Microsoft Kondigt $100.000 Beloning aan om Azure Sphere IoT-apparaten te Beveiligen

Terwijl het werkt aan het verbeteren van de beveiliging van zijn IoT-producten, heeft Microsoft een $100.000 bug bounty aangeboden aan ethische hackers die in Azure Sphere kunnen inbreken.

Deze laatste Sphere Security Research Challenge laat de bug hunters direct communiceren met het technische team van het bedrijf tijdens hun inbraakpogingen.

Drie delen vormen Microsoft Sphere:

• Sphere OS, een aangepaste versie van Linux gemaakt door Microsoft
• Custom silicon geproduceerd door de partners van het bedrijf waaronder MediaTek, NXP en Qualcomm
• Een beveiligingsservice die in de Azure-cloud draait

Microsoft heeft twee $100.000 prijzen aangeboden in zijn laatste hacking-uitdaging. Het bedrijf zal de eerste prijs toekennen aan de eerste succesvolle hacker die Plutron infiltreert — een beveiligingssubsysteem dat een root of trust biedt aan de Sphere-microcontroller — en code uitvoert. Het systeem draait een veilige boot-proces dat geselecteerde softwarecomponenten laadt voordat het runtime-services biedt.

De eerste hacker die Secure World infiltreert en code draait, wint de tweede prijs. Een van Sphere's operatiemodi, de strak afgeschermde Secure World staat alleen Microsoft-geschreven code toe om te draaien. Een beveiligingsmonitor beschermt gevoelige hardware zoals geheugen en controleert toegang tot Pluton.

Deelnemers moeten zich houden aan bepaalde voorwaarden, zoals het niet fysiek aanvallen van het apparaat. Microsoft zal ook lagere uitbetalingen toekennen voor andere aanvallen die onder het bestaande Azure bug bounty-programma vallen, met bonusbetalingen tot 20%. Kwalificerende aanvallen omvatten:

• Code draaien op netwerken (een Linux-netwerkdaemon)
• Spoofing van apparaatauthenticatie
• Onverwachte uitbreiding van privileges
• Software- en configuratieopties wijzigen die je niet zou moeten, of de firewall die in de microprocessor-hardware ingebouwd is wijzigen en een Sphere-apparaat laten communiceren met een onbevoegde bestemming

De uitdaging loopt van 1 juni tot 31 augustus 2020.