Microsoft、Azure Sphere IoTデバイスのセキュリティ強化に10万ドルのバグバウンティ
同社はAzure Sphereへの侵入に成功した人に10万ドルの報奨金を提供します。
IoT製品のセキュリティ強化に取り組む中、Microsoftは倫理的ハッカーに対し、Azure Sphereへの侵入に成功すれば10万ドルのバグバウンティを提供しています。
この最新の「Sphere Security Research Challenge」では、バグハンターが侵入を試みる際、同社の技術チームと直接コミュニケーションを取ることができます。
Microsoft Sphereは3つの部分で構成されます：
- Sphere OS：Microsoftが作成したカスタム版Linux
- カスタムシリコン：MediaTek、NXP、Qualcommなどパートナー企業が製造
- セキュリティサービス：Azureクラウド上で稼働
Microsoftは最新のハッキングチャレンジで2つの10万ドル賞金を用意しています。最初の賞金は、Pluton（Sphereマイクロコントローラーに信頼のルートを提供するセキュリティサブシステム）に侵入し、コードを実行した最初のハッカーに授与されます。このシステムは、選択されたソフトウェアコンポーネントを読み込んでからランタイムサービスを提供する安全なブートプロセスを実行します。
2つ目の賞金は、Secure Worldに侵入しコードを実行した最初のハッカーに授与されます。Sphereの動作モードの1つであるSecure Worldは厳重にロックダウンされており、Microsoftが書いたコードのみの実行を許可します。セキュリティモニターがメモリなどの機密ハードウェアを保護し、Plutonへのアクセスを制御します。
参加者は、デバイスへの物理攻撃を行わないなどの条件を遵守する必要があります。Microsoftは、既存のAzureバグバウンティプログラムに該当するその他の攻撃に対しても、最大20%のボーナス支払いを含むより低い報奨金を提供します。対象となる攻撃には：
- ネットワーク上でのコード実行（Linuxネットワーキングデーモン）
- デバイス認証のスプーフィング
- 予期しない権限昇格
- 変更すべきでないソフトウェアおよび設定オプションの変更、またはマイクロプロセッサーハードウェアに組み込まれたファイアウォールを変更し、Sphereデバイスが許可されていない宛先と通信するようにすること
このチャレンジは2020年6月1日から8月31日まで実施されます。
モノのインターネットテクノロジー
- 産業用IoTセキュリティ：実践的ロードマップ
- エッジ・コンピューティングがIoT成功に不可欠な理由
- なぜ統一IoTセキュリティ標準がないのか？複雑な状況を理解する
- IoTセキュリティ——責任は誰にあるのか？
- InfineonとElektrobit、コネクテッドカー向け次世代セキュリティを提供
- IoTセキュリティ：導入障壁の克服
- IoTセキュリティ：RANとエッジ時代におけるネットワークオペレーターの核心優先事項
- グローバルIoTを守る：3つの必須ステップ
- IoTデバイスを守る4つの実証済みステップ：包括的なソフトウェア保証ブループリント
- 5G導入がIoTセキュリティを強化する仕組み：知っておくべきこと
- NIST、IoTデバイスセキュリティ強化のためメーカー向けドラフトガイドライン公開