Gli hacker hanno forzato i frigoriferi dei supermercati francesi a sbrinarsi

Contenuto di questo video

• La perturbazione della refrigerazione dei supermercati francesi è confermata; un attacco coordinato in ogni paese segnalato non è provato.
• L'aggiornamento del 13 ottobre del CERT-FR nomina le famiglie di controller di refrigerazione Danfoss, Copeland e Dixell.
• Il ripristino alle impostazioni di fabbrica di apparecchiature esposte senza aggiornamenti di sicurezza può rimuovere le modifiche dell'aggressore lasciando il dispositivo vulnerabile.
• Il problema Rust #164250 dimostra specifici fallimenti nel controllo della durata; il suo thread non stabilisce una rottura universale delle applicazioni o un'attiva sfruttamento in produzione.
• Apple ha annunciato la disponibilità di HomeView per il 13 novembre nei mercati elencati, con un prezzo di partenza di 299 dollari USA e specifiche condizioni per i contenuti personali.

Trascrizione tradotta

Tradotto dalla narrazione originale inglese. L'audio e i sottotitoli disponibili sono controllati da YouTube.

Come i frigoriferi dei supermercati hanno rovinato il cibo?

0:00 Gli hacker hanno forzato i frigoriferi dei supermercati in Francia a sbrinarsi. I negozi hanno buttato via il cibo. In questo video, come la manutenzione ha rovinato il cibo? Cosa si è rotto in Rust? E perché il ripristino di un frigorifero potrebbe lasciare il pericolo in atto? Tornerò su quell'avviso di ripristino prima del verdetto. È martedì 13 ottobre e questo è The Daily Diff. I sistemi di refrigerazione dei supermercati sono le attrezzature che mantengono freschi e congelati

0:21 gli alimenti freddi. Un controller dice all'attrezzatura quando raffreddare e quando sciogliere il ghiaccio dalle sue parti di raffreddamento. I rivenditori in Francia affermano che gli aggressori hanno modificato questi controlli, lasciando il personale a scartare il cibo interessato. Il capo della Coopérative U, Dominique Schelcher, ha confermato l'attacco lunedì. Specialisti della refrigerazione si sono uniti ai team dei negozi per ripristinare il servizio. Oggi, Apple ha svelato HomeView, e gli sviluppatori Rust hanno indagato su un bug di sicurezza della memoria.

0:42 Lo sbrinamento è una manutenzione di routine.

Perché un frigorifero ha bisogno di sbrinare?

0:45 Il ghiaccio si accumula sulle parti di raffreddamento e ostacola. Un ciclo normale scioglie quel ghiaccio, quindi riprende il raffreddamento. Mantenere lo sbrinamento in funzione mette a rischio il cibo. Reuters riferisce che il proprietario di Intermarché ha detto che i frigoriferi interessati si sono riscaldati per sei ore. Le aziende di manutenzione regolano la refrigerazione tramite pannelli di controllo collegati a internet. Qualcuno che prende il controllo di un pannello può modificare le impostazioni dell'attrezzatura. Una caratteristica legittima provoca danni per un utente illegittimo. Un testimone a Parigi ha descritto il personale che scartava carrelli di cibo scongelato,

1:11 con il gelato sciolto che si rovesciava per strada. La risposta all'incidente include la pulizia del marciapiede. La tua dashboard di monitoraggio raramente ha una colonna per questo. Il numero di negozi varia tra i rapporti.

Cosa è stato effettivamente confermato?

1:19 Anche il rivenditore olandese Ahold Delhaize ha subito interruzioni. Ahold ha detto di non avere motivi per collegare il suo incidente a quello francese. L'attacco alla refrigerazione francese è accertato. Un singolo attacco coordinato in ogni paese segnalato rimane non provato. Il team di risposta alla cybersecurity ufficiale della Francia ha pubblicato un'allerta. L'aggiornamento di oggi nomina i controller Danfoss, Copeland e Dixell. Dice che le interfacce di gestione dovrebbero rimanere al di fuori di internet pubblico. Lascia l'identità degli aggressori e l'esatta via d'accesso inspiegate.

1:45 L'accesso remoto consente ai team di manutenzione di regolare le attrezzature senza recarsi in ogni negozio. La sfida è mantenere quella comodità dietro un accesso controllato. I progettisti hanno due clienti da proteggere, il tecnico che lo usa e il negozio che vi si affida. Il consiglio è di rimuovere l'esposizione pubblica, controllare la configurazione, e ripristinare l'accesso tramite una rete protetta. Gli operatori dei negozi dovrebbero coordinarsi con il loro fornitore di refrigerazione. Interrompere la connessione può interrompere il monitoraggio richiesto da un contratto di assicurazione.

2:08 Nel frattempo, Rust ha un problema di sicurezza.

Cosa hanno mancato i controlli di durata di Rust?

