Компания Microsoft объявила о готовности выплатить премию, размером до ста тысяч долларов, за выявление бреши в IoT-платформе Azure Sphere, построенной на базе ядра Linux и применяющей sandbox-изоляцию для основных сервисов и приложений. Премия обещана за демонстрацию уязвимостей в подсистеме Pluton  (корень доверия, реализованный в чипе) или Secure World (sandbox)...

Подробнее: https://www.opennet.me/opennews/art.shtml?num=52892

• Microsoft назначил премию в $100000 за выявление уязвимости ...,ryoken, 09:46 , 07-Май-20
  • Microsoft назначил премию в $100000 за выявление уязвимости ...,Аннонним, 09:58 , 07-Май-20
  • Microsoft назначил премию в $100000 за выявление уязвимости ...,Аноним, 10:20 , 07-Май-20
  • Microsoft назначил премию в $100000 за выявление уязвимости ...,Аноним, 11:04 , 07-Май-20
• Microsoft назначил премию в $100000 за выявление уязвимости ...,Аноним, 10:11 , 07-Май-20
  • Microsoft назначил премию в $100000 за выявление уязвимости ...,Аноним, 10:22 , 07-Май-20
• Microsoft назначил премию в $100000 за выявление уязвимости ...,Аноним, 11:02 , 07-Май-20
  • Microsoft назначил премию в $100000 за выявление уязвимости ...,Аноним, 11:38 , 07-Май-20
• Microsoft назначил премию в $100000 за выявление уязвимости ...,Аноним, 11:36 , 07-Май-20
  • Microsoft назначил премию в $100000 за выявление уязвимости ...,Аноним, 19:38 , 07-Май-20
• Microsoft назначил премию в $100000 за выявление уязвимости ...,ютуб ютубов, 12:24 , 07-Май-20
  • Microsoft назначил премию в $100000 за выявление уязвимости ...,Led, 12:46 , 07-Май-20
    • Microsoft назначил премию в $100000 за выявление уязвимости ...,ютуб ютубов, 13:49 , 07-Май-20
    • Microsoft назначил премию в $100000 за выявление уязвимости ...,Аноним, 07:23 , 08-Май-20
• Microsoft назначил премию в $100000 за выявление уязвимости ...,Аноним, 12:31 , 07-Май-20
• Microsoft назначил премию в $100000 за выявление уязвимости ...,Аноним, 12:33 , 07-Май-20
• Microsoft назначил премию в $100000 за выявление уязвимости ...,YetAnotherOnanym, 12:54 , 07-Май-20
• Microsoft назначил премию в $100000 за выявление уязвимости ...,Аноним, 13:06 , 07-Май-20
  • Microsoft назначил премию в $100000 за выявление уязвимости ...,Аноним, 13:08 , 07-Май-20
• Microsoft назначил премию в $100000 за выявление уязвимости ...,ха, 15:17 , 07-Май-20
• Microsoft назначил премию в $100000 за выявление уязвимости ...,microsoft, 17:48 , 07-Май-20
• Microsoft назначил премию в $100000 за выявление уязвимости ...,Страдивариус, 20:07 , 07-Май-20
  • Microsoft назначил премию в $100000 за выявление уязвимости ...,YetAnotherOnanym, 21:19 , 07-Май-20
    • Microsoft назначил премию в $100000 за выявление уязвимости ...,Страдивариус, 21:23 , 07-Май-20
    • Microsoft назначил премию в $100000 за выявление уязвимости ...,MS, 12:46 , 08-Май-20
• Microsoft назначил премию до $100000 за выявление уязвимости...,Lex, 21:06 , 07-Май-20
• Microsoft назначил премию до $100000 за выявление уязвимости...,vlpoliakov, 10:09 , 08-Май-20
• Microsoft назначил премию до $100000 за выявление уязвимости...,Аноним, 17:48 , 08-Май-20
• Microsoft назначил премию до $100000 за выявление уязвимости...,Аноним, 12:09 , 08-Мрт-21

А сколько граждане жулики за такие дырки согласны отдать денег?

Вы имеете в виду плату от заказчиков таких бэкдоров, которые нельзя обнаружить даже за 100000$?

