A Microsoft ofereceu uma recompensa de até $100000 pela descoberta de uma vulnerabilidade na plataforma de Linux Azure Sphere

Empresa Microsoft anunciou disposição para pagar uma recompensa, no valor de até cem mil dólares, por identificar uma brecha na plataforma IoT Azure Sphere, construída com base no núcleo Linux e utilizando isolamento sandbox para serviços e aplicativos principais. A recompensa é prometida por demonstrar vulnerabilidades no subsistema Pluton (raiz de confiança implementada no chip) ou Secure World (sandbox).

A recompensa faz parte de um programa de pesquisa de três meses , que ocorrerá de 1º de junho a 31 de agosto de 2020. A iniciativa é especificamente voltada para o Azure Sphere OS e não inclui subsistemas de nuvem, que já fazem parte de um programa de recompensas separado. Para receber a recompensa, é necessário demonstrar uma vulnerabilidade que, durante um ataque local (comprometimento do aplicativo) ou remoto, possa levar à execução de código de terceiros não assinado digitalmente, interceptar parâmetros de autenticação, elevar privilégios, alterar configurações ou contornar restrições de firewall. Para conduzir a pesquisa, a Microsoft se mostrou disposta a fornecer aos participantes acesso aos produtos e serviços, ao Azure Sphere SDK, à documentação técnica, além de garantir um canal de comunicação com os desenvolvedores da plataforma.A plataforma Azure Sphere é projetada para criar dispositivos de Internet das Coisas, baseados em microcontroladores (MCU, microcontroller unit) energeticamente eficientes com subsistemas periféricos integrados. O Azure Sphere é utilizado, entre outras coisas, em equipamentos comerciais, como os de empresas como Starbucks. Uma das características da plataforma é o subsistema Pluton, destinado a fornecer recursos de hardware para criptografia, armazenamento de chaves privadas e execução de operações criptográficas complexas. O Pluton inclui um processador especializado separado, um motor criptográfico, um gerador de números aleatórios de hardware e um armazenamento isolado de chaves.

informações

Adicionalmente, pode-se destacar aparecimento informações sobre a tentativa de venda de conteúdos desconhecidos de repositórios privados do GitHub da Microsoft. Um desconhecido afirmou que conseguiu baixar cerca de 500 GB de dados de repositórios privados da Microsoft, hospedados no GitHub, e apresentou como prova capturas de tela e 1 GB de dados. A maioria dos participantes considerou as provas inconclusivas, pois as capturas de tela podem ser facilmente falsificadas e os dados continham um conjunto sem sentido de arquivos com texto em chinês, testes e trechos de código. Um dos engenheiros da Microsoft declarou que comentários a fuga de dados provavelmente é uma farsa, pois a Microsoft possui uma regra que estipula que em repositórios privados no GitHub são hospedados projetos que devem se tornar públicos dentro de 30 dias.

Fonte: opennet.ru