Hackare tvingade franska stormarknadskylar att avfrosta

Vad den här videon täcker

• Störningar i franska stormarknadskylar är bekräftade; en samordnad attack i alla rapporterade länder är obevisad.
• CERT-FR:s uppdatering den 13 oktober nämner Danfoss, Copeland och Dixell kylkontrollfamiljer.
• Fabriksåterställning av exponerad utrustning utan säkerhetsuppdateringar kan ta bort angriparens ändringar samtidigt som enheten förblir sårbar.
• Rust-problem #164250 demonstrerar specifika livstidskontrollfel; dess tråd fastställer inte universell applikationsbrott eller aktiv produktionsexploatering.
• Apple meddelade att HomeView skulle finnas tillgänglig den 13 november på listade marknader, med ett startpris på 299 USD i USA och specifika villkor för personligt innehåll.

Översatt transkription

Översatt från den ursprungliga engelska berättelsen. Tillgängligt ljud och undertexter styrs av YouTube.

Hur förstörde stormarknadskylar maten?

0:00 Hackare tvingade stormarknadskylar i Frankrike att avfrosta. Butikerna slängde mat. I denna video, hur förstörde underhåll mat? Vad gick sönder i Rust? Och varför kunde en återställning av ett kylskåp lämna faran kvar? Jag återkommer till den återställningsvarningen innan domen. Det är tisdag den trettonde oktober, och detta är The Daily Diff. Stormarknadskylsystem är utrustningen som håller färsk och fryst

0:21 mat kall. En styrenhet talar om för utrustningen när den ska kyla och när den ska smälta is från dess kyldelar. Återförsäljare i Frankrike säger att angripare ändrade dessa kontroller, vilket tvingade personalen att kassera den påverkade maten. Coopérative U:s chef, Dominique Schelcher, bekräftade attacken på måndagen. Kylspecialister anslöt sig till butiksteamen för att återställa tjänsten. Idag presenterade Apple HomeView, och Rust-utvecklare undersökte en minnessäkerhetsbugg.

0:42 Avfrostning är rutinunderhåll.

Varför behöver ett kylskåp avfrostas?

0:45 Is byggs upp på kyldelarna och är i vägen. En normal cykel smälter den isen, sedan återupptas kylningen. Att hålla avfrostningen igång sätter maten i fara. Reuters rapporterar att Intermarchés ägare sade att de drabbade kylskåpen värmdes i sex timmar. Underhållsföretag justerar kylning via internetanslutna kontrollpaneler. Någon som tar över en panel kan ändra utrustningens inställningar. En legitim funktion skadar en illegitim användare. Ett vittne i Paris beskrev personal som slängde vagnar med upptinad mat,

1:11 med smält glass som spillde ut på gatan. Incidenthanteringen inkluderar rengöring av trottoaren. Din övervakningspanel har sällan en kolumn för det. Antalet butiker skiljer sig åt i rapporterna.

Vad har faktiskt bekräftats?

1:19 Den nederländska återförsäljaren Ahold Delhaize drabbades också av störningar. Ahold sa att de inte hade någon anledning att koppla sin incident till Frankrike. Den franska kylattacken är fastställd. En enda samordnad attack i alla rapporterade länder är fortfarande obevisad. Frankrikes officiella cybersäkerhetsteam publicerade en varning. Dagens uppdatering nämner Danfoss, Copeland och Dixell styrenheter. Den säger att hanteringsgränssnitt bör hållas borta från det offentliga internet. Den lämnar angriparens identitet och exakta ingångsväg oförklarade.

1:45 Fjärråtkomst låter underhållspersonal justera utrustning utan att köra till varje butik. Utmaningen är att hålla den bekvämligheten bakom kontrollerad åtkomst. Designers har två kunder att skydda, teknikern som använder den och butiken som förlitar sig på den. Rådet är att ta bort offentlig exponering, kontrollera konfigurationen, och återställa åtkomst via ett skyddat nätverk. Butiksägare bör samordna sig med sin kyleverantör. Att bryta anslutningen kan avbryta övervakning som krävs av ett försäkringsavtal.

2:08 avtal. Samtidigt har Rust ett säkerhetsproblem.

Vad missade Rusts livstidskontroller?

