Microsoft Företaget om villigheten att betala , upp till hundratusen dollar, för att identifiera en sårbarhet i IoT-plattformen , på en Linux-kärna och använder sandbox-isolering för kärntjänster och applikationer. Priset lovas för att demonstrera svagheter i subsystemet (rot förtroende, implementerat i chipet) eller (sandbox).
Priset är en del av ett tre månader långt , som kommer att pågå från 1 juni till 31 augusti 2020. Initiativet riktar sig specifikt mot Azure Sphere OS och inkluderar inte molnsystem, som redan omfattas av ett separat belöningsprogram. För att få priset måste en sårbarhet demonstreras som vid en lokal (kompromiss av applikationen) eller fjärrattack kan leda till utförande av osignerad kod från tredje part, avlyssning av autentiseringsparametrar, höjning av privilegier, ändring av inställningar eller kringgå nätverksbrandväggens begränsningar. För att genomföra forskningen har Microsoft uttryckt sin villighet att ge deltagarna tillgång till produkter och tjänster, Azure Sphere SDK, teknisk dokumentation samt säkerställa en kommunikationskanal med plattformsutvecklarna.
Plattformen Azure Sphere är avsedd för att skapa internet-of-things-enheter, byggda på energieffektiva mikrocontrollers (MCU, microcontroller unit) med integrerade perifera subsystem. Azure Sphere används bland annat inom handelsutrustning, till exempel av företag som Starbucks. En av plattformens funktioner är subsystemet Pluton, som är avsett att tillhandahålla hårdvaruresurser för kryptering, lagring av hemliga nycklar och utförande av komplexa kryptografiska operationer. Pluton inkluderar en separat specialprocessor, en kryptografisk motor, en hårdvarugenerator för slumpmässiga tal och ett isolerat nyckellager.
Dessutom kan det nämnas om försök att sälja okänt innehåll från privata GitHub-repositorier hos Microsoft. En okänd person uppgav att han lyckats ladda ner cirka 500 GB data från Microsofts privata repositorier, som lagras på GitHub, och tillhandahöll skärmdumpar och 1 GB data som bevis. De flesta deltagare ansåg bevisen vara otillräckliga, eftersom skärmdumpar lätt kan förfalskas och att de data som presenterades bestod av en meningslös samling filer med kinesisk text, tester och kodavsnitt. En av Microsofts ingenjörer i uttalade att läckan sannolikt är en bluff, eftersom Microsoft har en regel som säger att projekt som finns i privata repositorier på GitHub ska bli offentliga inom 30 dagar.
Källa: opennet.ru
