Хакерлер француз супермаркет тоңазытқыштарын ерітуге мәжбүрледі

Бұл бейне не туралы

• Француз супермаркеттеріндегі тоңазытқыш іріткіші расталды; әрбір хабарланған елдегі үйлестірілген шабуыл дәлелденбеген.
• CERT-FR-дің 13 қазандағы жаңартуында Danfoss, Copeland және Dixell тоңазытқыш-контроллер отбасылары аталады.
• Қауіпсіздік жаңартуларынсыз ашық жабдықты зауыттық қалпына келтіру шабуылдаушының өзгерістерін жоя алады, бірақ құрылғыны осал қалдырады.
• Rust #164250 мәселесі нақты өмірлік циклдік тексеру қателерін көрсетеді; оның тақырыбы әмбебап қолданбалардың бұзылуын немесе белсенді өндірістік пайдаланылуын анықтамайды.
• Apple HomeView-ді 13 қарашада тізімделген нарықтарда қолжетімді болатынын хабарлады, бастапқы бағасы 299 АҚШ доллары және жеке мазмұнға қатысты нақты шарттар бар.

Аударылған транскрипция

Бастапқы ағылшын тіліндегі баяндамадан аударылған. Қолжетімді аудио және субтитрлерді YouTube басқарады.

Супермаркет тоңазытқыштары тағамды қалай бұзды?

0:00 Хакерлер Франциядағы супермаркет тоңазытқыштарын ерітуге мәжбүрледі. Дүкендер тағамды лақтырып тастады. Бұл бейнеде техникалық қызмет көрсету тағамды қалай бұзды? Rust-та не бұзылды? Және тоңазытқышты қалпына келтіру неліктен қауіпті қалдыруы мүмкін? Мен үкім шығарар алдында сол қалпына келтіру ескертуіне ораламын. Бұл сейсенбі, он үшінші қазан, және бұл The Daily Diff. Супермаркеттердің тоңазытқыш жүйелері жаңа және мұздатылған тағамды салқын ұстайтын жабдық.

0:21 Контроллер жабдыққа қашан салқындату керектігін және қашан мұзды еріту керектігін айтады оны салқындататын бөліктерден. Франциядағы бөлшек саудагерлер шабуылдаушылар осы басқару элементтерін өзгертті деп айтады, қызметкерлерді зардап шеккен тағамды тастауға мәжбүр етті. Coopérative U басшысы Доминик Шельчер дүйсенбіде шабуылды растады. Тоңазытқыш мамандары қызмет көрсетуді қалпына келтіру үшін дүкен командаларына қосылды. Бүгін Apple HomeView-ді таныстырды, ал Rust әзірлеушілері жад қауіпсіздігі қатесін зерттеді.

0:42 Еріту – бұл әдеттегі техникалық қызмет көрсету.

Тоңазытқышқа неліктен еріту қажет?

0:45 Мұз салқындату бөліктерінде жиналып, кедергі жасайды. Қалыпты цикл бұл мұзды ерітеді, содан кейін салқындату қайта басталады. Ерітуді жалғастыру тағамға қауіп төндіреді. Reuters Intermarché иесінің зардап шеккен тоңазытқыштар алты сағат бойы қыздырылды деп айтқанын хабарлайды. Техникалық қызмет көрсету компаниялары интернетке қосылған басқару панельдері арқылы тоңазытқышты реттейді. Панельді басып алған адам жабдық параметрлерін өзгерте алады. Бір заңды функция заңсыз пайдаланушы үшін зиян келтіреді. Париждегі куәгер қызметкерлердің ерітілген тағам арбаларын тастағанын сипаттады,

1:11 ерітілген балмұздақ көшеге төгілді. Оқиғаға әрекет етуге тротуарды тазалау кіреді. Сіздің мониторинг тақтаңызда сирек мұндай баған болады. Дүкендер саны есептер бойынша әртүрлі.

Не расталды?

