Microsoft on määranud kuni 100 000 dollari suuruse auhinna Linux-põhise Azure Sphere platvormi haavatavuse tuvastamise eest

Microsoft teatas valmiduse teavitamise auhinna, ulatudes kuni saja tuhande dollarini, IoT platvormi turvaaugu avastamise eest Azure Sphere, ehitatud Linuxi tuumale ning kasutades rakenduste ja teenuste jaoks sandbox-isoleerimist. Auhind lubatakse haavatavuste demonstreerimise eest alaprogrammis Pluton (usaldusjuure, mis on teostatud kiibis) või Secure World (sandobox).

Auhind on osa kolmekuulisest uurimisprogrammist, mis kestab 1. juunist 31. augustini 2020. Initsiatiiv on suunatud just Azure Sphere OS-ile ning ei hõlma pilvesüsteeme, mis on juba eraldi preemiate programmi alla kuuluvad. Auhinna saamiseks on vajalik demonstreerida haavatavust, mis kohaliku (rakenduse kompromiteerimine) või kaugpuurimise rünnaku käigus võib viia allkirjastamata kolmanda osapoole koodi täitmise, autentimise parameetrite püüdmiseks, privileegide tõstmiseks, seadete muutmiseks või tulemüüri piirangute ületamiseks. Uuringute läbiviimiseks on Microsoft väljendanud soovi anda osalejatele juurdepääs toodetesse ja teenustesse, Azure Sphere SDK-le, tehnilisele dokumentatsioonile ning tagada sidekanal platvormi arendajatega.

Azure Sphere platvorm on mõeldud IoT seadmete loomiseks, mis põhinevad energiatõhusatel mikrokontrolleritel (MCU, mikrokontrolleri üksus) koos integreeritud perifeersete süsteemidega. Azure Sphere'i kasutatakse ka kaubandusseadmete, näiteks Starbucks'i ettevõtete seas. Üks platvormi eripära on Plutoni subsystem, mis on mõeldud riistvaraliste vahendite andmiseks krüpteerimiseks, privaatsete võtmete ladustamiseks ja keerukate krüptograafiliste operatsioonide täitmiseks. Pluton sisaldab spetsialiseeritud protsessorit, krüptograafilist mootori, riistvaralise juhuslike arvude generaatori ja isoleeritud võtmehoidlat.

Lisaks võib märkida Linuxi tuuma ilmumist, näeb see väga huvitav välja. andmed katse müüa teadmata isikute poolt Microsofti privaatsetest GitHubi hoidlatest leitud sisu. Teadmata isik väitis, et suudab alla laadida umbes 500 GB andmeid Microsofti privaatsetest hoidlatest, mis on majutatud GitHubis, ja tõi tõendina välja ekraanipildid ning 1 GB andmeid. Enamik osalejaid pidas tõendeid ebapiisavaks, kuna ekraanipilte on kerge võltsida ja andmetes oli mingi mõttetu failide kogum hiina keeles, testide ja koodilõikude vormis. Üks Microsofti inseneridest ütles, et kommentaarid lekke tõenäoliselt on vale, kuna Microsoftil on reegel, mis ütleb, et privaatsetes hoidlates GitHubis on projektid, mis peavad 30 päeva jooksul avalikuks saama.

Allikas: opennet.ru