barfoo

Det er litt non sequitur å anbefale lading to ganger i året. Har en småkjøring som tapper batteriet må du lade det ofte. Tenk kvar fjerde kjøretur eller så. Har du ikkje det, men langkjøring som i praksis fullader batteriet (30-40km for dag) så er det ikkje behov for å lade utover bruk av bilen. To ganger i året er derimot meir eller mindre bortkasta.

Gi opp airgap. Det ser bra ut på papiret. Iran greide ikkje gjennomføre det i praksis for det hemmelege atomvåpenprogrammet sitt. Antar du at du har airgapped løsning i dag ber du om problemer, fordi du er ein butikksjeff (eller soldat) unna at det får malware av eit slag. Airgapped er dødt og alle som trur det fortsatt funker har ikkje forstått kor sammenkobla systemer er, og at impulsen folk har er å koble seg til et system for å hente ut data.

Hjelp. Kjørte grype på siste versjon av Danux lasta ned fra nettsida til Danfoss. Det er... scary shit. Imaget er 7z-innpakka ext4-image, som er rimelig trivielt å pakke ut og poke. Og det er scary shit. En del vil jo åpenbart ikkje være relevant, fordi angrepspath ikkje er tilgjengelig eksternt, men generelt prinsipp er jo defense in depth; ei sårbarhet som har lav severity kombinert med sårbarhet som kun er tilgjengeleg lokalt kan føre til kompromitering. For min del ser det ut som Danfoss ikkje tar sikkerhet på alvor, og ikkje patcher image slik dei bør. I tillegg er det jo litt idiotisk å tilby Linux-oppdateringer som image som må byttast ut, når dei bruker RPM-basert distro som kan utføre inplace-oppdateringer. Kort sagt bør Danfoss skjerpe utviklingssyklusen sin for å sikre oppdateringer til kunder. Vi får håpe EU CRA-regler fører til forbedring. Ei konkret endring er jo at levrandører får rapporteringsplikt når dei blir kjent med at ting blir utnytta.

Russland. Enten direkte eller indirekte.

Veldig mange tenker på sikkerhet per system, uten å tenke over klasseangrep. Det er òg grunnen til at låsesylinderen i ytterdøra mi er relativt trygg, sjølv om det er velkjent korleis du kan angripe den: angrepet krever kunnskap, og du må angripe mi ytterdør. Med digitale angrep er det snudd på: det krev ingen spesiell kunnskap, og marginalkostnaden ved å angripe tusen dingser framfor en dings er ~0.

For fryser på supermarked så kanskje, men om du tenker at dei bruker samme system på kontrollsystem for f.eks. industriell kjøling, så er jo det å kunne justere setpunkt via et API absolutt fordelaktig. Det lukter av at dei har laga et så kapabelt og universelt interface som mulig, og shipper det overalt, ukritisk.

Det forklarer fortsatt ikkje kvifor det var så eksponert som det ser ut til at er tilfelle, eller kvifor det gikk an å stille så åpenbart utanfor fornuftige temperaturgrenser. Om det er rapportering (e.g. telemetri) kan du bygge det ganske sikkert ved å bruke einvegskommunikasjon, slik som f.eks. MQTT med mTLS, og ikkje ha mekanisme for å skrive tilbake. Ellers er jo defense in depth stikkord, slik at APIet ikkje er eksponert direkte på nett, men beskytta av fleire lag, f.eks. nettverksmessig plassering og mTLS. Det utelukker ikkje skyløsninger, men krever litt meir oppsett. I tillegg må software oppdaterast og vedlikehaldast. Det er både custom kode i APIet - og standardsoftware som operativsystemer og biblioteker. Relevant standard er fort IEC62443 for industrielle kontrollsystemer... Det litt interessante er jo at eg neppe ville tenkt SL3 eller 4 på termostat på kommersielle frysere, men det er jo det nivået en må opp på når en har avanserte trusler ala statlige aktører.

Tipper det er levrandør som har ei fancy skyløsning som har fått sikkerhetsproblemer av et slag. Det er ett av problema med IoT: alt for mange ting skal gå via levrandør, og det blir ikkje patcha i tilstrekkelig grad. EU CRA forsøker å fikse på det.

Brukte du ikkje trekkefjær?

Her flytter du målposten. Prosedyren er ikkje å fortsette i høg hastighet, men i sikthastighet...

Og eg forstår ikkje reaksjonane til folk. Vi har ein rettsstat, fordi alternativet er verre. Konsekvensen av at vi har ein rettsstat er at tiltalte og dømte har visse rettar. Her vel han å nytte dei rettane, og det får omtale fordi han er kjent person.

Kva du kjenner til er mindre interessant, all den tid du neppe har gått gjennom spesielt mange varetektskjennelser. Dei aller fleste havner ikkje i media. Du avslører deg jo òg litt når du seier påtalemakta forskjellsbehandler. Påtale motsette seg fotlenke for Høiby, men domstolane innvilga det. Så du kjenner ikkje ein gong rette instansar. Viare så kan du jo be om kopi av kjennelsane, og kritisere det ut frå det domstolen faktisk legg til grunn, og ikkje fantasien din. WTF? Kor tar du det frå?

Du er klar over at du har dei ti boda i Islam og, og at dei er relativt like den kristne utgåva? Det er rimelig gjennomsiktig at du er rasist og ikkje har spesielt stor kunnskap om det du kritiserer.

Gratulerer, det er grunnen til å piratkopiere! Betaler du får du dårlegare produkt. Det er ganske unikt at bransjen hater kundane sine så intenst.

Du kan ikkje stå der og vente på nokon. Men er ikkje trafikkreglane pensum for å få lappen?