Microsoft объявила 5 мая 2020 года, что этим летом устраивает соревнование по информационной безопасности, посвященное защите компонентов ОС Azure Sphere, кастомной версии Linux для устройств Интернета вещей. Максимальная выплата за обход подсистемы безопасности Pluton или взлом изолированной программной среды Secure World (песочницы) составит $100 тыс.
Чтобы принять участие в этом соревновании по ИБ от Microsoft исследователям необходимо до 15 мая 2020 года заполнить специальную форму и пройти регистрацию на портале Azure Sphere Security Research.
Далее после подтверждения регистрации исследовательские команды могут в течение трех месяцев с 1 июня по 31 августа 2020 года заниматься изучением документации и исследованием элементов ОС Azure Sphere, искать уязвимости и пытаться обойти защиту этой платформу для IoT-приложений от Microsoft. Например, подсистема Pluton включает в себя отдельный специализированный процессор, криптографический движок, аппаратный генератор случайных чисел и изолированное хранилище ключей.
Максимальную премию исследователи получат, если продемонстрируют Microsoft найденную уязвимость, которая в ходе локальной (компрометация приложения) или удаленной атаки может привести к выполнению незаверенного цифровой подписью стороннего кода, перехватить параметры аутентификации, повысить привилегии, внести изменений в настройки или обойти ограничения межсетевого экрана ОС Azure Sphere.
Вдобавок, если исследователи найдут уязвимости в компонентах ОС Azure Sphere, которые попадают под программу вознаграждения Azure Bounty Program, то они получат дополнительный бонус по этой программе. Например выплата за найденную критическую уязвимость будет на 20% больше, чем заявлено в программе Azure Bounty Program. Тоже относится и к нахождению менее критичных уязвимостей, но там надбавка составит только 10%.
Компания Microsoft представила платформу Azure Sphere в 2018 году. Первым поддерживаемым этой платформой процессором стал MediaTek MT3620 на базе ARM.
