Microsoft lanceert premieprogramma voor IoT-bugs

Omdat het werkt om de beveiliging van zijn IoT-producten te verbeteren, heeft Microsoft een bugbounty van $ 100.000 aangeboden aan ethische hackers die kunnen inbreken in Azure Sphere.

Met deze nieuwste Sphere Security Research Challenge kunnen de bugjagers tijdens hun inbraakpogingen rechtstreeks communiceren met het technische team van het bedrijf.

Drie delen omvatten Microsoft Sphere:

• Sphere OS, een aangepaste versie van Linux gemaakt door Microsoft
• Aangepast silicium geproduceerd door de partners van het bedrijf, waaronder MediaTek, NXP en Qualcomm
• Een beveiligingsservice die wordt uitgevoerd in de Azure-cloud

Microsoft heeft twee prijzen van $ 100.000 uitgeloofd in zijn nieuwste hackuitdaging. Het bedrijf zal de eerste prijs toekennen aan de eerste succesvolle hacker die Plutron - een beveiligingssubsysteem dat een vertrouwensbasis voor de Sphere-microcontroller biedt - infiltreert en code uitvoert. Het systeem voert een veilig opstartproces uit dat geselecteerde softwarecomponenten laadt voordat runtime-services worden geleverd.

De eerste hacker die Secure World infiltreert en code uitvoert, wint de tweede prijs. Een van de bedrijfsmodi van Sphere, de strak vergrendelde Secure World, staat alleen door Microsoft geschreven code toe. Een beveiligingsmonitor beschermt gevoelige hardware zoals geheugen en regelt de toegang tot Pluton.

Deelnemers moeten zich aan bepaalde voorwaarden houden, zoals het niet fysiek aanvallen van het apparaat. Microsoft zal ook lagere uitbetalingen toekennen voor andere aanvallen die vallen onder het bestaande Azure bug bounty-programma, met bonusbetalingen tot 20%. In aanmerking komende aanvallen zijn onder meer:

• Code uitvoeren op netwerken (een Linux-netwerkdaemon)
• Spoofing apparaatverificatie
• Onverwachte misbruik van bevoegdheden
• Software en configuratie-opties wijzigen die u niet hoort te wijzigen, of de ingebouwde firewall van de microprocessorhardware wijzigen en een Sphere-apparaat laten communiceren met een niet-geautoriseerde bestemming

De uitdaging loopt van 1 juni tot 31 augustus 2020.