Хакери змусили французькі холодильники супермаркетів розморожуватися

Що охоплює це відео

• Порушення роботи холодильних установок у французьких супермаркетах підтверджено; скоординована атака по всіх країнах, про які повідомлялося, не доведена.
• Оновлення CERT-FR від 13 жовтня називає сімейства контролерів охолодження Danfoss, Copeland та Dixell.
• Скидання до заводських налаштувань відкритого обладнання без оновлень безпеки може видалити зміни, внесені зловмисником, залишаючи пристрій вразливим.
• Проблема Rust #164250 демонструє специфічні збої перевірки терміну дії; її обговорення не встановлює повсюдного порушення роботи додатків або активної експлуатації у виробництві.
• Apple анонсувала доступність HomeView з 13 листопада на зазначених ринках, з початковою ціною від 299 доларів США та специфічними умовами для особистого контенту.

Перекладена стенограма

Перекладено з оригінальної англійської розповіді. Доступне аудіо та субтитри контролюються YouTube.

Як холодильники супермаркетів зіпсували їжу?

0:00 Хакери змусили холодильники супермаркетів у Франції розморожуватися. Магазини викинули їжу. У цьому відео, як технічне обслуговування зіпсувало їжу? Що зламалося в Rust? І чому скидання холодильника може залишити небезпеку на місці? Я повернуся до цього попередження про скидання перед вердиктом. Сьогодні вівторок, тринадцяте жовтня, і це The Daily Diff. Системи охолодження супермаркетів — це обладнання, яке підтримує свіжі та заморожені

0:21 продукти холодними. Контролер повідомляє обладнанню коли охолоджувати, а коли розтоплювати лід з його охолоджуючих частин. Рітейлери у Франції кажуть, що зловмисники змінили ці елементи керування, змусивши персонал викидати зіпсовані продукти. Керівник Coopérative U, Домінік Шельшер, підтвердив атаку в понеділок. Фахівці з охолодження приєдналися до команд магазинів для відновлення обслуговування. Сьогодні Apple представила HomeView, а розробники Rust досліджували проблему безпеки пам'яті.

0:42 Розморожування — це планове обслуговування.

Чому холодильнику потрібне розморожування?

0:45 Лід накопичується на охолоджуючих частинах і заважає. Звичайний цикл розтоплює цей лід, потім охолодження відновлюється. Продовження розморожування ставить їжу під загрозу. Reuters повідомляє, що власник Intermarché заявив, що уражені холодильники нагрівалися шість годин. Компанії з обслуговування регулюють охолодження через панелі керування, підключені до Інтернету. Той, хто захоплює панель, може змінювати налаштування обладнання. Одна законна функція завдає шкоди для незаконного користувача. Свідок у Парижі описав, як персонал викидає візки з розмороженою їжею,

1:11 з розплавленим морозивом, що розливається на вулицю. Реагування на інцидент включає прибирання тротуару. Ваша панель моніторингу рідко має стовпчик для цього. Кількість магазинів відрізняється в різних звітах.

Що насправді було підтверджено?

1:19 Нідерландський рітейлер Ahold Delhaize також зазнав збоїв. Ahold заявив, що не мав підстав пов'язувати свій інцидент з Францією. Французька атака на холодильні установки підтверджена. Єдина скоординована атака по всіх країнах, про які повідомлялося, залишається недоведеною. Офіційна команда реагування на кібербезпеку Франції опублікувала попередження. Сьогоднішнє оновлення називає контролери Danfoss, Copeland та Dixell. Воно стверджує, що інтерфейси управління повинні залишатися поза публічним Інтернетом. Воно залишає особистість зловмисників та точний шлях проникнення непоясненими.

1:45 Віддалений доступ дозволяє бригадам технічного обслуговування регулювати обладнання, не їдучи до кожного магазину. Завдання полягає в тому, щоб зберегти цю зручність за контрольованим доступом. Дизайнери мають двох клієнтів для захисту: техніка, який його використовує, та магазин, який на нього покладається. Порада полягає в тому, щоб усунути публічний доступ, перевірити конфігурацію, та відновити доступ через захищену мережу. Оператори магазинів повинні координувати свої дії з постачальником холодильного обладнання. Відключення зв'язку може перервати моніторинг, необхідний за страховим

2:08 контрактом. Тим часом, Rust має проблему безпеки.

Що пропустили перевірки терміну дії Rust?