2:11 Rust è un linguaggio di programmazione il cui compilatore controlla l'uso della memoria prima che il codice venga eseguito. Il suo checker dei prestiti traccia i riferimenti, che sono handle ai dati. Questi handle dovrebbero diventare inutilizzabili quando i dati non ci sono più. Lo sviluppatore jsnell ha segnalato un codice che il compilatore accetta. L'esempio mantiene un riferimento a del testo dopo che la durata di quel testo è terminata. Il reporter afferma che uno strumento di controllo della memoria rileva l'accesso non valido. Un contenitore promette che il suo riferimento può durare per l'intero programma. Assegnare un riferimento di durata più breve nel suo campo supera i controlli segnalati.

2:38 La pulizia tratta quel riferimento come a lunga durata. La promessa sopravvive dopo la scomparsa dei dati. Il rapporto si riproduce su versioni stabili recenti. I contributori mostrano esempi correlati risalenti a Rust 1.4. Il problema è contrassegnato come ad alta priorità. Al nostro controllo della fonte, rimane aperto, senza alcuna correzione collegata. Il thread si è riempito di esempi più semplici. Fornisce inoltre ai manutentori più modi per testare una riparazione.

2:58 Un rapporto di bug diventa più utile quando le persone portano riproduzioni invece di dichiarare ogni applicazione morta. Segui l'eventuale correzione del compilatore. Questi esempi stabiliscono risultati insicuri specifici da codice accettato. Il thread non fornisce alcuna prova che ogni applicazione Rust colpisca questo percorso o che gli aggressori lo stiano sfruttando in produzione.

Cosa fa effettivamente HomeView di Apple?

3:15 HomeView di Apple è un display intelligente da sette pollici per chiamate, intrattenimento e accessori per la casa compatibili. I preordini iniziano oggi, con disponibilità il 13 novembre. Il prezzo di partenza americano è di duecentonovantanove dollari. Siri diventa un altro residente che ha bisogno di un posto dove ricaricarsi. Apple afferma che HomeView riconosce fino a sei persone. Lo schermo condiviso della cucina deve decidere quale calendario rivelare. Questo è un problema di privacy quando un ospite si trova di fronte alla telecamera.

Quando appare il contenuto personale?

3:38 HomeView deve riconoscere il volto della persona registrata. Il loro telefono o tablet abbinato deve essere presente e sbloccato di recente. I dispositivi normalmente condividono la stessa rete wireless. Queste condizioni controllano quando il contenuto personale appare sullo schermo condiviso. Le nuove funzionalità di Siri iniziano in inglese, in beta. Apple afferma che alcune funzionalità basate su server hanno limiti di utilizzo giornalieri, con accesso ampliato disponibile a pagamento in futuro. Un assistente di cucina apparentemente sviluppa un appetito per l'abbonamento.

4:02 Apple afferma che HomeView non sarà venduto nell'Unione Europea finché le nuove capacità di Siri non saranno disponibili lì. Per le famiglie europee, l'aggiornamento della casa intelligente sta guardando un comunicato stampa americano. Nessun appuntamento di installazione richiesto. Ogni promessa ha bisogno di un confine che regga. La manutenzione della refrigerazione necessita di accesso limitato. Rust deve rifiutare riferimenti che superano la durata dei loro dati. HomeView deve mantenere i contenuti personali legati alla persona giusta.

4:24 Le funzionalità ordinarie possono avere conseguenze costose.

Perché un ripristino alle impostazioni di fabbrica può lasciare pericoli?

4:27 Ecco i dettagli del ripristino. L'allerta francese avverte che il ripristino di apparecchiature esposte senza aggiornamenti di sicurezza è insufficiente. Può rimuovere le modifiche dell'aggressore lasciando il dispositivo vulnerabile. Il recupero necessita di accesso protetto oltre a impostazioni pulite. La porta deve essere riparata dopo che l'intruso se ne va. Se preferisci leggere questo piuttosto che sentirmi dire, il diff arriva nella tua casella di posta ogni mattina, gratuitamente su the daily diff dot dev, link qui sotto.

Perché il verdetto è "NEEDS REVIEW"?

4:47 Quindi il verdetto di oggi è NEEDS REVIEW. Insisterei su un accesso di gestione protetto prima di considerare questi sistemi di refrigerazione recuperati. Le sole impostazioni pulite lasciano il prossimo incidente in attesa alla porta. Iscriviti, premi la campanella e dimmi nei commenti se l'avresti etichettato diversamente. E questo è il diff per oggi. Sono Niko di Axrisi. Unire responsabilmente.

Fonti

1. Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigérationCERT-FR / ANSSI
2. Hackers raise fridge temperatures at hundreds of French supermarkets to spoil foodReuters / ABC News
3. Coopérative U refrigeration-incident confirmationDominique Schelcher
4. The secret behind Danfoss adaptive defrostDanfoss
5. struct's lifetime requirements can be bypassed via covariant field assignment · #164250rust-lang/rust
6. Meet Apple HomeView, a new way to enjoy entertainment, stay connected, and manage the homeApple