Microsoft vállalat a kifizetési készségről , legfeljebb száz ezer dollár összegben, az IoT-platformon található sebezhetőség felfedezéséért , a Linux kernel alapjaira építettek, és sandbox-izolációt alkalmaz a fő szolgáltatások és alkalmazások számára. A jutalom a (megbízhatósági gyökér, amely chipben valósul meg) vagy (sandbox) sebezhetőségeinek bemutatásáért ígértek.
A jutalom része egy három hónapos , amely 2020. június 1-től augusztus 31-ig tart. Az kezdeményezés kifejezetten az Azure Sphere OS-re összpontosít, és nem tartalmazza azokat a felhőalapú alrendszereket, amelyek már egy külön jutalomprogramban szerepelnek. A jutalom elnyeréséhez be kell mutatni egy sebezhetőséget, amely lokális (alkalmazás kompromittálása) vagy távoli támadás során végrehajthatja egy nem aláírt külső kód futtatását, megszerezheti az autentikálási paramétereket, emelheti a jogosultságokat, módosíthatja a beállításokat, vagy megkerülheti a tűzfal korlátozásait. A kutatás lebonyolítása érdekében a Microsoft kifejezte készségét, hogy hozzáférést biztosít a résztvevőknek a termékekhez és szolgáltatásokhoz, az Azure Sphere SDK-hoz, a műszaki dokumentációhoz, valamint kapcsolatot biztosít a platform fejlesztőivel.
Az Azure Sphere platform a dolgok internetéhez tervezett eszközök létrehozására szolgál, energiahatékony mikrokontroller (MCU) alapú, integrált perifériás alrendszerekkel. Az Azure Sphere-t egyebek mellett kereskedelmi berendezésekben, például a Starbucks cégnél használják. A platform egyik jellemzője a Pluton alrendszer, amely hardveres eszközöket biztosít titkosításhoz, privát kulcsok tárolásához, és komplex kriptográfiai műveletek végrehajtásához. A Pluton tartalmaz egy különálló, specializált processzort, kriptográfiai motort, hardveres véletlenszám-generátort és izolált kulcstárolót.
További megjegyzésként Ismeretlen személy megpróbálta eladni a Microsoft privát GitHub-tárolóinak tartalmát. Az ismeretlen állítása szerint körülbelül 500 GB adatot tudott letölteni a Microsoft privát tárolóiból, amelyeket a GitHub-on helyeztek el, és bizonyítékul képernyőképeket és 1 GB adatot szolgáltatott. A résztvevők többsége a bizonyítékokat nem meggyőzőnek találta, mivel a képernyőképek könnyen hamisíthatók, ráadásul az adatok között értelmetlen fájlok sokasága szerepelt kínai nyelven, tesztekkel és kódrészletekkel. Az egyik Microsoft mérnöke a nyilatkozta, hogy a szivárgás valószínűleg hamisítvány, mivel a Microsoft rendelkezik egy szabállyal, amely szerint a GitHub privát tárolóiban olyan projektek találhatók, amelyeknek 30 napon belül nyilvánosnak kell lenniük.
Forrás: opennet.ru
