuesta al incidente incluye limpiar el pavimento. Su panel de monitoreo rara vez tiene una columna para eso. Los recuentos de tiendas difieren entre los informes.

¿Qué se ha confirmado realmente?

1:19 El minorista holandés Ahold Delhaize también sufrió interrupciones. Ahold dijo que no tenía motivos para vincular su incidente con Francia. El ataque a la refrigeración francesa está establecido. Un único ataque coordinado en todos los países reportados sigue sin probarse. El equipo oficial de respuesta a la ciberseguridad de Francia publicó una alerta. La actualización de hoy nombra los controladores Danfoss, Copeland y Dixell. Dice que las interfaces de gestión deben mantenerse fuera de la internet pública. Deja sin explicación la identidad de los atacantes y la ruta de entrada exacta.

1:45 El acceso remoto permite a los equipos de mantenimiento ajustar el equipo sin tener que conducir a cada tienda. El desafío es mantener esa conveniencia detrás de un acceso controlado. Los diseñadores tienen dos clientes que proteger, el técnico que lo usa y la tienda que depende de él. El consejo es eliminar la exposición pública, verificar la configuración, y restaurar el acceso a través de una red protegida. Los operadores de tiendas deben coordinarse con su proveedor de refrigeración. Cortar la conexión puede interrumpir el monitoreo requerido por un contrato de

2:08 seguro. Mientras tanto, Rust tiene un problema de seguridad.

¿Qué fallaron las comprobaciones de "lifetime" de Rust?

2:11 Rust es un lenguaje de programación cuyo compilador verifica el uso de la memoria antes de que se ejecute el código. Su "borrow checker" rastrea las referencias, que son manejadores de datos. Esos manejadores deberían volverse inutilizables cuando los datos desaparecen. El desarrollador jsnell reportó un código que el compilador acepta. El ejemplo mantiene una referencia a un texto después de que termina la vida útil de ese texto. El reportero dice que una herramienta de verificación de memoria detecta el acceso inválido. Un contenedor promete que su referencia puede durar todo el programa. Asignar una referencia de vida útil más corta en su campo supera las comprobaciones

2:38 reportadas. La limpieza trata esa referencia como de larga vida. La promesa sobrevive después de que los datos desaparecen. El informe se reproduce en versiones estables recientes. Los contribuidores muestran ejemplos relacionados desde Rust 1.4. El problema está marcado como de alta prioridad. En nuestra verificación de fuentes, permanece abierto, sin una solución vinculada. El hilo se llenó de ejemplos más simples. También brinda a los mantenedores más formas de probar una reparación.

2:58 Un informe de error se vuelve más útil cuando las personas traen reproducciones en lugar de declarar que cada aplicación está muerta. Siga la eventual corrección del compilador. Estos ejemplos establecen resultados inseguros específicos de código aceptado. El hilo no proporciona evidencia de que cada aplicación Rust siga esta ruta o de que los atacantes lo estén explotando en producción.

¿Qué hace realmente HomeView de Apple?

3:15 HomeView de Apple es una pantalla inteligente de siete pulgadas para llamadas, entretenimiento y accesorios para el hogar compatibles. Los pedidos anticipados comienzan hoy, con disponibilidad el trece de noviembre. El precio inicial en Estados Unidos es de doscientos noventa y nueve dólares. Siri se convierte en otro residente que necesita un lugar para cargar. Apple dice que HomeView reconoce hasta seis personas. La pantalla compartida de la cocina tiene que decidir qué calendario debe revelar. Eso es un problema de privacidad cuando un invitado a cenar se para frente a la cámara.

¿Cuándo aparece el contenido personal?

3:38 HomeView debe reconocer la cara de la persona registrada. Su teléfono o tableta emparejados deben estar presentes y desbloqueados recientemente. Los dispositivos normalmente comparten la misma red inalámbrica. Esas condiciones controlan cuándo aparece el contenido personal en la pantalla compartida. Las nuevas funciones de Siri comienzan en inglés, en versión beta. Apple dice que algunas funciones basadas en servidor tienen límites de uso diario, con acceso ampliado disponible por una tarifa en el futuro. Un asistente de cocina aparentemente desarrolla un apetito de suscripción.

4:02 Apple dice que HomeView no se venderá en la Unión Europea mientras las nuevas capacidades de Siri no estén disponibles allí. Para los hogares europeos, la actualización del hogar inteligente es ver un comunicado de prensa estadounidense. No se requiere cita de instalación. Cada promesa necesita un límite que se cumpla. El mantenimiento de la refrigeración necesita acceso restringido. Rust necesita rechazar referencias que superan la vida útil de sus datos. HomeView necesita mantener el contenido personal vinculado a la persona correcta.

4:24 Las características ordinarias pueden tener consecuencias costosas.

¿Por qué un restablecimiento de fábrica puede dejar peligros?

4:27 Aquí está el detalle del reinicio. La alerta de Francia advierte que reiniciar el equipo expuesto sin actualizaciones de seguridad es insuficiente. Puede eliminar los cambios del atacante mientras deja el dispositivo vulnerable. La recuperación necesita acceso protegido, así como configuraciones limpias. La puerta necesita ser arreglada después de que el intruso se va. Si prefiere leer esto en lugar de escucharme decirlo, la diferencia llega a su bandeja de entrada todas las mañanas, gratis en the daily diff dot dev, enlace a continuación.

¿Por qué el veredicto es NECESITA REVISIÓN?

4:47 Así que el veredicto de hoy es NECESITA REVISIÓN. Yo insistiría en un acceso de gestión protegido antes de llamar recuperados a estos sistemas de refrigeración. Solo las configuraciones limpias dejan el próximo incidente esperando en la puerta. Suscríbase, active la campana y dígame en los comentarios si lo habría marcado de manera diferente. Y esa es la diferencia de hoy. Soy Niko de Axrisi. Fusiona con responsabilidad.

Fuentes

1. Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigérationCERT-FR / ANSSI
2. Hackers raise fridge temperatures at hundreds of French supermarkets to spoil foodReuters / ABC News
3. Coopérative U refrigeration-incident confirmationDominique Schelcher
4. The secret behind Danfoss adaptive defrostDanfoss
5. struct's lifetime requirements can be bypassed via covariant field assignment · #164250rust-lang/rust
6. Meet Apple HomeView, a new way to enjoy entertainment, stay connected, and manage the homeApple