Microsoft Anuncia Prêmio de $100.000 para Proteger Dispositivos IoT Azure Sphere

A empresa está oferecendo um prêmio de $100.000 para qualquer um que consiga invadir o Azure Sphere.

Enquanto trabalha para aprimorar a segurança de seus produtos IoT, a Microsoft ofereceu um bug bounty de $100.000 para hackers éticos que conseguirem invadir o Azure Sphere.

Este último Desafio de Pesquisa de Segurança do Sphere permite que os caçadores de bugs se comuniquem diretamente com a equipe técnica da empresa durante suas tentativas de invasão.

Três partes compõem o Microsoft Sphere:

• Sphere OS, uma versão customizada do Linux criada pela Microsoft
• Silício customizado produzido pelos parceiros da empresa, incluindo MediaTek, NXP e Qualcomm
• Um serviço de segurança que roda na nuvem Azure

A Microsoft ofereceu dois prêmios de $100.000 em seu último desafio de hacking. A empresa concederá o primeiro prêmio ao primeiro hacker bem-sucedido a infiltrar o Pluton — um subsistema de segurança que fornece uma raiz de confiança ao microcontrolador Sphere — e executar código. O sistema roda um processo de boot seguro que carrega componentes de software selecionados antes de fornecer serviços de runtime.

O primeiro hacker que infiltrar o Secure World e executar código ganha o segundo prêmio. Um dos modos operacionais do Sphere, o Secure World, rigidamente bloqueado, só permite que código escrito pela Microsoft rode. Um monitor de segurança protege hardware sensível como memória e controla o acesso ao Pluton.

Os competidores devem aderir a certas condições, como não atacar fisicamente o dispositivo. A Microsoft também concederá pagamentos menores para outros ataques que se enquadrem em seu programa existente de bug bounty do Azure, com pagamentos de bônus de até 20%. Ataques qualificados incluem:

• Executar código em redes (um daemon de rede Linux)
• Falsificação de autenticação de dispositivo
• Elevação inesperada de privilégio
• Alterar software e opções de configuração que você não deveria, ou alterar o firewall embutido no hardware do microprocessador e causar um dispositivo Sphere a se comunicar com um destino não autorizado

O desafio rodará de 1 de junho a 31 de agosto de 2020.