Hackers dwongen Franse supermarktkoelkasten tot ontdooien

Wat deze video behandelt

• De verstoring van de koeling in Franse supermarkten is bevestigd; een gecoördineerde aanval in elk gerapporteerd land is onbewezen.
• De update van CERT-FR van 13 oktober noemt de Danfoss, Copeland en Dixell koelingscontrollerfamilies.
• Het terugzetten naar de fabrieksinstellingen van blootgestelde apparatuur zonder beveiligingsupdates kan aanvallerswijzigingen verwijderen terwijl het apparaat kwetsbaar blijft.
• Rust-issue #164250 demonstreert specifieke lifetime-controlefouten; de thread ervan stelt geen universele toepassingsbreuk of actieve exploitatie in productie vast.
• Apple kondigde HomeView aan voor beschikbaarheid op 13 november in de genoemde markten, met een startprijs van $299 US en specifieke voorwaarden voor persoonlijke inhoud.

Vertaald transcript

Vertaald vanuit de originele Engelse gesproken tekst. Beschikbare audio en ondertiteling worden beheerd door YouTube.

Hoe bedierven supermarktkoelkasten het voedsel?

0:00 Hackers dwongen supermarktkoelkasten in Frankrijk tot ontdooien. Winkels gooiden voedsel weg. In deze video, hoe bedierf onderhoud voedsel? Wat ging er mis in Rust? En waarom kon het resetten van een koelkast het gevaar laten bestaan? Ik kom terug op die resetwaarschuwing vóór het oordeel. Het is dinsdag 13 oktober, en dit is The Daily Diff. Supermarktkoelsystemen zijn de apparatuur die vers en diepvriesvoedsel

0:21 koud houdt. Een controller vertelt de apparatuur wanneer het moet koelen en wanneer het ijs moet smelten van de koelelementen. Detailhandelaren in Frankrijk zeggen dat aanvallers die controles hebben gewijzigd, waardoor personeel het getroffen voedsel moest weggooien. De directeur van Coopérative U, Dominique Schelcher, bevestigde de aanval op maandag. Koelspecialisten sloten zich aan bij winkelteams om de service te herstellen. Vandaag onthulde Apple HomeView, en Rust-ontwikkelaars onderzochten een geheugenveiligheidsbug.

0:42 Ontdooien is routineonderhoud.

Waarom heeft een koelkast ontdooiing nodig?

0:45 IJs bouwt zich op de koelelementen en zit in de weg. Een normale cyclus smelt dat ijs, waarna het koelen wordt hervat. Het aanhouden van de ontdooiing brengt het voedsel in gevaar. Reuters meldt dat de eigenaar van Intermarché zei dat getroffen koelkasten zes uur lang verwarmden. Onderhoudsbedrijven passen koeling aan via met internet verbonden bedieningspanelen. Iemand die een paneel overneemt, kan de instellingen van de apparatuur wijzigen. Eén legitieme functie veroorzaakt schade voor een illegitieme gebruiker. Een getuige in Parijs beschreef personeel dat karren met ontdooid voedsel weggooide,

1:11 waarbij gesmolten ijs over de straat stroomde. De incidentrespons omvat het schoonmaken van de stoep. Uw monitoringdashboard heeft zelden een kolom daarvoor. Het aantal winkels verschilt per rapport.

Wat is er daadwerkelijk bevestigd?

1:19 De Nederlandse retailer Ahold Delhaize leed ook verstoring. Ahold zei geen reden te hebben om het incident aan Frankrijk te koppelen. De Franse koelaanval is vastgesteld. Een enkele gecoördineerde aanval in elk gerapporteerd land blijft onbewezen. Het officiële Franse cybersecurity-responsteam publiceerde een waarschuwing. De update van vandaag noemt Danfoss-, Copeland- en Dixell-controllers. Het zegt dat managementinterfaces van het openbare internet moeten blijven. De identiteit van de aanvallers en de exacte toegangsroute blijven onverklaard.

1:45 Afstandsbediening stelt onderhoudsploegen in staat apparatuur aan te passen zonder naar elke winkel te rijden. De uitdaging is om dat gemak achter gecontroleerde toegang te houden. Ontwerpers hebben twee klanten te beschermen: de technicus die het gebruikt en de winkel die ervan afhankelijk is. Het advies is om publieke blootstelling te verwijderen, de configuratie te controleren, en de toegang te herstellen via een beschermd netwerk. Winkeluitbaters moeten coördineren met hun koelingsleverancier. Het verbreken van de verbinding kan de monitoring onderbreken die door een verzekeringscontract

2:08 wordt vereist. Ondertussen heeft Rust een veiligheidsprobleem.

Wat misten Rust's lifetime-controles?

