ハッカーがフランスのスーパーマーケットの冷蔵庫を強制的に霜取り状態に

この動画の要点

• フランスのスーパーマーケットの冷蔵庫の機能不全が確認されました。報告されたすべての国で協調攻撃が行われたという証拠はありません。
• CERT-FRの10月13日の更新情報では、Danfoss、Copeland、Dixellの冷蔵コントローラファミリーが挙げられています。
• セキュリティアップデートなしで公開された機器を工場出荷時設定にリセットすると、攻撃者の変更は削除されますが、デバイスは脆弱なままになる可能性があります。
• Rustのissue #164250は、特定のライフタイムチェックの失敗を示していますが、そのスレッドは普遍的なアプリケーションの破損や本番環境での活発な悪用を証明していません。
• Appleは、HomeViewを11月13日に指定された市場で発売することを発表しました。米国での開始価格は299ドルで、個人コンテンツには特定の条件が適用されます。

翻訳されたトランスクリプト

オリジナルの英語ナレーションから翻訳されています。利用可能なオーディオとキャプションはYouTubeによって管理されています。

スーパーマーケットの冷蔵庫はどのように食品をだめにしたのか？

0:00 ハッカーがフランスのスーパーマーケットの冷蔵庫を強制的に霜取り状態にしました。 店舗は食品を廃棄しました。 このビデオでは、メンテナンスがどのように食品を台無しにしたのでしょうか？ Rustで何が壊れたのでしょうか？ そして、冷蔵庫をリセットしてもなぜ危険が残る可能性があるのでしょうか？ そのリセット警告については、判決の前に改めてお話しします。 10月13日火曜日、The Daily Diffの時間です。 スーパーマーケットの冷蔵システムは、生鮮食品と冷凍食品を冷たく保つための機器です。

0:21 コントローラは機器に、 いつ冷却し、いつ冷却部分の氷を溶かすかを指示します。 フランスの小売業者は、攻撃者がこれらの制御を変更し、 従業員が影響を受けた食品を廃棄せざるを得なかったと述べています。 Coopérative Uのドミニク・シェルシェ会長は、月曜日に攻撃を確認しました。 冷凍専門家が店舗チームと協力してサービスを復旧させました。 今日、AppleはHomeViewを発表し、Rust開発者はメモリ安全性のバグを調査しました。 霜取りは定期的なメンテナンスです。

0:42 冷却部分に氷がたまり、邪魔になります。

なぜ冷蔵庫に霜取りが必要なのか？

0:45 通常のサイクルでその氷を溶かし、冷却が再開されます。 霜取りを継続的に実行すると、食品が危険にさらされます。 ロイター通信は、Intermarchéのオーナーが、影響を受けた冷蔵庫が6時間加熱されたと報じています。 メンテナンス会社は、インターネット接続された制御パネルを通じて冷蔵を調整します。 パネルを乗っ取った人物は、機器の設定を変更できます。 正当な機能が、不正なユーザーにとっては損害を引き起こします。 パリの目撃者は、従業員が解凍された食品のカートを廃棄し、 溶けたアイスクリームが路上にこぼれている様子を説明しました。

1:11 この事件への対応には、舗装の清掃も含まれます。 監視ダッシュボードに、通常、そのための列はありません。 報告によって店舗数は異なります。 オランダの小売業者Ahold Delhaizeも混乱に見舞われました。

実際に何が確認されたのか？

1:19 Aholdは、今回の事件をフランスと関連付ける理由はないと述べています。 フランスの冷蔵攻撃は確認されています。 報告されたすべての国で単一の協調攻撃が行われたという証拠はまだありません。 フランスの公式サイバーセキュリティ対応チームは警告を発表しました。 今日の更新情報では、Danfoss、Copeland、Dixellのコントローラが挙げられています。 管理インターフェースは公共のインターネットから切り離しておくべきだと述べられています。 攻撃者の身元と正確な侵入経路は不明のままです。 リモートアクセスにより、メンテナンス作業員はすべての店舗に出向くことなく機器を調整できます。

1:45 課題は、その利便性を制御されたアクセス下に保つことです。 設計者は、使用する技術者とそれに依存する店舗という2つの顧客を保護する必要があります。 助言は、公開されたアクセスを削除し、設定を確認し、 保護されたネットワークを通じてアクセスを復元することです。 店舗運営者は、冷蔵供給業者と連携する必要があります。 接続を切断すると、保険契約で義務付けられている監視が中断される可能性があります。 一方、Rustには安全性の問題があります。 Rustは、コードが実行される前にコンパイラがメモリ使用量をチェックするプログラミング言語です。

2:08 その借用チェッカーは、データへのハンドルである参照を追跡します。

Rustのライフタイムチェックは何を見落としたのか？

2:11 データがなくなると、これらのハンドルは使用できなくなるはずです。 開発者のjsnellは、コンパイラが受け入れるコードを報告しました。 この例では、テキストのライフタイムが終了した後も、そのテキストへの参照を保持しています。 報告者によると、メモリチェックツールが無効なアクセスを捕捉したとのことです。 コンテナは、その参照がプログラム全体にわたって存続することを約束します。 より短命な参照をそのフィールドに割り当てると、報告されたチェックをすり抜けてしまいます。 クリーンアップは、その参照を長命として扱います。 データが消滅した後も、その約束は存続します。

