Des pirates ont forcé des réfrigérateurs de supermarchés français à se dégivrer

Ce que couvre cette vidéo

• La perturbation de la réfrigération des supermarchés français est confirmée; une attaque coordonnée dans tous les pays signalés n'est pas prouvée.
• La mise à jour du CERT-FR du 13 octobre nomme les familles de contrôleurs de réfrigération Danfoss, Copeland et Dixell.
• La réinitialisation d'usine d'équipements exposés sans mises à jour de sécurité peut supprimer les modifications de l'attaquant tout en laissant l'appareil vulnérable.
• Le problème Rust #164250 démontre des défaillances spécifiques de la vérification de la durée de vie; son fil de discussion n'établit pas une rupture universelle des applications ou une exploitation active en production.
• Apple a annoncé la disponibilité de HomeView à partir du 13 novembre sur les marchés listés, avec un prix de départ de 299 $ US et des conditions spécifiques pour le contenu personnel.

Transcription traduite

Traduit de la narration originale en anglais. L'audio et les sous-titres disponibles sont gérés par YouTube.

Comment les réfrigérateurs de supermarché ont-ils gâté la nourriture ?

0:00 Des pirates ont forcé des réfrigérateurs de supermarchés en France à se dégivrer. Les magasins ont jeté de la nourriture. Dans cette vidéo, comment la maintenance a-t-elle gâté la nourriture ? Qu'est-ce qui a cassé dans Rust ? Et pourquoi la réinitialisation d'un réfrigérateur pourrait-elle laisser le danger en place ? Je reviendrai sur cet avertissement de réinitialisation avant le verdict. Nous sommes le mardi 13 octobre, et voici The Daily Diff. Les systèmes de réfrigération des supermarchés sont les équipements qui maintiennent les aliments frais et congelés

0:21 au froid. Un contrôleur indique à l'équipement quand refroidir et quand faire fondre la glace de ses parties de refroidissement. Les détaillants en France disent que des attaquants ont modifié ces contrôles, obligeant le personnel à jeter les aliments affectés. Le chef de la Coopérative U, Dominique Schelcher, a confirmé l'attaque lundi. Des spécialistes de la réfrigération ont rejoint les équipes des magasins pour rétablir le service. Aujourd'hui, Apple a dévoilé HomeView, et les développeurs de Rust ont enquêté sur un bogue de sécurité mémoire.

0:42 Le dégivrage est une maintenance de routine.

Pourquoi un réfrigérateur a-t-il besoin de dégivrage ?

0:45 La glace s'accumule sur les parties de refroidissement et gêne. Un cycle normal fait fondre cette glace, puis le refroidissement reprend. Maintenir le dégivrage en marche met la nourriture en danger. Reuters rapporte que le propriétaire d'Intermarché a déclaré que les réfrigérateurs affectés ont chauffé pendant six heures. Les entreprises de maintenance ajustent la réfrigération via des panneaux de contrôle connectés à Internet. Quelqu'un qui prend le contrôle d'un panneau peut modifier les paramètres de l'équipement. Une fonctionnalité légitime cause des dommages pour un utilisateur illégitime. Un témoin à Paris a décrit le personnel jetant des chariots d'aliments décongelés,

1:11 avec de la crème glacée fondue se répandant dans la rue. La réponse à l'incident comprend le nettoyage du trottoir. Votre tableau de bord de surveillance a rarement une colonne pour cela. Le nombre de magasins diffère selon les rapports.

Qu'est-ce qui a été réellement confirmé ?

1:19 Le détaillant néerlandais Ahold Delhaize a également subi des perturbations. Ahold a déclaré n'avoir aucune raison de lier son incident à la France. L'attaque contre la réfrigération française est établie. Une seule attaque coordonnée dans tous les pays signalés reste non prouvée. L'équipe officielle de réponse à la cybersécurité de la France a publié une alerte. La mise à jour d'aujourd'hui nomme les contrôleurs Danfoss, Copeland et Dixell. Elle indique que les interfaces de gestion ne devraient pas être exposées sur l'internet public. Elle laisse l'identité des attaquants et la route d'entrée exacte inexpliquées.

1:45 L'accès à distance permet aux équipes de maintenance d'ajuster l'équipement sans se rendre à chaque magasin. Le défi est de maintenir cette commodité derrière un accès contrôlé. Les concepteurs ont deux clients à protéger, le technicien qui l'utilise et le magasin qui en dépend. Le conseil est de supprimer l'exposition publique, de vérifier la configuration, et de restaurer l'accès via un réseau protégé. Les exploitants de magasins doivent se coordonner avec leur fournisseur de réfrigération. Couper la connexion peut interrompre la surveillance requise par un contrat d'assurance.

2:08 Pendant ce temps, Rust a un problème de sécurité.

Qu'est-ce que les vérifications de durée de vie de Rust ont manqué ?

