Des pirates informatiques ont forcé les réfrigérateurs des supermarchés français à dégivrer

Ce que cette vidéo couvre

• La perturbation de la réfrigération des supermarchés français est confirmée; une attaque coordonnée dans tous les pays signalés n'est pas prouvée.
• La mise à jour du CERT-FR du 13 octobre nomme les familles de contrôleurs de réfrigération Danfoss, Copeland et Dixell.
• La réinitialisation d'usine d'un équipement exposé sans mises à jour de sécurité peut supprimer les modifications de l'attaquant tout en laissant l'appareil vulnérable.
• Le problème Rust #164250 démontre des défaillances spécifiques de vérification de la durée de vie; son fil de discussion n'établit pas de rupture d'application universelle ou d'exploitation active en production.
• Apple a annoncé la disponibilité de HomeView pour le 13 novembre sur les marchés répertoriés, avec un prix de départ de 299 $ US et des conditions spécifiques pour le contenu personnel.

Transcription traduite

Traduit de la narration originale en anglais. L'audio et les sous-titres disponibles sont contrôlés par YouTube.

Comment les réfrigérateurs des supermarchés ont-ils gâté la nourriture?

0:00 Des pirates informatiques ont forcé les réfrigérateurs des supermarchés en France à dégivrer. Les magasins ont jeté de la nourriture. Dans cette vidéo, comment l'entretien a-t-il gâté la nourriture? Qu'est-ce qui a échoué dans Rust? Et pourquoi la réinitialisation d'un réfrigérateur pourrait-elle laisser le danger en place? Je reviendrai à cet avertissement de réinitialisation avant le verdict. Nous sommes le mardi 13 octobre, et c'est The Daily Diff. Les systèmes de réfrigération des supermarchés sont l'équipement qui garde les aliments frais et congelés

0:21 au froid. Un contrôleur indique à l'équipement quand refroidir et quand faire fondre la glace sur ses pièces de refroidissement. Les détaillants en France affirment que des attaquants ont modifié ces contrôles, laissant le personnel jeter les aliments affectés. Le chef de Coopérative U, Dominique Schelcher, a confirmé l'attaque lundi. Des spécialistes de la réfrigération ont rejoint les équipes des magasins pour restaurer le service. Aujourd'hui, Apple a dévoilé HomeView, et les développeurs de Rust ont enquêté sur un bogue de sécurité de la mémoire.

0:42 Le dégivrage est un entretien de routine.

Pourquoi un réfrigérateur a-t-il besoin de dégivrage?

0:45 La glace s'accumule sur les pièces de refroidissement et gêne. Un cycle normal fait fondre cette glace, puis le refroidissement reprend. Laisser le dégivrage en marche met la nourriture en danger. Reuters rapporte que le propriétaire d'Intermarché a déclaré que les réfrigérateurs affectés ont chauffé pendant six heures. Les entreprises de maintenance ajustent la réfrigération via des panneaux de contrôle connectés à Internet. Quelqu'un qui prend le contrôle d'un panneau peut modifier les paramètres de l'équipement. Une fonctionnalité légitime cause des dommages à un utilisateur illégitime. Un témoin à Paris a décrit le personnel jetant des chariots d'aliments décongelés,

1:11 avec de la crème glacée fondue se répandant dans la rue. La réponse à l'incident inclut le nettoyage du trottoir. Votre tableau de bord de surveillance a rarement une colonne pour cela. Le nombre de magasins diffère selon les rapports.

Qu'est-ce qui a été réellement confirmé?

1:19 Le détaillant néerlandais Ahold Delhaize a également subi des perturbations. Ahold a déclaré n'avoir aucune raison de lier son incident à la France. L'attaque de réfrigération française est établie. Une attaque coordonnée unique dans tous les pays signalés reste non prouvée. L'équipe officielle de réponse à la cybersécurité de la France a publié une alerte. La mise à jour d'aujourd'hui nomme les contrôleurs Danfoss, Copeland et Dixell. Elle indique que les interfaces de gestion ne devraient pas être accessibles sur l'Internet public. Elle laisse l'identité des attaquants et la route d'entrée exacte inexpliquées.

1:45 L'accès à distance permet aux équipes de maintenance d'ajuster l'équipement sans se rendre dans chaque magasin. Le défi est de maintenir cette commodité derrière un accès contrôlé. Les concepteurs ont deux clients à protéger, le technicien qui l'utilise et le magasin qui en dépend. Le conseil est de supprimer l'exposition publique, de vérifier la configuration, et de restaurer l'accès via un réseau protégé. Les exploitants de magasins doivent se coordonner avec leur fournisseur de réfrigération. Couper la connexion peut interrompre la surveillance requise par un contrat d'assurance.

2:08 Pendant ce temps, Rust a un problème de sécurité.

Qu'est-ce que les vérifications de durée de vie de Rust ont manqué?

