Hakerzy zmusili francuskie lodówki supermarketowe do rozmrażania

Co obejmuje ten film

• Zakłócenia w chłodnictwie francuskich supermarketów są potwierdzone; skoordynowany atak we wszystkich zgłoszonych krajach jest nieudowodniony.
• Aktualizacja CERT-FR z 13 października wymienia rodziny sterowników chłodniczych Danfoss, Copeland i Dixell.
• Resetowanie do ustawień fabrycznych narażonego sprzętu bez aktualizacji zabezpieczeń może usunąć zmiany atakującego, pozostawiając urządzenie podatne na zagrożenia.
• Problem Rust #164250 demonstruje konkretne awarie sprawdzania żywotności; jego wątek nie potwierdza powszechnego uszkodzenia aplikacji ani aktywnej eksploatacji w produkcji.
• Apple ogłosiło dostępność HomeView od 13 listopada na wymienionych rynkach, z ceną początkową 299 USD i określonymi warunkami dotyczącymi treści osobistych.

Przetłumaczona transkrypcja

Przetłumaczono z oryginalnej narracji angielskiej. Dostępne audio i napisy są kontrolowane przez YouTube.

Jak lodówki supermarketowe zepsuły jedzenie?

0:00 Hakerzy zmusili lodówki supermarketowe we Francji do rozmrażania. Sklepy wyrzuciły jedzenie. W tym filmie, jak konserwacja zepsuła jedzenie? Co zepsuło się w Rust? I dlaczego resetowanie lodówki mogło pozostawić niebezpieczeństwo? Wrócę do tego ostrzeżenia o resecie przed werdyktem. Jest wtorek, trzynasty października, a to jest The Daily Diff. Systemy chłodnicze supermarketów to sprzęt, który utrzymuje świeże i mrożone

0:21 jedzenie w niskiej temperaturze. Sterownik informuje sprzęt kiedy chłodzić, a kiedy topić lód z jego części chłodzących. Sprzedawcy we Francji twierdzą, że atakujący zmienili te ustawienia, pozostawiając personelowi wyrzucenie uszkodzonej żywności. Szef Coopérative U, Dominique Schelcher, potwierdził atak w poniedziałek. Specjaliści od chłodnictwa dołączyli do zespołów sklepów, aby przywrócić usługę. Dziś Apple zaprezentowało HomeView, a deweloperzy Rust badali błąd bezpieczeństwa pamięci.

0:42 Rozmrażanie to rutynowa konserwacja.

Dlaczego lodówka potrzebuje rozmrażania?

0:45 Lód gromadzi się na częściach chłodzących i przeszkadza. Normalny cykl topi ten lód, a następnie chłodzenie zostaje wznowione. Pozostawienie rozmrażania włączonego naraża żywność na ryzyko. Reuters donosi, że właściciel Intermarché powiedział, że dotknięte lodówki nagrzewały się przez sześć godzin. Firmy konserwacyjne regulują chłodzenie za pomocą paneli sterowania połączonych z Internetem. Ktoś, kto przejmuje panel, może zmienić ustawienia sprzętu. Jedna legalna funkcja powoduje szkody dla nielegalnego użytkownika. Świadek w Paryżu opisał personel wyrzucający wózki rozmrożonej żywności,

1:11 z topniejącymi lodami rozlewającymi się na ulicę. Reakcja na incydent obejmuje sprzątanie chodnika. Twój panel monitoringu rzadko ma kolumnę na to. Liczba sklepów różni się w raportach.

Co zostało faktycznie potwierdzone?

1:19 Holenderski detalista Ahold Delhaize również ucierpiał z powodu zakłóceń. Ahold powiedział, że nie miał powodu, aby łączyć swój incydent z Francją. Francuski atak na systemy chłodnicze jest potwierdzony. Pojedynczy skoordynowany atak we wszystkich zgłoszonych krajach pozostaje nieudowodniony. Francuski oficjalny zespół reagowania na cyberbezpieczeństwo opublikował alert. Dzisiejsza aktualizacja wymienia sterowniki Danfoss, Copeland i Dixell. Mówi, że interfejsy zarządzania powinny pozostać poza publicznym internetem. Pozostawia tożsamość atakujących i dokładną drogę wejścia niewyjaśnione.

1:45 Zdalny dostęp pozwala ekipom konserwacyjnym regulować sprzęt bez jeżdżenia do każdego sklepu. Wyzwaniem jest utrzymanie tej wygody za kontrolowanym dostępem. Projektanci mają dwóch klientów do ochrony: technika, który go używa, i sklep, który na nim polega. Rada brzmi: usunąć publiczną ekspozycję, sprawdzić konfigurację, i przywrócić dostęp przez chronioną sieć. Operatorzy sklepów powinni koordynować swoje działania z dostawcą usług chłodniczych. Przerwanie połączenia może przerwać monitorowanie wymagane przez umowę ubezpieczeniową.

2:08 Tymczasem Rust ma problem z bezpieczeństwem.

Czego brakowało w kontrolach żywotności Rusta?

