Microsoft annonce une prime de 100 000 $ pour sécuriser les appareils IoT Azure Sphere

L'entreprise offre une prime de 100 000 $ à quiconque peut s'introduire dans Azure Sphere.

Alors qu'elle travaille à renforcer la sécurité de ses produits IoT, Microsoft a offert une prime de 100 000 $ aux hackers éthiques qui peuvent s'introduire dans Azure Sphere.

Ce dernier Sphere Security Research Challenge permet aux chasseurs de bugs de communiquer directement avec l'équipe technique de l'entreprise pendant leurs tentatives d'intrusion.

Trois parties composent Microsoft Sphere :

• Sphere OS, une version personnalisée de Linux créée par Microsoft
• Silicium personnalisé produit par les partenaires de l'entreprise, dont MediaTek, NXP et Qualcomm
• Un service de sécurité qui s'exécute dans le cloud Azure

Microsoft a offert deux prix de 100 000 $ dans son dernier défi de piratage. L'entreprise attribuera le premier prix au premier hacker qui parviendra à s'infiltrer dans Pluton — un sous-système de sécurité qui fournit une racine de confiance au microcontrôleur Sphere — et à exécuter du code. Le système exécute un processus de démarrage sécurisé qui charge des composants logiciels sélectionnés avant de fournir des services d'exécution.

Le premier hacker qui s'infiltre dans Secure World et exécute du code gagne le second prix. L'un des modes de fonctionnement de Sphere, le Secure World étroitement verrouillé, ne permet l'exécution que du code écrit par Microsoft. Un moniteur de sécurité protège le matériel sensible comme la mémoire et contrôle l'accès à Pluton.

Les participants doivent respecter certaines conditions, comme ne pas attaquer physiquement l'appareil. Microsoft attribuera également des paiements inférieurs pour d'autres attaques relevant de son programme de prime Azure existant, avec des bonus jusqu'à 20 %. Les attaques qualifiantes incluent :

• Exécution de code sur les réseaux (un démon de réseau Linux)
• Usurpation d'authentification d'appareil
• Élévation de privilèges inattendue
• Modification de logiciels et d'options de configuration que vous n'êtes pas censé modifier, ou modification du pare-feu intégré au matériel du microprocesseur et provoquer la communication d'un appareil Sphere avec une destination non autorisée

Le défi se déroulera du 1er juin au 31 août 2020.