Das Unternehmen Microsoft für die Bereitschaft zur Auszahlung , bis zu hunderttausend Dollar, für die Entdeckung einer Sicherheitslücke in der IoT-Plattform , auf einem Linux-Kernel basiert und Sandbox-Isolation für grundlegende Dienste und Anwendungen verwendet. Die Belohnung wird für die Demonstration von Schwachstellen im (Root of Trust, implementiert im Chip) oder (Sandbox) versprochen.
Die Belohnung ist Teil eines dreimonatigen , das vom 1. Juni bis 31. August 2020 läuft. Die Initiative richtet sich speziell an das Azure Sphere OS und umfasst nicht die Cloud-Subsysteme, die bereits Teil eines separaten Belohnungsprogramms sind. Um die Belohnung zu erhalten, muss eine Schwachstelle demonstriert werden, die bei einem lokalen (Kompromittierung der Anwendung) oder entfernten Angriff zur Ausführung von nicht signiertem Drittanbieter-Code führen kann, Authentifizierungsparameter abfangen, Privilegien erhöhen, Änderungen an den Einstellungen vornehmen oder Firewallschranken umgehen kann. Für die Durchführung der Forschung hat Microsoft seine Bereitschaft erklärt, den Teilnehmern Zugang zu Produkten und Dienstleistungen, dem Azure Sphere SDK, technischen Dokumentationen sowie einen Kommunikationskanal mit den Plattformentwicklern bereitzustellen.
Die Azure Sphere-Plattform dient der Entwicklung von IoT-Geräten, die auf energieeffizienten Mikrocontrollern (MCU, microcontroller unit) mit integrierten Peripheriesystemen basieren. Azure Sphere wird unter anderem in Handelsgeräten verwendet, beispielsweise von Unternehmen wie Starbucks. Eine der Besonderheiten der Plattform ist das Pluton-Subsystem, das hardwarebasierte Mittel für die Verschlüsselung, Speicherung geheimer Schlüssel und die Durchführung komplexer kryptografischer Operationen bietet. Pluton umfasst einen separaten spezialisierten Prozessor, eine kryptografische Engine, einen hardwarebasierten Zufallszahlengenerator und einen isolierten Schlüsselspeicher.
Zusätzlich kann vermerkt werden über den Versuch, Inhalte aus privaten GitHub-Repositories von Microsoft durch Unbekannte zu verkaufen. Der Unbekannte behauptete, etwa 500 GB Daten aus privaten GitHub-Repositories von Microsoft heruntergeladen zu haben und legte als Beweis Screenshots und 1 GB Daten vor. Die meisten Teilnehmer hielten die Beweise für wenig überzeugend, da Screenshots leicht gefälscht werden können und die Daten einen sinnlosen Dateisatz mit chinesischem Text, Tests und Codefragmenten enthielten. Einer der Ingenieure von Microsoft erklärte, dass es sich bei der Datenpanne wahrscheinlich um einen Fake handelt, da Microsoft eine Regel hat, wonach in privaten GitHub-Repositories Projekte untergebracht werden, die innerhalb von 30 Tagen öffentlich gemacht werden sollen. sagte, dass die Lektion wahrscheinlich ein Fake ist, da Microsoft eine Regel hat, nach der in den privaten Repositories auf GitHub Projekte ablegt werden, die innerhalb von 30 Tagen öffentlich werden sollen.
Quelle: opennet.ru
