Microsoft anuncia recompensa de 100.000$ para asegurar dispositivos IoT Azure Sphere

La compañía ofrece una recompensa de 100.000$ a quien logre entrar en Azure Sphere.

Mientras trabaja para mejorar la seguridad de sus productos IoT, Microsoft ha ofrecido una recompensa de 100.000$ a hackers éticos que puedan entrar en Azure Sphere.

Este último Sphere Security Research Challenge permite a los cazadores de bugs comunicarse directamente con el equipo técnico de la compañía durante sus intentos de intrusión.

Tres partes componen Microsoft Sphere:

• Sphere OS, una versión personalizada de Linux creada por Microsoft
• Silicio personalizado producido por socios de la compañía incluyendo MediaTek, NXP y Qualcomm
• Un servicio de seguridad que corre en la nube Azure

Microsoft ha ofrecido dos premios de 100.000$ en su último reto de hacking. La compañía otorgará el primer premio al primer hacker exitoso en infiltrar Pluton —un subsistema de seguridad que proporciona una raíz de confianza al microcontrolador Sphere— y ejecutar código. El sistema ejecuta un proceso de arranque seguro que carga componentes de software selectos antes de proveer servicios en tiempo de ejecución.

El primer hacker que infiltre Secure World y ejecute código gana el segundo premio. Uno de los modos operativos de Sphere, el Secure World, estrictamente cerrado, solo permite correr código escrito por Microsoft. Un monitor de seguridad protege hardware sensible como memoria y controla acceso a Pluton.

Los participantes deben cumplir ciertas condiciones, como no atacar físicamente el dispositivo. Microsoft también otorgará pagos menores por otros ataques bajo su programa existente de bug bounty de Azure, con bonificaciones hasta el 20%. Ataques que califican incluyen:

• Ejecutar código en redes (un daemon de red Linux)
• Suplantación de autenticación de dispositivo
• Elevación inesperada de privilegios
• Alterar software y opciones de configuración que no se deben, o alterar el firewall integrado en el hardware del microprocesador y causar que un dispositivo Sphere se comunique con un destino no autorizado

El reto correrá del 1 de junio al 31 de agosto de 2020.