黑客迫使法國超市雪櫃解凍
法國零售商報告冷藏控制系統受到入侵，導致強制解凍和食物報廢。
法國零售商報告冷藏控制系統受到入侵，導致強制解凍和食物報廢。本集解釋了正常的維護週期、法國國家信息系統安全局 (CERT-FR) 10 月 13 日的恢復警告、新報告的 Rust 生命周期檢查錯誤以及 Apple HomeView 的推出。
本影片涵蓋的內容
- 法國超市冷藏中斷已獲證實；但跨所有報告國家的協同攻擊尚未得到證實。
- CERT-FR 10 月 13 日的更新點名了 Danfoss、Copeland 和 Dixell 冷藏控制器系列。
- 在沒有安全更新的情況下恢復出廠設置暴露的設備，可以移除攻擊者的更改，但設備仍可能存在漏洞。
- Rust issue #164250 展示了特定的生命週期檢查故障；其討論串並未確定普遍的應用程式中斷或實際生產環境中的利用。
- Apple 宣布 HomeView 將於 11 月 13 日在列出的市場上市，起價為 299 美元，並附帶特定的個人內容條件。
翻譯的文字記錄
從英文原文旁白翻譯。可用的音頻和字幕由 YouTube 控制。
超市雪櫃是如何弄壞食物的？
0:00 黑客迫使法國的超市雪櫃解凍。 商店因此扔掉了食物。 在這段影片中，維護工作是如何導致食物變質的？ Rust 出了什麼問題？ 為什麼重設雪櫃仍可能留下危險？ 在判決之前，我會回到那個重設警告。 今天是 10 月 13 日星期二，這裡是 The Daily Diff。 超市冷藏系統是保持新鮮和冷凍食物冰冷的設備。
0:21 控制器會告訴設備何時冷卻， 以及何時融化其冷卻部件上的冰塊。 法國零售商表示，攻擊者更改了這些控制， 導致員工不得不丟棄受影響的食物。 Coopérative U 的總裁 Dominique Schelcher 於週一確認了這次攻擊。 冷藏專家與商店團隊合作恢復服務。 今天，Apple 推出了 HomeView，Rust 開發人員正在調查一個記憶體安全漏洞。 解凍是例行維護。
0:42 冰塊會在冷卻部件上積聚並妨礙運作。
雪櫃為什麼需要解凍？
0:45 正常循環會融化這些冰塊，然後恢復冷卻。 持續解凍會使食物處於危險之中。 路透社報導，Intermarché 的老闆表示，受影響的雪櫃加熱了六小時。 維護公司通過連接互聯網的控制面板調整冷藏設備。 接管面板的人可以更改設備設置。 一個合法的功能卻為非法用戶造成了損害。 巴黎的一名目擊者描述員工丟棄了一車車融化的食物， 融化的雪糕灑到了街上。
1:11 事件應對包括清潔路面。 您的監控儀表板很少會有這一欄。 不同報告中商店數量有所不同。 荷蘭零售商 Ahold Delhaize 也遭受了中斷。
實際確認了什麼？
1:19 Ahold 表示沒有理由將其事件與法國聯繫起來。 法國的冷藏攻擊已確定。 跨所有報告國家的單一協同攻擊仍未得到證實。 法國官方網絡安全響應團隊發布了警報。 今天的更新點名了 Danfoss、Copeland 和 Dixell 控制器。 它表示管理介面應保持不公開於公共互聯網。 它沒有解釋攻擊者的身份和確切的入侵途徑。 遠端存取允許維護人員調整設備，而無需開車到每個商店。
1:45 挑戰在於將這種便利性保持在受控存取權限之後。 設計師需要保護兩個客戶：使用它的技術人員和依賴它的商店。 建議是移除公開暴露、檢查配置， 並通過受保護的網絡恢復存取。 商店營運商應與其冷藏供應商協調。 斷開連接可能會中斷保險合同所需的監控。 同時，Rust 有一個安全問題。 Rust 是一種程式語言，其編譯器在代碼運行之前檢查記憶體使用情況。
2:08 它的借用檢查器追蹤引用，這些是數據的句柄。
Rust 的生命週期檢查遺漏了什麼？
2:11 當數據消失時，這些句柄應變得不可用。 開發者 jsnell 報告了編譯器接受的代碼。 這個例子在文本的生命週期結束後保留了對該文本的引用。 報告者表示，記憶體檢查工具捕獲了無效的存取。 一個容器承諾其引用可以持續整個程式。 將一個生命週期較短的引用分配到其字段中，卻通過了報告的檢查。 清理將該引用視為長壽的。 承諾在數據消失後仍然存在。
2:38 該報告在最近的穩定版本上重現。 貢獻者展示了相關的例子，可以追溯到 Rust 1.4 版。 該問題被標記為高優先級。 在我們的源代碼檢查中，它仍然開放，沒有連結的修復。 討論串中充滿了更簡單的例子。 它還為維護人員提供了更多測試修復的方法。 當人們提供重現方法，而不是宣稱所有應用程式都已死亡時，錯誤報告會變得更有用。 請追蹤最終的編譯器修復。