2:38 この報告は、最近の安定版バージョンで再現されます。 コントリビューターは、Rust 1.4まで遡る関連する例を示しています。 この問題は高優先度としてマークされています。 当社のソースチェックでは、リンクされた修正がなく、オープンなままです。 スレッドはより単純な例で埋め尽くされています。 これはまた、メンテナーに修正をテストするより多くの方法を提供します。 バグ報告は、すべてのアプリケーションが死んだと宣言する代わりに、再現例を人々が持ち込むときにより有用になります。 最終的なコンパイラ修正を追跡してください。

2:58 これらの例は、受け入れられたコードから生じる特定の安全でない結果を確立します。 このスレッドは、すべてのRustアプリケーションがこのパスに到達する、または攻撃者が本番環境でこれを悪用しているという証拠を提供していません。 AppleのHomeViewは、通話、エンターテイメント、互換性のあるホームアクセサリー用の7インチスマートディスプレイです。 予約注文は本日開始され、11月13日に利用可能になります。 米国での開始価格は299ドルです。 Siriは、充電場所を必要とするもう一人の住民になります。

AppleのHomeViewは具体的に何をするのか？

3:15 Appleによると、HomeViewは最大6人を認識します。 共有キッチン画面は、誰のカレンダーを表示すべきかを決定する必要があります。 ディナーゲストがカメラの前に立つ場合、これはプライバシーの問題です。 HomeViewは、登録された人物の顔を認識する必要があります。 ペアリングされた電話またはタブレットが近くにあり、最近ロック解除されている必要があります。 デバイスは通常、同じワイヤレスネットワークを共有しています。 これらの条件は、共有画面に個人コンテンツが表示されるタイミングを制御します。 Siriの新機能は、ベータ版で英語から開始されます。

個人コンテンツはいつ表示されるのか？

3:38 Appleは、一部のサーバーベースの機能には1日の使用制限があり、将来的に有料でアクセスが拡張されると述べています。 キッチンのアシスタントは、どうやらサブスクリプションの食欲を覚えるようです。 Appleによると、Siriの新機能が欧州連合で利用できない間は、HomeViewは欧州連合で販売されないとのことです。 ヨーロッパの家庭にとって、スマートホームのアップグレードとは、アメリカのプレスリリースを見ていることになります。 設置予約は不要です。 それぞれの約束には、有効な境界が必要です。 冷蔵メンテナンスには制限されたアクセスが必要です。 Rustは、データよりも長く存続する参照を拒否する必要があります。

4:02 HomeViewは、個人コンテンツを適切な人物に紐付けておく必要があります。 通常の機能でも、高価な結果を招く可能性があります。 こちらがリセットの詳細です。 フランスの警告では、セキュリティアップデートなしで露出した機器をリセットするだけでは不十分だと警告しています。攻撃者の変更を削除できる一方で、デバイスが脆弱なままになる可能性があります。 復旧には、クリーンな設定だけでなく、保護されたアクセスも必要です。 侵入者が去った後、ドアを修理する必要があります。 これを私が言うのを聞くよりも読みたい場合は、diffが毎朝あなたの受信箱に届きます。dailydiff.devで無料で、リンクは下にあります。 というわけで、今日の評決はNEEDS REVIEWです。

4:24 これらの冷蔵システムが復旧したと判断する前に、保護された管理アクセスを強く求めます。

なぜ工場出荷時設定にリセットしても危険が残るのか？

4:27 クリーンな設定だけでは、次の事件がドアで待っていることになります。 購読してベルを鳴らし、もしあなたが異なる判断を下したならコメントで教えてください。 そして、今日のdiffはこれで終わりです。 Axrisiのニコーでした。 責任を持ってマージしてください。 Hackers forced supermarket fridges in France into defrost. Stores threw food away.

NEEDS REVIEWという評価の理由は何ですか？

4:47 In this video, how did maintenance spoil food? What broke in Rust? And why could resetting a fridge leave the danger in place? I'll return to that reset warning before the verdict. It's Tuesday, October thirteenth, and this is The Daily Diff. Supermarket refrigeration systems are the equipment that keeps fresh and frozen food cold. A controller tells the equipment

情報源

1. Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigérationCERT-FR / ANSSI
2. Hackers raise fridge temperatures at hundreds of French supermarkets to spoil foodReuters / ABC News
3. Coopérative U refrigeration-incident confirmationDominique Schelcher
4. The secret behind Danfoss adaptive defrostDanfoss
5. struct's lifetime requirements can be bypassed via covariant field assignment · #164250rust-lang/rust
6. Meet Apple HomeView, a new way to enjoy entertainment, stay connected, and manage the homeApple