2:11 Rust est un langage de programmation dont le compilateur vérifie l'utilisation de la mémoire avant l'exécution du code. Son vérificateur d'emprunt suit les références, qui sont des descripteurs de données. Ces descripteurs devraient devenir inutilisables lorsque les données ont disparu. Le développeur jsnell a signalé du code que le compilateur accepte. L'exemple conserve une référence à un texte après la fin de la durée de vie de ce texte. Le rapporteur indique qu'un outil de vérification de la mémoire détecte l'accès invalide. Un conteneur promet que sa référence peut durer pendant tout le programme. L'attribution d'une référence à plus courte durée de vie dans son champ passe outre les vérifications signalées.

2:38 Le nettoyage traite cette référence comme ayant une longue durée de vie. La promesse survit après la disparition des données. Le rapport se reproduit sur les versions stables récentes. Les contributeurs montrent des exemples connexes remontant à Rust un point quatre. Le problème est marqué comme haute priorité. Lors de notre vérification des sources, il reste ouvert, sans correctif lié. Le fil de discussion s'est rempli d'exemples plus simples. Il donne également aux mainteneurs plus de moyens de tester une réparation.

2:58 Un rapport de bogue devient plus utile lorsque les gens apportent des reproductions au lieu de déclarer chaque application morte. Suivez le correctif du compilateur éventuel. Ces exemples établissent des résultats non sécurisés spécifiques à partir du code accepté. Le fil de discussion ne fournit aucune preuve que chaque application Rust emprunte ce chemin ou que les attaquants l'exploitent en production.

Que fait réellement HomeView d'Apple?

3:15 HomeView d'Apple est un écran intelligent de sept pouces pour les appels, le divertissement et les accessoires domestiques compatibles. Les précommandes commencent aujourd'hui, avec une disponibilité le 13 novembre. Le prix de départ américain est de deux cent quatre-vingt-dix-neuf dollars. Siri devient un autre résident qui a besoin d'un endroit pour charger. Apple déclare que HomeView reconnaît jusqu'à six personnes. L'écran de cuisine partagé doit décider quel calendrier il doit révéler. C'est un problème de confidentialité lorsqu'un invité se tient devant la caméra.

Quand le contenu personnel apparaît-il?

3:38 HomeView doit reconnaître le visage de la personne inscrite. Leur téléphone ou tablette jumelé doit être présent et récemment déverrouillé. Les appareils partagent normalement le même réseau sans fil. Ces conditions contrôlent l'apparition du contenu personnel sur l'écran partagé. Les nouvelles fonctionnalités de Siri commencent en anglais, en version bêta. Apple déclare que certaines fonctionnalités basées sur le serveur ont des limites d'utilisation quotidiennes, avec un accès étendu disponible moyennant des frais à l'avenir. Un assistant de cuisine développe apparemment un appétit d'abonnement.

4:02 Apple déclare que HomeView ne sera pas vendu dans l'Union européenne tant que les nouvelles capacités de Siri ne seront pas disponibles là-bas. Pour les foyers européens, la mise à niveau de la maison intelligente est de regarder un communiqué de presse américain. Aucun rendez-vous d'installation requis. Chaque promesse a besoin d'une limite qui tient. L'entretien de la réfrigération nécessite un accès restreint. Rust doit rejeter les références qui dépassent la durée de vie de leurs données. HomeView doit garder le contenu personnel lié à la bonne personne. Les fonctionnalités ordinaires peuvent avoir des conséquences coûteuses.

4:24 Voici le détail de la réinitialisation.

Pourquoi une réinitialisation d'usine peut-elle laisser un danger derrière elle?

4:27 L'alerte de la France avertit que la réinitialisation d'un équipement exposé sans mises à jour de sécurité est insuffisante. Elle peut supprimer les modifications de l'attaquant tout en laissant l'appareil vulnérable. La récupération nécessite un accès protégé ainsi que des paramètres propres. La porte doit être réparée après le départ de l'intrus. Si vous préférez lire ceci plutôt que de m'entendre le dire, le diff atterrit dans votre boîte de réception chaque matin, gratuitement sur the daily diff dot dev, lien ci-dessous. Le verdict d'aujourd'hui est DONC NÉCESSITE UN EXAMEN.

Pourquoi le verdict est-il NÉCESSITE UN EXAMEN?

4:47 J'insisterais sur un accès de gestion protégé avant de considérer ces systèmes de réfrigération comme récupérés. Des paramètres propres seuls laissent le prochain incident en attente à la porte. Abonnez-vous, appuyez sur la cloche, et dites-moi dans les commentaires si vous l'auriez estampillé différemment. Et c'est le diff pour aujourd'hui. Je suis Niko d'Axrisi. Fusionnez de manière responsable. L'entretien de la réfrigération nécessite un accès restreint.

Sources

1. Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigérationCERT-FR / ANSSI
2. Hackers raise fridge temperatures at hundreds of French supermarkets to spoil foodReuters / ABC News
3. Coopérative U refrigeration-incident confirmationDominique Schelcher
4. The secret behind Danfoss adaptive defrostDanfoss
5. struct's lifetime requirements can be bypassed via covariant field assignment · #164250rust-lang/rust
6. Meet Apple HomeView, a new way to enjoy entertainment, stay connected, and manage the homeApple