Microsoft lobt 100.000 $ aus für Azure Sphere IoT-Sicherheit

Das Unternehmen bietet 100.000 $ Prämie für jeden, der in Azure Sphere einbrechen kann.

Um die Sicherheit seiner IoT-Produkte zu erhöhen, hat Microsoft ein 100.000 $-Bug-Bounty für ethische Hacker ausgelobt, die in Azure Sphere eindringen können.

Die aktuelle Sphere Security Research Challenge lässt Bug-Hunter direkt mit dem technischen Team des Unternehmens während ihrer Einbruchsversuche kommunizieren.

Microsoft Sphere besteht aus drei Komponenten:

• Sphere OS – eine maßgeschneiderte Linux-Version von Microsoft
• Custom Silicon – von Partnern wie MediaTek, NXP und Qualcomm produziert
• Sicherheitsdienst – läuft in der Azure Cloud

Microsoft hat zwei 100.000-$Preise ausgelobt. Der erste geht an den ersten erfolgreichen Hacker, der Pluton – ein Sicherheitssubsystem, das dem Sphere-Mikrocontroller einen Root of Trust bietet – infiltriert und Code ausführt. Das System führt einen sicheren Boot-Prozess aus, der ausgewählte Softwarekomponenten lädt, bevor Runtime-Services bereitgestellt werden.

Der zweite Preis geht an den ersten Hacker, der Secure World infiltriert und Code ausführt. Einer der Betriebsmodi von Sphere: Die streng abgeriegelte Secure World erlaubt nur Microsoft-geschriebenen Code. Ein Sicherheitsmonitor schützt sensible Hardware wie Speicher und kontrolliert den Zugriff auf Pluton.

Teilnehmer müssen Bedingungen einhalten – z. B. keine physischen Angriffe auf das Gerät. Microsoft vergibt auch niedrigere Auszahlungen für andere Angriffe unter dem bestehenden Azure-Bug-Bounty-Programm, mit Bonuszahlungen bis 20 %. Qualifizierende Angriffe umfassen:

• Code-Ausführung im Netzwerk (ein Linux-Networking-Daemon)
• Spoofing der Geräte-Authentifizierung
• Unerwartete Privilegienerweiterung
• Ändern von Software und Konfigurationsoptionen, die man nicht ändern soll, oder die in den Mikroprozessor-Hardware-Firewall eingebaute Firewall verändern und ein Sphere-Gerät veranlassen, mit einem unautorisierten Ziel zu kommunizieren

Die Challenge läuft vom 1. Juni bis 31. August 2020.