Microsoft lança programa de recompensas para bugs de IoT

A empresa está oferecendo uma recompensa de US$ 100.000 para quem conseguir invadir o Azure Sphere.

Enquanto trabalha para melhorar a segurança de seus produtos de IoT, a Microsoft ofereceu uma recompensa de US$ 100.000 para hackers éticos que conseguirem invadir o Azure Sphere.

Este último Sphere Security Research Challenge permite que os caçadores de bugs se comuniquem diretamente com a equipe técnica da empresa durante suas tentativas de invasão.

Três partes compõem o Microsoft Sphere:

• Sphere OS, uma versão personalizada do Linux criada pela Microsoft
• Silício personalizado produzido por parceiros da empresa, incluindo MediaTek, NXP e Qualcomm
• Um serviço de segurança executado na nuvem do Azure

A Microsoft ofereceu dois prêmios de US$ 100.000 em seu mais recente desafio de hackers. A empresa concederá o primeiro prêmio ao primeiro hacker bem-sucedido a se infiltrar no Plutron – um subsistema de segurança que fornece uma raiz de confiança ao microcontrolador Sphere – e executar o código. O sistema executa um processo de inicialização seguro que carrega componentes de software selecionados antes de fornecer serviços de tempo de execução.

O primeiro hacker que se infiltrar no Secure World e executar o código ganha o segundo prêmio. Um dos modos de operação do Sphere, o Secure World totalmente bloqueado só permite a execução de código escrito pela Microsoft. Um monitor de segurança protege hardware sensível como memória e controla o acesso ao Pluton.

Os competidores devem aderir a certas condições, como não atacar fisicamente o dispositivo. A Microsoft também concederá pagamentos mais baixos para outros ataques que se enquadram em seu programa de recompensas de bugs do Azure existente, com pagamentos de bônus de até 20%. Os ataques qualificados incluem:

• Executando código em redes (um daemon de rede Linux)
• Spoofing de autenticação de dispositivo
• Elevação inesperada de privilégio
• Alterar software e opções de configuração que você não deveria, ou alterar o firewall integrado ao hardware do microprocessador e fazer com que um dispositivo Sphere se comunique com um destino não autorizado

O desafio decorrerá de 1 de junho a 31 de agosto de 2020.