Hackers obligaron a las neveras de supermercados franceses a descongelarse

Qué cubre este vídeo

• Se confirma la interrupción de la refrigeración de los supermercados franceses; un ataque coordinado en todos los países informados no está probado.
• La actualización del 13 de octubre de CERT-FR nombra las familias de controladores de refrigeración Danfoss, Copeland y Dixell.
• Restablecer de fábrica el equipo expuesto sin actualizaciones de seguridad puede eliminar los cambios del atacante sin dejar de dejar el dispositivo vulnerable.
• El problema #164250 de Rust demuestra fallos específicos en la comprobación de "lifetime"; su hilo no establece una ruptura universal de la aplicación o una explotación activa en producción.
• Apple anunció HomeView para su disponibilidad el 13 de noviembre en los mercados enumerados, con un precio de partida de 299 dólares estadounidenses y condiciones específicas para el contenido personal.

Transcripción traducida

Traducido de la narración original en inglés. El audio y los subtítulos disponibles están controlados por YouTube.

¿Cómo estropearon la comida las neveras de los supermercados?

0:00 Hackers obligaron a las neveras de los supermercados en Francia a descongelarse. Las tiendas tiraron la comida. En este video, ¿cómo estropeó la comida el mantenimiento? ¿Qué se rompió en Rust? Y ¿por qué reiniciar una nevera podría dejar el peligro en su lugar? Volveré a esa advertencia de reinicio antes del veredicto. Es martes, trece de octubre, y este es The Daily Diff. Los sistemas de refrigeración de los supermercados son el equipo que mantiene frescos y congelados

0:21 los alimentos fríos. Un controlador le dice al equipo cuándo enfriar y cuándo derretir el hielo de sus partes de enfriamiento. Los minoristas en Francia dicen que los atacantes cambiaron esos controles, dejando al personal a desechar los alimentos afectados. El jefe de Coopérative U, Dominique Schelcher, confirmó el ataque el lunes. Especialistas en refrigeración se unieron a los equipos de las tiendas para restaurar el servicio. Hoy, Apple presentó HomeView, y los desarrolladores de Rust investigaron un error de seguridad de memoria.

0:42 La descongelación es mantenimiento rutinario.

¿Por qué una nevera necesita descongelarse?

0:45 El hielo se acumula en las partes de enfriamiento y estorba. Un ciclo normal derrite ese hielo, luego la refrigeración se reanuda. Mantener la descongelación en funcionamiento pone en riesgo los alimentos. Reuters informa que el propietario de Intermarché dijo que las neveras afectadas se calentaron durante seis horas. Las empresas de mantenimiento ajustan la refrigeración a través de paneles de control conectados a Internet. Alguien que toma el control de un panel puede cambiar la configuración del equipo. Una característica legítima causa daño a un usuario ilegítimo. Un testigo en París describió al personal desechando carros de comida descongelada,

1:11 con helado derretido derramándose por la calle. La respuesta al incidente incluye limpiar el pavimento. Tu panel de monitoreo rara vez tiene una columna para eso. El número de tiendas difiere en los informes.

¿Qué se ha confirmado realmente?

1:19 El minorista holandés Ahold Delhaize también sufrió interrupciones. Ahold dijo que no tenía motivos para vincular su incidente con Francia. El ataque de refrigeración francés está establecido. Un único ataque coordinado en todos los países informados sigue sin probarse. El equipo oficial de respuesta a ciberseguridad de Francia publicó una alerta. La actualización de hoy nombra los controladores Danfoss, Copeland y Dixell. Dice que las interfaces de gestión deben permanecer fuera de la internet pública. Deja sin explicar la identidad de los atacantes y la ruta exacta de entrada.

1:45 El acceso remoto permite a los equipos de mantenimiento ajustar el equipo sin tener que conducir a cada tienda. El desafío es mantener esa conveniencia detrás de un acceso controlado. Los diseñadores tienen dos clientes que proteger: el técnico que lo usa y la tienda que depende de él. El consejo es eliminar la exposición pública, verificar la configuración, y restaurar el acceso a través de una red protegida. Los operadores de tiendas deben coordinarse con su proveedor de refrigeración. Cortar la conexión puede interrumpir el monitoreo requerido por un contrato de seguro.

2:08 Mientras tanto, Rust tiene un problema de seguridad.

¿Qué fallaron las comprobaciones de "lifetime" de Rust?

