Microsoft обяви награда до 100000 $ за идентифициране на уязвимост в Linux платформата Azure Sphere

Компания Microsoft обяви за готовността да изплати награда, достигаща до сто хиляди долара, за откритие на пропуск в IoT платформата Azure Sphere, изградена на базата на ядрото Linux и използваща sandbox изолация за основните услуги и приложения. Наградата е обещана за демонстриране на уязвимости в подсистемата Pluton (основата на доверието, реализирана в чипа) или Secure World (sandbox).

Наградата е част от тримесечна изследователска програма, която ще продължи от 1 юни до 31 август 2020 г. Инициативата е насочена конкретно към Azure Sphere OS и не включва облачни подсистеми, които вече са включени в отделна програма за награди. За да получите наградата, трябва да демонстрирате уязвимост, която при локална (компрометиране на приложението) или дистанционна атака може да доведе до изпълнение на незасвидетелстван цифров подпис на трети код, прихващане на параметри за удостоверяване, повишаване на привилегиите, извършване на промени в настройките или избягване на ограниченията на защитната стена. За провеждане на изследването компанията Microsoft изрази готовност да предостави на участниците достъп до продуктите и услугите, Azure Sphere SDK, техническата документация, както и да осигури канал за комуникация с разработчиците на платформата.

Платформата Azure Sphere е предназначена за създаване на устройства за интернет на нещата, построени на основата на енергийно ефективни микроконтролери (MCU, microcontroller unit) с интегрирани периферийни подсистеми. Azure Sphere се използва и в търговска техника, например в компании като Starbucks. Един от акцентите на платформата е подсистемата Pluton, предназначена за предоставяне на хардуерни средства за криптиране, съхранение на частни ключове и извършване на сложни криптографски операции. Pluton включва отделен специализиран процесор, криптографски двигател, хардуерен генератор на случайни числа и изолирано хранилище на ключове.

Допълнително може да бъде отбелязано появата данни за опит за продажба на неизвестно съдържание от частни GitHub репозитории на Microsoft. Неизвестен твърди, че е успял да изтегли около 500 GB данни от частни репозитории на Microsoft, разположени в GitHub, и предостави скрийншоти и 1 GB данни като доказателство. Повечето участници сметнаха доказателствата за неубедителни, тъй като скрийншотовете лесно могат да бъдат фалшифицирани, а в данните имаше безсмислен набор от файлове с текст на китайски език, тестове и откъси от код. Един от инженерите на Microsoft в коментарите заяви, че изтичането вероятно е фалшиво, тъй като в Microsoft има правило, според което в частните репозитории на GitHub се публикуват проекти, които трябва да станат публични в срок от 30 дни.

Източник: opennet.ru