2:58 這些例子證明了從已接受的代碼中產生的特定不安全結果。 討論串沒有提供證據表明每個 Rust 應用程式都觸發此路徑，或者攻擊者正在生產環境中利用它。 Apple HomeView 是一款七吋智慧顯示器，用於通話、 娛樂和兼容的智能家居配件。 預訂今天開始，11 月 13 日上市。 美國的起價為 299 美元。
Apple 的 HomeView 實際上做了什麼？
3:15 Siri 成為另一個需要充電的地方的居民。 Apple 表示 HomeView 最多可識別六個人。 共享的廚房螢幕必須決定應該顯示誰的日曆。 當晚餐客人站在鏡頭前時，這會成為隱私問題。 HomeView 必須識別已註冊人員的面部。 他們配對的手機或平板電腦必須在場且最近已解鎖。 這些設備通常共享相同的無線網絡。 這些條件控制了個人內容何時會顯示在共享螢幕上。
個人內容何時出現？
3:38 Siri 的新功能以英文版本開始，目前為測試版。 Apple 表示一些基於伺服器的功能有每日使用限制， 未來可付費擴展存取。 廚房助手顯然產生了訂閱胃口。 Apple 表示，由於 Siri 的新功能在歐盟尚不可用，HomeView 不會在歐盟銷售。 對於歐洲家庭來說，智能家居升級正在觀看美國的新聞稿。 無需預約安裝。 每個承諾都需要一個堅守的界限。
4:02 冷藏維護需要受限存取。 Rust 需要拒絕超出其數據生命週期的引用。 HomeView 需要將個人內容與正確的人綁定。 普通功能也可能產生昂貴的後果。 這是重置的詳細資訊。 法國的警報警告說，在沒有安全更新的情況下重置暴露的設備是不夠的。 它可能會移除攻擊者的更改，但會使設備仍然存在漏洞。 恢復需要受保護的存取以及乾淨的設置。
4:24 入侵者離開後，門仍需要修理。
為什麼恢復出廠設置仍可能留下危險？
4:27 如果您想閱讀而不是聽我說，The Daily Diff 每天早上都會免費發送到您的收件箱， 網址是 daily diff dot dev，連結在下方。 所以今天的判決是 NEEDS REVIEW。 我會堅持要求受保護的管理存取權限，然後才稱這些冷藏系統已恢復。 單單乾淨的設置會讓下一個事件在門口等著。 訂閱、點擊鈴鐺，如果您有不同的看法，請在評論中告訴我。 這就是今天的 The Daily Diff。
為什麼裁決是「需要審查」(NEEDS REVIEW)？
4:47 我是來自 Axrisi 的 Niko。 負責任地合併。 Hackers forced French supermarket fridges into defrost。 Stores threw food away。 In this video, how did maintenance spoil food? What broke in Rust? And why could resetting a fridge leave the danger in place?
來源
- Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigérationCERT-FR / ANSSI
- Hackers raise fridge temperatures at hundreds of French supermarkets to spoil foodReuters / ABC News
- Coopérative U refrigeration-incident confirmationDominique Schelcher
- The secret behind Danfoss adaptive defrostDanfoss
- struct's lifetime requirements can be bypassed via covariant field assignment · #164250rust-lang/rust
- Meet Apple HomeView, a new way to enjoy entertainment, stay connected, and manage the homeApple