2:11 Rust — це мова програмування, компілятор якої перевіряє використання пам'яті до виконання коду. Його перевірка запозичень відстежує посилання, які є покажчиками на дані. Ці покажчики повинні стати непридатними для використання, коли дані зникають. Розробник jsnell повідомив про код, який приймає компілятор. Приклад зберігає посилання на текст після закінчення терміну дії цього тексту. Репортер каже, що інструмент перевірки пам'яті виявляє недійсний доступ. Контейнер обіцяє, що його посилання може існувати протягом усієї програми. Присвоєння короткоживучого посилання до його поля проходить повз зазначені

2:38 перевірки. Очищення розглядає це посилання як довгоживуче. Обіцянка виживає після зникнення даних. Звіт відтворюється на останніх стабільних версіях. Дописувачі показують пов'язані приклади ще з Rust 1.4. Проблема позначена як високопріоритетна. При нашій перевірці джерела вона залишається відкритою, без пов'язаного виправлення. Обговорення заповнилося простішими прикладами. Це також дає розробникам більше способів перевірити виправлення.

2:58 Звіт про помилку стає більш корисним, коли люди приносять відтворення, а не заявляють, що кожна програма мертва. Слідкуйте за майбутнім виправленням компілятора. Ці приклади встановлюють конкретні небезпечні наслідки прийнятого коду. Обговорення не надає доказів того, що кожна програма Rust потрапляє на цей шлях або що зловмисники експлуатують її у виробництві.

Що насправді робить Apple HomeView?

3:15 Apple HomeView — це семидюймовий смарт-дисплей для дзвінків, розваг та сумісних домашніх аксесуарів. Попередні замовлення починаються сьогодні, з доступністю 13 листопада. Американська стартова ціна становить двісті дев'яносто дев'ять доларів. Siri стає ще одним мешканцем, якому потрібне місце для зарядки. Apple заявляє, що HomeView розпізнає до шести осіб. Спільний кухонний екран повинен вирішити, чий календар він повинен показати. Це проблема конфіденційності, коли гість на вечері стоїть перед камерою.

Коли з'являється особистий контент?

3:38 HomeView повинен розпізнавати обличчя зареєстрованої особи. Їхній підключений телефон або планшет має бути присутнім і нещодавно розблокованим. Пристрої зазвичай використовують ту саму бездротову мережу. Ці умови контролюють, коли особистий контент з'являється на спільному екрані. Нові функції Siri починаються англійською, у бета-версії. Apple заявляє, що деякі функції на основі сервера мають щоденні обмеження використання, з розширеним доступом, доступним за плату в майбутньому. Кухонний помічник, очевидно, розвиває апетит до підписки.

4:02 Apple заявляє, що HomeView не продаватиметься в Європейському Союзі, поки нові можливості Siri недоступні там. Для європейських домогосподарств, оновлення розумного будинку — це перегляд американського прес-релізу. Не потрібно запису на установку. Кожна обіцянка потребує межі, яка тримається. Обслуговування холодильного обладнання потребує обмеженого доступу. Rust повинен відхиляти посилання, які переживають свої дані. HomeView повинен зберігати особистий контент, прив'язаний до потрібної людини.

4:24 Звичайні функції можуть мати дорогі наслідки.

Чому скидання до заводських налаштувань може залишити небезпеку?

4:27 Ось деталі скидання. Попередження Франції говорить, що скидання відкритого обладнання без оновлень безпеки недостатньо. Воно може видалити зміни зловмисника, залишаючи пристрій вразливим. Відновлення потребує захищеного доступу, а також чистих налаштувань. Двері потребують ремонту після того, як зловмисник піде. Якщо ви волієте це читати, а не слухати, дифф потрапляє у вашу поштову скриньку щоранку, безкоштовно на the daily diff dot dev, посилання нижче.

Чому вердикт NEEDS REVIEW?

4:47 Отже, сьогоднішній вердикт — NEEDS REVIEW. Я наполягав би на захищеному управлінському доступі, перш ніж називати ці холодильні системи відновленими. Одні лише чисті налаштування залишають наступний інцидент чекати біля дверей. Підписуйтесь, натискайте дзвіночок і скажіть мені в коментарях, чи ви б поставили інший штамп. І це весь дифф на сьогодні. Я Ніко з Axrisi. Зливайте відповідально.

Джерела

1. Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigérationCERT-FR / ANSSI
2. Hackers raise fridge temperatures at hundreds of French supermarkets to spoil foodReuters / ABC News
3. Coopérative U refrigeration-incident confirmationDominique Schelcher
4. The secret behind Danfoss adaptive defrostDanfoss
5. struct's lifetime requirements can be bypassed via covariant field assignment · #164250rust-lang/rust
6. Meet Apple HomeView, a new way to enjoy entertainment, stay connected, and manage the homeApple