Microsoft vyhlásil odměnu až $100000 za nalezení zranitelnosti v platformě Linux Azure Sphere

Společnost Microsoft oznámila o ochotě vyplatit odměnu, ve výši až sto tisíc dolarů, za odhalení zranitelnosti v IoT platformě Azure Sphere, postavené na jádru Linux a využívající sandboxovou izolaci pro hlavní služby a aplikace. Odměna je slíbena za demonstraci zranitelností v subsystému Pluton (kořen důvěry implementovaný v čipu) nebo Secure World (sandbox).

Odměna je součástí tříměsíční výzkumné program, která potrvá od 1. června do 31. srpna 2020. Iniciativa se zaměřuje zejména na Azure Sphere OS a nezahrnuje cloudové subsystémy, které jsou již zahrnuty v samostatném programu odměn. Pro získání odměny je nutné demonstrovat zranitelnost, která může při lokálním (kompromitace aplikace) nebo vzdáleném útoku vést k provedení neověřeného digitálního podpisu cizího kódu, zachycení autentizačních parametrů, zvýšení privilegií, úpravě nastavení nebo obcházení omezení firewallu. Pro provedení výzkumu společnost Microsoft vyjádřila ochotu poskytnout účastníkům přístup k produktům a službám, Azure Sphere SDK, technické dokumentaci, a také zajistit komunikační kanál s vývojáři platformy.

Platforma Azure Sphere je určena pro vytváření zařízení internetu věcí, postavených na energeticky efektivních mikrokontrolérech (MCU, microcontroller unit) s integrovanými periferními subsystémy. Azure Sphere se využívá i v obchodním vybavení, například ve společnostech, jako je Starbucks. Jednou z vlastností platformy je subsystém Pluton, určený k poskytování hardwarových prostředků pro šifrování, ukládání soukromých klíčů a provádění složitých kryptografických operací. Pluton obsahuje samostatný specializovaný procesor, kryptografický engine, hardwarový generátor náhodných čísel a izolované úložiště klíčů.

Dále lze poznamenat výskyt informací o pokusu o prodej neznámého obsahu soukromých repozitářů GitHub společnosti Microsoft. Neznámý tvrdil, že se mu podařilo stáhnout přibližně 500 GB dat ze soukromých repozitářů Microsoftu umístěných na GitHubu a poskytl jako důkaz screenshoty a 1 GB dat. Většina účastníků považovala důkazy za nevěrohodné, protože screenshoty lze snadno padělat a v datech se objevil nějaký nesmyslný soubor s textem v čínštině, testy a úryvky kódu. Jeden z inženýrů Microsoftu v komentáře prohlásil, že únik je pravděpodobně falešný, protože v Microsoftu platí pravidlo, v jehož souladu jsou v soukromých repozitářích na GitHubu umístěny projekty, které by měly být veřejné do 30 dnů.

Zdroj: opennet.ru