2:11 Rust es un lenguaje de programación cuyo compilador verifica el uso de la memoria antes de que se ejecute el código. Su "borrow checker" rastrea referencias, que son manejadores a datos. Esos manejadores deben volverse inutilizables cuando los datos desaparecen. El desarrollador jsnell informó un código que el compilador acepta. El ejemplo mantiene una referencia a un texto después de que la "lifetime" de ese texto termina. El reportero dice que una herramienta de verificación de memoria detecta el acceso inválido. Un contenedor promete que su referencia puede durar todo el programa. Asignar una referencia de vida más corta a su campo pasa las comprobaciones informadas.

2:38 La limpieza trata esa referencia como de larga duración. La promesa sobrevive después de que los datos desaparecen. El informe se reproduce en versiones estables recientes. Los colaboradores muestran ejemplos relacionados desde Rust 1.4. El problema está marcado como de alta prioridad. En nuestra verificación de la fuente, permanece abierto, sin una solución vinculada. El hilo se llenó de ejemplos más simples. También brinda a los mantenedores más formas de probar una reparación.

2:58 Un informe de error se vuelve más útil cuando las personas traen reproducciones en lugar de declarar que cada aplicación está muerta. Siga la eventual solución del compilador. Estos ejemplos establecen resultados inseguros específicos de código aceptado. El hilo no proporciona evidencia de que cada aplicación de Rust llegue a esta ruta o que los atacantes lo estén explotando en producción.

¿Qué hace realmente HomeView de Apple?

3:15 HomeView de Apple es una pantalla inteligente de siete pulgadas para llamadas, entretenimiento y accesorios para el hogar compatibles. Los pedidos anticipados comienzan hoy, con disponibilidad el trece de noviembre. El precio inicial americano es de doscientos noventa y nueve dólares. Siri se convierte en otro residente que necesita un lugar para cargar. Apple dice que HomeView reconoce hasta seis personas. La pantalla compartida de la cocina tiene que decidir qué calendario debe revelar. Eso es un problema de privacidad cuando un invitado a cenar se para frente a la cámara.

¿Cuándo aparece el contenido personal?

3:38 HomeView debe reconocer la cara de la persona registrada. Su teléfono o tableta emparejado debe estar presente y desbloqueado recientemente. Los dispositivos normalmente comparten la misma red inalámbrica. Esas condiciones controlan cuándo aparece el contenido personal en la pantalla compartida. Las nuevas funciones de Siri comienzan en inglés, en beta. Apple dice que algunas funciones basadas en servidor tienen límites de uso diario, con acceso ampliado disponible por una tarifa en el futuro. Un asistente de cocina aparentemente desarrolla un apetito por suscripciones.

4:02 Apple dice que HomeView no se venderá en la Unión Europea mientras las nuevas capacidades de Siri no estén disponibles allí. Para los hogares europeos, la mejora del hogar inteligente es ver un comunicado de prensa estadounidense. No se requiere cita de instalación. Cada promesa necesita un límite que se mantenga. El mantenimiento de la refrigeración necesita acceso restringido. Rust necesita rechazar referencias que sobreviven a sus datos. HomeView necesita mantener el contenido personal vinculado a la persona correcta.

4:24 Las funciones ordinarias pueden tener consecuencias costosas.

¿Por qué un restablecimiento de fábrica puede dejar el peligro atrás?

4:27 Aquí está el detalle del restablecimiento. La alerta de Francia advierte que restablecer el equipo expuesto sin actualizaciones de seguridad es insuficiente. Puede eliminar los cambios del atacante sin dejar el dispositivo vulnerable. La recuperación necesita acceso protegido además de configuraciones limpias. La puerta necesita ser reparada después de que el intruso se vaya. Si prefieres leer esto a oírmelo decir, el diff llega a tu bandeja de entrada todas las mañanas, gratis en the daily diff dot dev, enlace abajo.

¿Por qué el veredicto es NECESITA REVISIÓN?

4:47 Así que el veredicto de hoy es NECESITA REVISIÓN. Insistiría en el acceso de gestión protegido antes de llamar a estos sistemas de refrigeración recuperados. Las configuraciones limpias por sí solas dejan el próximo incidente esperando en la puerta. Suscríbete, pulsa la campana y dime en los comentarios si lo habrías sellado de manera diferente. Y esa es la diferencia de hoy. Soy Niko de Axrisi. Fusiona responsablemente.

Fuentes

1. Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigérationCERT-FR / ANSSI
2. Hackers raise fridge temperatures at hundreds of French supermarkets to spoil foodReuters / ABC News
3. Coopérative U refrigeration-incident confirmationDominique Schelcher
4. The secret behind Danfoss adaptive defrostDanfoss
5. struct's lifetime requirements can be bypassed via covariant field assignment · #164250rust-lang/rust
6. Meet Apple HomeView, a new way to enjoy entertainment, stay connected, and manage the homeApple