Зависит от того, сколько на этой дырке можно заработать.
Массовая эксплуатация уязвимости неизбежно привлечёт к ней внимание, и кто-то ее переоткроет и получится свои стотыщ. Плюс само наличие официальной баг баунти программы означает высокий риск того, что купленную на чёрном рынке уязвимость может найти кто-то другой уже завтра.
Так что для не особо широко используемого продукта на чёрном рынке вряд ли заплатят больше объявленного бонуса.

Зато теперь когда никто никаких дыр можно бесплатно говорить что дистр безопасный. Хотя майки сами туда бекдоры и вставили.

> подсистема Pluton, предназначенная для предоставления аппаратных средств для шифрования, хранения закрытых ключей и выполнения сложных криптографических операций

Такие вещи должны математически верифицироваться и доказывается невозможность взлома.

Вместо этого M$ предлагает поискать дыру и продать найденное ейже.

Конечно дыру поищут. А вот продадут ли ее M$ - это вопрос.

Верификация не защищает от уязвимостей в зависимостях. Верифицировать же все зависимости нереально.

Это надо чтобы хоть кто-то начал ее изучать и пользоваться. А 100к это морковка чтобы ослы за ней потянулись.

именно. лучше бы пообещали 100к первому опеннет комментатору, который выучит русский язык

>в 100 000 долларов
>ДО ста тысяч долларов

Ясно.

Понятно.

всё, пошел искать уязвимости. сто тысяч долларов лишними не будут

Лучше иди искать сто тысяч долларов - для тебя это реальнее.

И мне не указывай, я лучше тебя знаю, что мне делать

Как и для тебя.

> `в соответствии с которым в приватных репозиториях на GitHub размещаются проекты, которые должны стать публичными в течение 30 дней. `

чиво? нет такого

блин вы уточняйте, что это репозитории от Майкрософта,а не юзеров, Майкрософт же купил гитхаб

>  Azure Sphere

Мда... Взять клиентов на такой короткий поводок - MS превзошли самих себя.

>>назначил премию в $100000 за выявление уязвимости...

и

>>объявила о готовности выплатить премию, размером до ста тысяч >>долларов, за выявление бреши...

никто кроме меня не видит в этом принципиальной разницы?!!!

>>назначил премию в $100000

и
>>готовности выплатить до ста тысяч долларов

КАРЛ?!
!!!!

Верните в зад старый ламповый опеннет!!!!

Что здесь делает эта реклама проприетарного сервиса?

Нууу пока прайс не подростет раз в 10...

Кто нибудь расскажет причем здесь IoT?

> Кто нибудь расскажет причем здесь IoT?

При том, что MS пропихивает концепцию IoT, в которой устройства оснащены микроконтроллером с прошивкой на основе Linux, в которой каждый чих и каждый пук делаются через облачный сервис, развёрнутый на Азуре.

>> Кто нибудь расскажет причем здесь IoT?
> При том, что MS пропихивает концепцию IoT, в которой устройства оснащены микроконтроллером
> с прошивкой на основе Linux, в которой каждый чих и каждый
> пук делаются через облачный сервис, развёрнутый на Азуре.

Нихера се IoT. То, что с Linux на борту - это уже не IoT, а полноценный компьютер фактически.

Это не мы ее пропихиваем - ее уже индусы до нас пропихнули.

Ну ты же хочешь приложеньице на мабилочке, чтоб спустить воду в унитазе уже доехав до работы? Ну и как тебе эту фичечку предоставить без облачкоооов?

И я бы на твоем месте - выбирал наше решение - потому что уже было минимум две истории (гуг... бингуй) когда индусский стартап превращался в тыкву из-за того что Ипать Раджа сбежал со всеми деньгами, и в результате умные дома превращались в сараи без света и отопления (иногда еще и приходилось звонить 911, потому что входная дверь была шибкоумная и запирала хозя....жильца внутри, поскольку команды от хозяина на открытие не получала).

“в Microsoft имеется правило, в соответствии с которым в приватных репозиториях на GitHub размещаются проекты, которые должны стать публичными в течение 30 дней”

-Однако самое главное, как всегда, мельком и между строк.
Собсно, это всё, что нужно знать о гитхабовской безопасности даже по меркам владельца гитхаба...

как это на линукс?!!

> Azure Sphere, построенной на базе ядра Linux

я не понял, они эту шляпу ещё продают? А GPL вот это всё?

дыры стоят дороже чем они предлагают