1:19 Голландиялық Ahold Delhaize бөлшек саудагері де іріткішке ұшырады. Ahold өзінің оқиғасын Франциямен байланыстыруға ешқандай негізі жоқ екенін айтты. Франциядағы тоңазытқыш шабуылы расталды. Әрбір хабарланған елдегі біртұтас үйлестірілген шабуыл әлі дәлелденбеген. Францияның ресми киберқауіпсіздік әрекет ету тобы ескерту жариялады. Бүгінгі жаңартуда Danfoss, Copeland және Dixell контроллерлері аталады. Онда басқару интерфейстері жалпыға қолжетімді интернетте болмауы керек делінген. Ол шабуылдаушылардың кім екенін және нақты кіру жолын түсіндірілмеген күйде қалдырады.

1:45 Қашықтан қол жеткізу техникалық қызмет көрсету бригадаларына әрбір дүкенге бармай-ақ жабдықты реттеуге мүмкіндік береді. Мәселе – бұл ыңғайлылықты басқарылатын қол жеткізудің артында сақтау. Дизайнерлердің қорғауы қажет екі тұтынушысы бар: оны пайдаланатын техник және оған сүйенетін дүкен. Оған сүйенетін дүкен. Кеңес – жалпыға қолжетімділікті жою, конфигурацияны тексеру, және қорғалған желі арқылы қол жеткізуді қалпына келтіру. Дүкен операторлары тоңазытқыш қызметін жеткізушімен үйлестіруі керек. Қосылымды үзу сақтандыру келісімшарты бойынша талап етілетін мониторингті бұзуы мүмкін.

2:08 Келісімшарт. Сонымен қатар, Rust-та қауіпсіздік мәселесі бар.

Rust-тың өмірлік циклдік тексерулері нені жіберіп алды?

2:11 Rust – бұл компиляторы код жұмыс істемес бұрын жад пайдалануын тексеретін бағдарламалау тілі. Оның қарызды тексергіші деректерге арналған сілтемелерді қадағалайды. Бұл сілтемелер деректер жойылған кезде жарамсыз болуы керек. Әзірлеуші jsnell компилятор қабылдайтын кодты хабарлады. Мысал сол мәтіннің өмірлік циклі аяқталғаннан кейін оған сілтемені сақтайды. Хабаршы жадты тексеру құралы жарамсыз қол жеткізуді анықтайтынын айтады. Контейнер оның сілтемесі бүкіл бағдарлама үшін сақталуы мүмкін деп уәде береді. Оның өрісіне қысқа өмір сүретін сілтемені тағайындау хабарланған тексерулерден өтеді.

2:38 Тазалау бұл сілтемені ұзақ өмір сүретіндей қарайды. Уәде деректер жойылғаннан кейін де сақталады. Есеп соңғы тұрақты нұсқаларда қайталанады. Үлес қосушылар Rust бір нүкте төртке дейінгі байланысты мысалдарды көрсетеді. Мәселе жоғары басымдылықпен белгіленген. Біздің бастапқы тексеруімізде ол әлі ашық, байланысты түзету жоқ. Тақырып қарапайым мысалдармен толтырылды. Ол сондай-ақ қолдаушыларға жөндеуді тексерудің көбірек жолдарын береді.

2:58 Қате туралы есеп адамдар әрбір қолданбаны өлді деп жариялаудың орнына қайталауларды әкелген кезде пайдалы болады. Әрбір қолданбаны өлді деп жариялаудың орнына. Компилятордың түпкілікті түзетуін қадағалаңыз. Бұл мысалдар қабылданған кодтан нақты қауіпті нәтижелерді белгілейді. Тақырып әрбір Rust қолданбасы осы жолға түсетінін немесе шабуылдаушылар оны өндірісте пайдаланатынын дәлелдейтін ешқандай дәлелдер жоқ.

Apple-дің HomeView нақты не істейді?

