Hackeri prinútili francúzske supermarkety k odmrazovaniu chladničiek

Čo toto video pokrýva

• Narušenie chladenia vo francúzskych supermarketoch je potvrdené; koordinovaný útok naprieč každou hlásenou krajinou nie je preukázaný.
• Aktualizácia CERT-FR z 13. októbra spomína rodiny ovládačov chladenia Danfoss, Copeland a Dixell.
• Obnovenie továrenských nastavení vystaveného zariadenia bez bezpečnostných aktualizácií môže odstrániť zmeny útočníka, pričom zariadenie zostane zraniteľné.
• Problém Rust #164250 demonštruje špecifické zlyhania kontroly životnosti; jeho vlákno nepreukazuje univerzálne porušenie aplikácie ani aktívnu exploatáciu v produkcii.
• Spoločnosť Apple oznámila dostupnosť HomeView od 13. novembra na uvedených trhoch, s počiatočnou cenou 299 USD v USA a špecifickými podmienkami pre osobný obsah.

Preložený prepis

Preložené z pôvodného anglického rozprávania. Dostupný zvuk a titulky sú kontrolované službou YouTube.

Ako chladničky v supermarketoch pokazili jedlo?

0:00 Hackeri prinútili chladničky v supermarketoch vo Francúzsku k odmrazovaniu. Obchody vyhodili jedlo. V tomto videu, ako údržba pokazila jedlo? Čo sa pokazilo v Rust? A prečo mohlo resetovanie chladničky zanechať nebezpečenstvo na mieste? Vrátim sa k tomuto varovaniu pred resetom pred verdiktom. Je utorok, trinásteho októbra, a toto je The Daily Diff. Chladiace systémy supermarketov sú zariadenia, ktoré udržiavajú čerstvé a mrazené

0:21 potraviny studené. Ovládač hovorí zariadeniu kedy chladiť a kedy topiť ľad z jeho chladiacich častí. Maloobchodníci vo Francúzsku hovoria, že útočníci zmenili tieto ovládacie prvky, čo viedlo personál k likvidácii postihnutých potravín. Šéf Coopérative U, Dominique Schelcher, potvrdil útok v pondelok. Špecialisti na chladenie sa pripojili k tímom obchodov, aby obnovili službu. Dnes spoločnosť Apple predstavila HomeView a vývojári Rust skúmali bezpečnostnú chybu v pamäti.

0:42 Odmrazovanie je bežná údržba.

Prečo chladnička potrebuje odmrazovanie?

0:45 Ľad sa hromadí na chladiacich častiach a prekáža. Normálny cyklus roztopí tento ľad, potom sa obnoví chladenie. Ponechanie odmrazovania v chode ohrozuje jedlo. Reuters uvádza, že majiteľ Intermarché povedal, že postihnuté chladničky sa ohrievali šesť hodín. Servisné spoločnosti upravujú chladenie prostredníctvom ovládacích panelov pripojených k internetu. Ten, kto prevezme panel, môže zmeniť nastavenia zariadenia. Jedna legitímna funkcia spôsobuje škody nelegitímnemu používateľovi. Svedok v Paríži opísal, ako personál vyhadzoval vozíky s rozmrazenými potravinami,

1:11 s roztopenou zmrzlinou vyliato na ulicu. Reakcia na incident zahŕňa čistenie chodníka. Váš monitorovací panel má zriedka stĺpec pre to. Počet obchodov sa líši v závislosti od správ.

Čo sa vlastne potvrdilo?

1:19 Holandský maloobchodník Ahold Delhaize tiež utrpel narušenie. Ahold uviedol, že nemá dôvod spájať svoj incident s Francúzskom. Francúzsky útok na chladenie je potvrdený. Jediný koordinovaný útok naprieč každou hlásenou krajinou zostáva nepreukázaný. Oficiálny francúzsky tím pre reakciu na kybernetickú bezpečnosť zverejnil upozornenie. Dnešná aktualizácia uvádza ovládače Danfoss, Copeland a Dixell. Uvádza, že rozhrania správy by mali zostať mimo verejného internetu. Identita útočníkov a presná trasa vstupu zostávajú nevysvetlené.

1:45 Vzdialený prístup umožňuje servisným posádkam upravovať zariadenie bez toho, aby museli jazdiť do každého obchodu. Výzvou je udržať túto pohodlnosť za kontrolovaným prístupom. Dizajnéri musia chrániť dvoch zákazníkov, technika, ktorý ho používa, a obchod, ktorý sa naň spolieha. Rada znie, odstrániť verejné vystavenie, skontrolovať konfiguráciu, a obnoviť prístup prostredníctvom chránenej siete. Prevádzkovatelia obchodov by mali koordinovať s ich dodávateľom chladenia. Prerušenie pripojenia môže prerušiť monitorovanie požadované poistnou

2:08 zmluvou. Medzitým má Rust bezpečnostný problém.

Čo prehliadli kontroly životnosti v Rust?