2:11 Rust to język programowania, którego kompilator sprawdza użycie pamięci przed uruchomieniem kodu. Jego "borrow checker" śledzi referencje, które są uchwytami do danych. Te uchwyty powinny stać się bezużyteczne, gdy dane znikną. Deweloper jsnell zgłosił kod, który kompilator akceptuje. Przykład zachowuje referencję do tekstu po zakończeniu jego żywotności. Reporter twierdzi, że narzędzie do sprawdzania pamięci wykrywa nieprawidłowy dostęp. Kontener obiecuje, że jego referencja może trwać przez cały program. Przypisanie referencji o krótszej żywotności do jego pola omija zgłoszone

2:38 sprawdzenia. Czyszczenie traktuje tę referencję jako długotrwałą. Obietnica przetrwa po zniknięciu danych. Raport odtwarza się na ostatnich stabilnych wersjach. Współpracownicy pokazują pokrewne przykłady aż do Rust jeden punkt cztery. Problem oznaczono jako wysoki priorytet. Według naszego sprawdzenia źródła, pozostaje otwarty, bez powiązanego rozwiązania. Wątek wypełnił się prostszymi przykładami. Daje to również opiekunom więcej sposobów na testowanie naprawy.

2:58 Raport o błędzie staje się bardziej użyteczny, gdy ludzie przynoszą reprodukcje zamiast deklarować każdą aplikację martwą. Śledź ostateczną poprawkę kompilatora. Te przykłady ustalają konkretne niebezpieczne wyniki z zaakceptowanego kodu. Wątek nie dostarcza dowodów na to, że każda aplikacja Rust trafia na tę ścieżkę lub że atakujący ją wykorzystują w produkcji.

Co faktycznie robi HomeView firmy Apple?

3:15 HomeView firmy Apple to siedmiocalowy inteligentny wyświetlacz do rozmów, rozrywki i kompatybilnych akcesoriów domowych. Zamówienia przedpremierowe zaczynają się dzisiaj, z dostępnością trzynastego listopada. Amerykańska cena początkowa wynosi dwieście dziewięćdziesiąt dziewięć dolarów. Siri staje się kolejnym rezydentem, który potrzebuje miejsca do ładowania. Apple twierdzi, że HomeView rozpoznaje do sześciu osób. Wspólny ekran kuchenny musi zdecydować, czyj kalendarz powinien ujawnić. To problem prywatności, gdy gość na obiedzie stoi przed kamerą.

Kiedy pojawia się treść osobista?

3:38 HomeView musi rozpoznać twarz zarejestrowanej osoby. Ich sparowany telefon lub tablet musi być obecny i niedawno odblokowany. Urządzenia zazwyczaj współdzielą tę samą sieć bezprzewodową. Te warunki kontrolują, kiedy treści osobiste pojawiają się na wspólnym ekranie. Nowe funkcje Siri zaczynają się w języku angielskim, w wersji beta. Apple twierdzi, że niektóre funkcje oparte na serwerze mają dzienne limity użytkowania, z rozszerzonym dostępem dostępnym za opłatą w przyszłości. Asystent kuchenny najwyraźniej rozwija apetyt na subskrypcje.

4:02 Apple mówi, że HomeView nie będzie sprzedawane w Unii Europejskiej, dopóki nowe funkcje Siri nie będą tam dostępne. Dla europejskich gospodarstw domowych, aktualizacja inteligentnego domu to oglądanie amerykańskiej prasowej informacji. Nie jest wymagane umówienie się na instalację. Każda obietnica potrzebuje granicy, która się utrzymuje. Konserwacja chłodnicza wymaga ograniczonego dostępu. Rust musi odrzucać referencje, które przeżywają swoje dane. HomeView musi utrzymywać treści osobiste związane z właściwą osobą.

4:24 Zwykłe funkcje mogą mieć kosztowne konsekwencje.

Dlaczego reset fabryczny może pozostawić niebezpieczeństwo?

4:27 Oto szczegóły resetu. Francuski alert ostrzega, że resetowanie narażonego sprzętu bez aktualizacji zabezpieczeń jest niewystarczające. Może usunąć zmiany atakującego, pozostawiając urządzenie podatne na zagrożenia. Odzyskiwanie wymaga chronionego dostępu, a także czystych ustawień. Drzwi muszą być naprawione po odejściu intruza. Jeśli wolisz to przeczytać, niż usłyszeć, jak to mówię, "diff" ląduje w Twojej skrzynce odbiorczej każdego ranka, za darmo na the daily diff dot dev, link poniżej.

Dlaczego werdykt brzmi POTRZEBUJE PRZEGLĄDU?

4:47 Więc dzisiejszy werdykt to POTRZEBUJE PRZEGLĄDU. Nalegałbym na chroniony dostęp do zarządzania, zanim nazwę te systemy chłodnicze odzyskanymi. Same czyste ustawienia pozostawiają kolejny incydent czekający pod drzwiami. Subskrybuj, naciśnij dzwonek i powiedz mi w komentarzach, czy stempelowałbyś to inaczej. I to jest "diff" na dziś. Jestem Niko z Axrisi. Łącz odpowiedzialnie.

Źródła

1. Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigérationCERT-FR / ANSSI
2. Hackers raise fridge temperatures at hundreds of French supermarkets to spoil foodReuters / ABC News
3. Coopérative U refrigeration-incident confirmationDominique Schelcher
4. The secret behind Danfoss adaptive defrostDanfoss
5. struct's lifetime requirements can be bypassed via covariant field assignment · #164250rust-lang/rust
6. Meet Apple HomeView, a new way to enjoy entertainment, stay connected, and manage the homeApple