3:15 Apple-дің HomeView – бұл қоңыраулар, ойын-сауық және үй аксессуарларына арналған жеті дюймдік смарт дисплей. Ойын-сауық және үй аксессуарларына арналған жеті дюймдік смарт дисплей. Алдын ала тапсырыстар бүгіннен басталады, 13 қарашада қолжетімді болады. Америкадағы бастапқы бағасы екі жүз тоқсан тоғыз доллар. Siri зарядтау қажет тағы бір тұрғынға айналады. Apple HomeView алты адамға дейін таниды дейді. Ортақ ас үй экраны кімнің күнтізбесін көрсету керектігін шешуі керек. Бұл құпиялылық мәселесі, егер кешкі асқа келген қонақ камера алдында тұрса.

Жеке мазмұн қашан пайда болады?

3:38 HomeView тіркелген адамның бетін тануы керек. Олардың жұптастырылған телефоны немесе планшеті болуы және жақында құлпы ашылған болуы керек. Құрылғылар әдетте бірдей сымсыз желіні бөліседі. Бұл шарттар жеке мазмұнның ортақ экранда қашан пайда болатынын басқарады. Siri-дің жаңа мүмкіндіктері ағылшын тілінде, бета нұсқасында басталады. Apple кейбір серверлік мүмкіндіктердің күнделікті пайдалану шектеулері бар дейді, болашақта ақылы кеңейтілген қол жеткізу мүмкін болады. Ас үй көмекшісі, шамасы, жазылым тәбетін дамытады.

4:02 Apple HomeView Еуропалық Одақта сатылмайды, өйткені Siri-дің жаңа мүмкіндіктері онда қолжетімді емес. Еуропалық үй шаруашылықтары үшін смарт-үйді жаңарту – Америкалық баспасөз хабарламасын көру. Орнатуға арналған кездесу қажет емес. Әрбір уәдеге тұрақты шекара қажет. Тоңазытқышқа техникалық қызмет көрсетуге шектеулі қол жеткізу қажет. Rust өз деректерінен артық өмір сүретін сілтемелерді қабылдамауы керек. HomeView жеке мазмұнды дұрыс адамға байланыстыруы керек.

4:24 Қарапайым мүмкіндіктердің қымбат салдары болуы мүмкін.

Неліктен зауыттық қалпына келтіру қауіпті қалдыруы мүмкін?

4:27 Міне, қалпына келтіру туралы мәлімет. Францияның ескертуі қауіпсіздік жаңартуларынсыз ашық жабдықты қалпына келтіру жеткіліксіз екенін ескертеді. Ол шабуылдаушының өзгерістерін жоя алады, бірақ құрылғыны осал қалдырады. Қалпына келтіру үшін таза параметрлермен қатар қорғалған қол жеткізу де қажет. Кіруші кеткеннен кейін есікті жөндеу керек. Егер сіз мұны естуден гөрі оқығыңыз келсе, diff сіздің кіріс жәшігіңізге күн сайын таңертең тегін келеді, daily diff dot dev сайтында, төмендегі сілтеме.

Неліктен үкім NEEDS REVIEW?

4:47 Сондықтан бүгінгі үкім NEEDS REVIEW. Мен бұл тоңазытқыш жүйелерін қалпына келтірілді деп айтпас бұрын қорғалған басқаруға қол жеткізуді талап етер едім. Таза параметрлер ғана келесі оқиғаны есік алдында күтіп тұрады. Жазылыңыз, қоңырауды басыңыз және егер сіз оны басқаша белгілесеңіз, түсініктемелерде маған айтыңыз. Және бүгінгі айырмашылық осы. Мен Axrisi-ден Никомын. Жауапкершілікпен біріктіріңіз.

Дереккөздер

1. Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigérationCERT-FR / ANSSI
2. Hackers raise fridge temperatures at hundreds of French supermarkets to spoil foodReuters / ABC News
3. Coopérative U refrigeration-incident confirmationDominique Schelcher
4. The secret behind Danfoss adaptive defrostDanfoss
5. struct's lifetime requirements can be bypassed via covariant field assignment · #164250rust-lang/rust
6. Meet Apple HomeView, a new way to enjoy entertainment, stay connected, and manage the homeApple