2:11 Rust is een programmeertaal waarvan de compiler het geheugengebruik controleert voordat code wordt uitgevoerd. De borrow checker volgt referenties, dit zijn handvatten naar gegevens. Die handvatten moeten onbruikbaar worden wanneer de gegevens verdwenen zijn. Ontwikkelaar jsnell rapporteerde code die de compiler accepteert. Het voorbeeld behoudt een referentie naar een tekst nadat de levensduur van die tekst is geëindigd. De rapporteur zegt dat een geheugencontroleprogramma de ongeldige toegang detecteert. Een container belooft dat zijn referentie kan blijven bestaan gedurende het hele programma. Het toewijzen van een korter levende referentie aan zijn veld passeert de gerapporteerde

2:38 controles. Opschoning behandelt die referentie als lang levend. De belofte blijft bestaan nadat de gegevens verdwijnen. Het rapport reproduceert op recente stabiele versies. Bijdragers tonen gerelateerde voorbeelden terug tot Rust één punt vier. Het probleem is gemarkeerd als hoge prioriteit. Bij onze broncontrole blijft het open, zonder gekoppelde oplossing. De thread vulde zich met eenvoudigere voorbeelden. Het geeft onderhouders ook meer manieren om een reparatie te testen.

2:58 Een bugrapport wordt nuttiger wanneer mensen reproducties aandragen in plaats van elke applicatie dood te verklaren. Volg de uiteindelijke compilerfix. Deze voorbeelden tonen specifieke onveilige uitkomsten van geaccepteerde code aan. De thread levert geen bewijs dat elke Rust-applicatie dit pad volgt of dat aanvallers het in productie exploiteren.

Wat doet Apple's HomeView eigenlijk?

3:15 Apple's HomeView is een zeven-inch slim display voor oproepen, entertainment en compatibele woonaccessoires. Voorbestellingen beginnen vandaag, met beschikbaarheid op dertien november. De Amerikaanse startprijs is tweehonderdnegenennegentig dollar. Siri wordt een andere bewoner die ergens moet opladen. Apple zegt dat HomeView tot zes personen herkent. Het gedeelde keukenscherm moet beslissen wiens kalender het moet onthullen. Dat is een privacyprobleem wanneer een dinergast voor de camera staat.

Wanneer verschijnt persoonlijke inhoud?

3:38 HomeView moet het gezicht van de ingeschreven persoon herkennen. Hun gekoppelde telefoon of tablet moet aanwezig zijn en recentelijk ontgrendeld. De apparaten delen normaal gesproken hetzelfde draadloze netwerk. Die voorwaarden bepalen wanneer persoonlijke inhoud op het gedeelde scherm verschijnt. Siri's nieuwe functies beginnen in het Engels, in bèta. Apple zegt dat sommige servergebaseerde functies dagelijkse gebruiksbeperkingen hebben, met uitgebreide toegang in de toekomst beschikbaar tegen betaling. Een keukenassistent ontwikkelt blijkbaar een abonnementsbehoefte.

4:02 Apple zegt dat HomeView niet zal worden verkocht in de Europese Unie zolang de nieuwe mogelijkheden van Siri daar niet beschikbaar zijn. Voor Europese huishoudens is de smart-home upgrade het bekijken van een Amerikaanse pers bericht. Geen installatieafspraak vereist. Elke belofte heeft een grens die standhoudt. Onderhoud van koelsystemen heeft beperkte toegang nodig. Rust moet referenties afwijzen die hun gegevens overleven. HomeView moet persoonlijke inhoud aan de juiste persoon gekoppeld houden.

4:24 Gewone functies kunnen dure gevolgen hebben.

Waarom kan een fabrieksreset gevaar achterlaten?

4:27 Hier is het reset-detail. De waarschuwing van Frankrijk meldt dat het resetten van blootgestelde apparatuur zonder beveiligingsupdates onvoldoende is. Het kan wijzigingen van aanvallers verwijderen terwijl het apparaat kwetsbaar blijft. Herstel vereist beschermde toegang evenals schone instellingen. De deur moet gerepareerd worden nadat de indringer vertrokken is. Als je dit liever leest dan mij het hoort zeggen, dan landt de diff elke ochtend gratis in je inbox op the daily diff dot dev, link hieronder.

Waarom is het oordeel NEEDS REVIEW?

4:47 Dus het oordeel van vandaag is NEEDS REVIEW. Ik zou aandringen op beschermde beheertoegang voordat ik deze koelsystemen als hersteld beschouw. Alleen schone instellingen laten het volgende incident wachten aan de deur. Abonneer, druk op de bel, en vertel me in de reacties of je het anders zou hebben gestempeld. En dat is de diff voor vandaag. Ik ben Niko van Axrisi. Verantwoord samenvoegen.

Bronnen

1. Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigérationCERT-FR / ANSSI
2. Hackers raise fridge temperatures at hundreds of French supermarkets to spoil foodReuters / ABC News
3. Coopérative U refrigeration-incident confirmationDominique Schelcher
4. The secret behind Danfoss adaptive defrostDanfoss
5. struct's lifetime requirements can be bypassed via covariant field assignment · #164250rust-lang/rust
6. Meet Apple HomeView, a new way to enjoy entertainment, stay connected, and manage the homeApple