IoT : Microsoft offre 100 000 $ pour hacker Linux

Les inscriptions à l’Azure Sphere Security Challenge sont ouvertes.

Microsoft donne jusqu’au 15 mai pour postuler à ce bug bounty à durée déterminée.

Les candidats retenus auront du 1^er juin au 31 août pour signaler des failles dans la plate-forme IoT Azure Sphere, passée récemment en phase de disponibilité générale.

Ils pourront prétendre à la récompense maximale de 100 000 $ s’ils parviennent à compromettre l’un ou l’autre de ces éléments :

Le sous-système de sécurité Pluton, intégré au microcontrôleur qui fait office de racine de confiance pour les objets connectés
L’environnement Secure World, qui fait l’interface entre Pluton et le système d’exploitation Azure Sphere OS

Microsoft mettra des ressources à leur disposition dans le cadre du programme Azure Security Lab.

Les autres vulnérabilités éventuellement détectées sur Azure Sphere pourront donner lieu à des dédommagements axés sur la grille du bug bounty Azure. C’est-à-dire de 500 à 40 000 $, avec d’éventuels suppléments de 10 % pour une faille importante et 20 % pour une faille critique.

Sur cette liste d’« autres vulnérabilités » figurent par exemple :

L’élévation de privilèges hors des conditions spécifiées dans le manifeste d’une application
La modification des règles de pare-feu de sorte à accepter les communications sortantes vers des domaines non autorisés
L’exécution de code non signé, à l’exception des techniques de type ROP

La partie services cloud d’Azure Sphere n’entre pas dans le cadre de ce bug bounty.

Illustration principale © Andrea Danti – Shutterstock.com