Microsoft a annoncé un prix allant jusqu'à 100 000 $ pour la découverte d'une vulnérabilité sur la plateforme Linux Azure Sphere

La société Microsoft a annoncé disponibilité à verser une prime, d'un montant allant jusqu'à cent mille dollars, pour la découverte d'une faille dans la plateforme IoT Azure Sphere, construite sur la base d'un noyau Linux et utilisant une isolation sandbox pour les services et applications principaux. La prime est promise pour la démonstration de vulnérabilités dans le sous-système Pluton (racine de confiance implémentée dans la puce) ou Secure World (sandbox).

La prime fait partie d'un programme de recherche de trois mois , qui se déroulera du 1er juin au 31 août 2020. L'initiative cible spécifiquement Azure Sphere OS et n'inclut pas les sous-systèmes cloud, qui sont déjà inclus dans un programme de récompense distinct. Pour recevoir la prime, il est nécessaire de démontrer une vulnérabilité qui, lors d'une attaque locale (compromission de l'application) ou à distance, pourrait mener à l'exécution de code tiers non signé, à l'interception de paramètres d'authentification, à l'élévation des privilèges, à des modifications des paramètres ou à une contournement des restrictions du pare-feu. Pour mener les recherches, Microsoft a exprimé sa volonté de fournir aux participants un accès aux produits et services, au SDK Azure Sphere, à la documentation technique, ainsi qu'un canal de communication avec les développeurs de la plateforme.La plateforme Azure Sphere est destinée à la création d'appareils IoT, construits sur la base de microcontrôleurs écoénergétiques (MCU, microcontroller unit) avec des sous-systèmes périphériques intégrés. Azure Sphere est notamment utilisé dans des équipements de vente, comme ceux de Starbucks. L'une des caractéristiques de la plateforme est le sous-système Pluton, conçu pour fournir des capacités matérielles pour le chiffrement, le stockage de clés privées et l'exécution d'opérations cryptographiques complexes. Pluton comprend un processeur spécialisé distinct, un moteur cryptographique, un générateur de nombres aléatoires matériel et un stockage isolé de clés.

informations

Il convient également de noter l'apparition informations concernant la tentative de vente de contenus inconnus issus de dépôts privés GitHub de Microsoft. Un individu a déclaré avoir pu télécharger environ 500 Go de données provenant de dépôts privés de Microsoft hébergés sur GitHub et a fourni comme preuve des captures d'écran ainsi que 1 Go de données. La plupart des participants ont jugé les preuves peu convaincantes, car les captures d'écran peuvent facilement être falsifiées et les données comprenaient un ensemble de fichiers apparemment sans signification, avec des textes en chinois, des tests et des extraits de code. Un ingénieur de Microsoft a les commentaires déclaré que la fuite est probablement un canular, car Microsoft a une politique stipulant que dans les dépôts privés sur GitHub, des projets devant devenir publics sont hébergés pendant une période de 30 jours.

Source : opennet.ru