2:11 Rust är ett programmeringsspråk vars kompilator kontrollerar minnesanvändning innan koden körs. Dess lånkontrollant spårar referenser, som är handtag till data. Dessa handtag bör bli oanvändbara när datan är borta. Utvecklaren jsnell rapporterade kod som kompilatorn accepterar. Exemplet behåller en referens till en text efter att textens livstid upphört. Rapporteraren säger att ett minneskontrollsverktyg fångar den ogiltiga åtkomsten. En behållare lovar att dess referens kan vara kvar under hela programmet. Att tilldela en kortare referens till dess fält passerar de rapporterade

2:38 kontrollerna. Uppstädningen behandlar den referensen som långlivad. Löftet överlever efter att datan försvinner. Rapporten kan reproduceras på nya stabila versioner. Bidragsgivare visar relaterade exempel ända tillbaka till Rust ett punkt fyra. Problemet är markerat som hög prioritet. Vid vår källkontroll är den fortfarande öppen, utan någon länkad fix. Tråden fylldes med enklare exempel. Den ger också underhållare fler sätt att testa en reparation.

2:58 En buggrapport blir mer användbar när folk kommer med reproduktioner istället för att förklara att varje applikation är död. Följ den eventuella kompilatorfixen. Dessa exempel fastställer specifika osäkra utfall från accepterad kod. Tråden ger inga bevis för att varje Rust-applikation drabbas av detta eller att angripare utnyttjar det i produktion.

Vad gör Apples HomeView egentligen?

3:15 Apples HomeView är en sju tums smart skärm för samtal, underhållning och kompatibla hemtillbehör. Förbeställningar startar idag, med tillgänglighet den trettonde november. Det amerikanska startpriset är tvåhundranittionio dollar. Siri blir ytterligare en boende som behöver någonstans att ladda. Apple säger att HomeView känner igen upp till sex personer. Den delade köksskärmen måste bestämma vems kalender den ska visa. Det är ett integritetsproblem när en middagsgäst står framför kameran.

När visas personligt innehåll?

3:38 HomeView måste känna igen den registrerade personens ansikte. Deras parade telefon eller surfplatta måste vara närvarande och nyligen olåst. Enheterna delar normalt samma trådlösa nätverk. Dessa villkor styr när personligt innehåll visas på den delade skärmen. Siris nya funktioner börjar på engelska, i beta. Apple säger att vissa serverbaserade funktioner har dagliga användningsgränser, med utökad åtkomst tillgänglig mot en avgift i framtiden. En köksassistent utvecklar tydligen en prenumerationsaptit.

4:02 Apple säger att HomeView inte kommer att säljas i Europeiska unionen så länge Siris nya funktioner inte är tillgängliga där. För europeiska hushåll är smart-hem-uppgraderingen att titta på en amerikansk press release. Ingen installationsbokning krävs. Varje löfte behöver en gräns som håller. Underhåll av kylanläggningar kräver begränsad åtkomst. Rust behöver avvisa referenser som lever längre än sin data. HomeView måste hålla personligt innehåll kopplat till rätt person.

4:24 Vanliga funktioner kan få dyra konsekvenser.

Varför kan en fabriksåterställning lämna kvar faror?

4:27 Här är återställningsdetaljen. Frankrikes varning säger att återställning av exponerad utrustning utan säkerhetsuppdateringar är otillräcklig. Den kan ta bort angriparens ändringar samtidigt som enheten förblir sårbar. Återställning kräver skyddad åtkomst såväl som rena inställningar. Dörren behöver lagas efter att inkräktaren lämnat. Om du hellre vill läsa detta än höra mig säga det, landar diffen i din inkorg varje morgon, gratis på the daily diff dot dev, länk nedan.

Varför är domen NEEDS REVIEW?

4:47 Så dagens dom är NEEDS REVIEW. Jag skulle insistera på skyddad hanteringsåtkomst innan jag kallar dessa kylsystem återställda. Rena inställningar ensamma lämnar nästa incident väntande vid dörren. Prenumerera, tryck på klockan och berätta i kommentarerna om du skulle ha stämplat den annorlunda. Och det är skillnaden för idag. Jag är Niko från Axrisi. Sammanfoga ansvarsfullt.

Källor

1. Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigérationCERT-FR / ANSSI
2. Hackers raise fridge temperatures at hundreds of French supermarkets to spoil foodReuters / ABC News
3. Coopérative U refrigeration-incident confirmationDominique Schelcher
4. The secret behind Danfoss adaptive defrostDanfoss
5. struct's lifetime requirements can be bypassed via covariant field assignment · #164250rust-lang/rust
6. Meet Apple HomeView, a new way to enjoy entertainment, stay connected, and manage the homeApple