2:11 Rust est un langage de programmation dont le compilateur vérifie l'utilisation de la mémoire avant que le code ne s'exécute. Son vérificateur d'emprunt suit les références, qui sont des poignées vers les données. Ces poignées devraient devenir inutilisables lorsque les données ont disparu. Le développeur jsnell a signalé du code que le compilateur accepte. L'exemple conserve une référence à un texte après la fin de la durée de vie de ce texte. Le rapporteur indique qu'un outil de vérification de la mémoire détecte l'accès invalide. Un conteneur promet que sa référence peut durer pendant tout le programme. L'affectation d'une référence à durée de vie plus courte dans son champ contourne les vérifications signalées.

2:38 Le nettoyage traite cette référence comme ayant une longue durée de vie. La promesse survit après la disparition des données. Le rapport se reproduit sur les versions stables récentes. Les contributeurs montrent des exemples connexes remontant à Rust un point quatre. Le problème est marqué comme haute priorité. Lors de notre vérification des sources, il reste ouvert, sans correctif lié. Le fil de discussion s'est rempli d'exemples plus simples. Il donne également aux mainteneurs plus de moyens de tester une réparation.

2:58 Un rapport de bogue devient plus utile lorsque les gens apportent des reproductions au lieu de déclarer chaque application morte. Suivez la correction éventuelle du compilateur. Ces exemples établissent des résultats dangereux spécifiques à partir de code accepté. Le fil de discussion ne fournit aucune preuve que chaque application Rust utilise ce chemin ou que des attaquants l'exploitent en production.

Que fait réellement HomeView d'Apple ?

3:15 HomeView d'Apple est un écran intelligent de sept pouces pour les appels, le divertissement et les accessoires domestiques compatibles. Les précommandes commencent aujourd'hui, avec une disponibilité le 13 novembre. Le prix de départ américain est de deux cent quatre-vingt-dix-neuf dollars. Siri devient un autre résident qui a besoin d'un endroit pour se recharger. Apple dit que HomeView reconnaît jusqu'à six personnes. L'écran de cuisine partagé doit décider quel calendrier il doit révéler. C'est un problème de confidentialité lorsqu'un invité est devant la caméra.

Quand le contenu personnel apparaît-il ?

3:38 HomeView doit reconnaître le visage de la personne enregistrée. Leur téléphone ou tablette jumelé doit être présent et récemment déverrouillé. Les appareils partagent normalement le même réseau sans fil. Ces conditions contrôlent quand le contenu personnel apparaît sur l'écran partagé. Les nouvelles fonctionnalités de Siri commencent en anglais, en version bêta. Apple indique que certaines fonctionnalités basées sur le serveur ont des limites d'utilisation quotidiennes, avec un accès étendu disponible moyennant des frais à l'avenir. Un assistant de cuisine développe apparemment un appétit d'abonnement.

4:02 Apple déclare que HomeView ne sera pas vendu dans l'Union européenne tant que les nouvelles capacités de Siri n'y seront pas disponibles. Pour les foyers européens, la mise à niveau de la maison intelligente est de regarder un communiqué de presse américain. Aucun rendez-vous d'installation n'est requis. Chaque promesse a besoin d'une limite qui tienne. La maintenance de la réfrigération nécessite un accès restreint. Rust doit rejeter les références qui survivent à leurs données. HomeView doit maintenir le contenu personnel lié à la bonne personne.

4:24 Les fonctionnalités ordinaires peuvent avoir des conséquences coûteuses.

Pourquoi une réinitialisation d'usine peut-elle laisser un danger derrière elle ?

4:27 Voici le détail de la réinitialisation. L'alerte française avertit que la réinitialisation d'équipements exposés sans mises à jour de sécurité est insuffisante. Elle peut supprimer les modifications de l'attaquant tout en laissant l'appareil vulnérable. La récupération nécessite un accès protégé ainsi que des paramètres propres. La porte doit être réparée après le départ de l'intrus. Si vous préférez lire ceci plutôt que de m'entendre le dire, le diff arrive dans votre boîte de réception chaque matin, gratuitement sur the daily diff dot dev, lien ci-dessous.

Pourquoi le verdict est-il NEEDS REVIEW ?

4:47 Donc le verdict d'aujourd'hui est NEEDS REVIEW. J'insisterais sur un accès de gestion protégé avant de considérer ces systèmes de réfrigération comme récupérés. Des paramètres propres seuls laissent le prochain incident en attente à la porte. Abonnez-vous, appuyez sur la cloche, et dites-moi dans les commentaires si vous l'auriez estampillé différemment. Et c'est le diff pour aujourd'hui. Je suis Niko d'Axrisi. Fusionnez de manière responsable.

Sources

1. Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigérationCERT-FR / ANSSI
2. Hackers raise fridge temperatures at hundreds of French supermarkets to spoil foodReuters / ABC News
3. Coopérative U refrigeration-incident confirmationDominique Schelcher
4. The secret behind Danfoss adaptive defrostDanfoss
5. struct's lifetime requirements can be bypassed via covariant field assignment · #164250rust-lang/rust
6. Meet Apple HomeView, a new way to enjoy entertainment, stay connected, and manage the homeApple