2:11 Rust je programovací jazyk, ktorého kompilátor kontroluje využitie pamäte pred spustením kódu. Jeho kontrolór výpožičiek sleduje referencie, čo sú ukazovatele na dáta. Tieto ukazovatele by sa mali stať nepoužiteľnými, keď dáta zmiznú. Vývojár jsnell nahlásil kód, ktorý kompilátor akceptuje. Príklad uchováva referenciu na nejaký text po skončení životnosti tohto textu. Reportér hovorí, že nástroj na kontrolu pamäte zachytáva neplatný prístup. Kontajner sľubuje, že jeho referencia môže trvať po celý program. Priradenie kratšej referencie do jeho poľa prejde nahlásenými

2:38 kontrolami. Čistenie považuje túto referenciu za dlhodobú. Sľub prežije po zmiznutí dát. Správa sa reprodukuje na nedávnych stabilných verziách. Prispievatelia ukazujú súvisiace príklady už od verzie Rust 1.4. Problém je označený ako vysoká priorita. Pri našej kontrole zdroja zostáva otvorený, bez prepojenej opravy. Vlákno sa zaplnilo jednoduchšími príkladmi. Tiež dáva správcom viac spôsobov, ako otestovať opravu.

2:58 Správa o chybe sa stáva užitočnejšou, keď ľudia prinesú reprodukcie namiesto vyhlasovania, že každá aplikácia je mŕtva. Sledujte prípadnú opravu kompilátora. Tieto príklady potvrdzujú špecifické nebezpečné výsledky z akceptovaného kódu. Vlákno neposkytuje žiadne dôkazy o tom, že každá aplikácia Rust sa dostane na túto cestu alebo že útočníci ju zneužívajú v produkcii.

Čo vlastne robí HomeView od Apple?

3:15 Apple HomeView je sedempalcový inteligentný displej pre hovory, zábavu a kompatibilné domáce príslušenstvo. Predobjednávky začínajú dnes, s dostupnosťou 13. novembra. Americká štartovacia cena je dvesto deväťdesiatdeväť dolárov. Siri sa stáva ďalším obyvateľom, ktorý potrebuje miesto na nabíjanie. Apple hovorí, že HomeView rozpozná až šesť osôb. Zdieľaná obrazovka kuchyne musí rozhodnúť, čí kalendár by mala odhaliť. To je problém súkromia, keď hosť stojí pred kamerou.

Kedy sa zobrazí osobný obsah?

3:38 HomeView musí rozpoznať tvár zapísanej osoby. Ich spárovaný telefón alebo tablet musí byť prítomný a nedávno odomknutý. Zariadenia zvyčajne zdieľajú rovnakú bezdrôtovú sieť. Tieto podmienky kontrolujú, kedy sa osobný obsah zobrazí na zdieľanej obrazovke. Nové funkcie Siri začínajú v angličtine, v beta verzii. Apple hovorí, že niektoré funkcie založené na serveri majú denné limity používania, s rozšíreným prístupom k dispozícii za poplatok v budúcnosti. Kuchynský asistent zrejme vyvíja predplatiteľský apetít.

4:02 Apple hovorí, že HomeView sa nebude predávať v Európskej únii, kým nové funkcie Siri tam nebudú dostupné. Pre európske domácnosti je vylepšenie inteligentného domu sledovaním americkej tlačovej správy. Nevyžaduje sa žiadna inštalačná schôdzka. Každý sľub potrebuje hranicu, ktorá platí. Údržba chladenia potrebuje obmedzený prístup. Rust musí odmietnuť referencie, ktoré prežijú svoje dáta. HomeView musí udržiavať osobný obsah viazaný na správnu osobu.

4:24 Bežné funkcie môžu mať drahé následky.

Prečo môže obnovenie továrenských nastavení zanechať nebezpečenstvo?

4:27 Tu je detail resetu. Francúzske upozornenie varuje, že resetovanie vystaveného zariadenia bez bezpečnostných aktualizácií je nedostatočné. Môže odstrániť zmeny útočníka, pričom zariadenie zostane zraniteľné. Obnova si vyžaduje chránený prístup, ako aj čisté nastavenia. Dvere treba opraviť po odchode votrelca. Ak si to radšej prečítate, ako ma počúvate, rozdiel sa objaví vo vašej schránke každé ráno, zadarmo na the daily diff dot dev, odkaz nižšie.

Prečo je verdikt POTREBNÉ POSÚDIŤ?

4:47 Takže dnešný verdikt je POTREBNÉ POSÚDIŤ. Trval by som na chránenom prístupe k správe predtým, ako by som tieto chladiace systémy považoval za obnovené. Samotné čisté nastavenia zanechávajú ďalší incident čakať pri dverách. Prihláste sa na odber, stlačte zvonček a povedzte mi v komentároch, či by ste to označili inak. A to je pre dnešok rozdiel. Som Niko z Axrisi. Zlučujte zodpovedne.

Zdroje

1. Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigérationCERT-FR / ANSSI
2. Hackers raise fridge temperatures at hundreds of French supermarkets to spoil foodReuters / ABC News
3. Coopérative U refrigeration-incident confirmationDominique Schelcher
4. The secret behind Danfoss adaptive defrostDanfoss
5. struct's lifetime requirements can be bypassed via covariant field assignment · #164250rust-lang/rust
6. Meet Apple HomeView, a new way to enjoy entertainment, stay connected, and manage the homeApple