Microsoft объявляет $100 000 баунти за защиту Azure Sphere IoT-устройств

Компания предлагает $100 000 вознаграждения любому, кто сможет взломать Azure Sphere.

Работая над усилением безопасности своих IoT-продуктов, Microsoft предложила $100 000 баунти этическим хакерам, которые смогут взломать Azure Sphere.

Последний Sphere Security Research Challenge позволяет охотникам за багами общаться напрямую с технической командой компании во время попыток взлома.

Три части составляют Microsoft Sphere:

• Sphere OS — кастомная версия Linux, созданная Microsoft
• Кастомное кремние, произведенное партнерами компании, включая MediaTek, NXP и Qualcomm
• Сервис безопасности, запускаемый в облаке Azure

Microsoft предложила два приза по $100 000 в последнем хакинг-челлендже. Компания присудит первый приз первому успешному хакеру, проникнему в Pluton — подсистему безопасности, предоставляющую корень доверия микроконтроллеру Sphere — и выполнившему код. Система запускает безопасный процесс загрузки, загружающий выбранные программные компоненты перед предоставлением сервисов рантайма.

Первый хакер, проникший в Secure World и запустивший код, выигрывает второй приз. Один из режимов работы Sphere, жестко защищенный Secure World, разрешает запуск только кода, написанного Microsoft. Монитор безопасности защищает чувствительное железо вроде памяти и контролирует доступ к Pluton.

Участники должны соблюдать определенные условия, вроде отсутствия физической атаки на устройство. Microsoft также выплатит меньшие выплаты за другие атаки, попадающие под существующую программу баунти Azure, с бонусными платежами до 20%. Квалифицирующие атаки включают:

• Запуск кода в сетях (Linux сетевой демон)
• Спуфинг аутентификации устройства
• Неожиданное повышение привилегий
• Изменение программных и конфигурационных опций, которые не должны меняться, или изменение файрвола, встроенного в железо микропроцессора, и заставление Sphere-устройства коммуницировать с неавторизованным назначением

Челлендж пройдет с 1 июня по 31 августа 2020 года.