마이크로소프트, 애저 스피어 IoT 기기 보안 위해 10만 달러 버그 바운티 걸었다

애저 스피어를 뚫는 사람에게 10만 달러 상금을 지급합니다.

IoT 제품 보안 강화를 위해 마이크로소프트가 윤리적 해커들에게 애저 스피어(Azure Sphere) 침투에 성공하면 10만 달러 버그 바운티를 제공합니다.

이번 '스피어 보안 연구 챌린지'에서는 버그 헌터들이 침투 시도 중 회사 기술팀과 직접 소통할 수 있습니다.

마이크로소프트 스피어는 세 부분으로 구성됩니다:

• 스피어 OS: 마이크로소프트가 만든 리눅스 커스텀 버전
• 커스텀 실리콘: 미디어텍, NXP, 퀄컴 등 파트너사 생산
• 애저 클라우드에서 실행되는 보안 서비스

마이크로소프트는 이번 해킹 챌린지에서 두 개의 10만 달러 상금을 걸었습니다. 첫 번째 상금은 플루트론(Pluton) — 스피어 마이크로컨트롤러에 신뢰의 뿌리를 제공하는 보안 서브시스템 — 에 침투해 코드를 실행하는 첫 번째 해커에게 수여됩니다. 이 시스템은 런타임 서비스를 제공하기 전에 선택된 소프트웨어 구성 요소를 로드하는 안전한 부팅 프로세스를 실행합니다.

시큐어 월드(Secure World)에 침투해 코드를 실행하는 첫 번째 해커에게 두 번째 상금이 주어집니다. 스피어의 운영 모드 중 하나인 시큐어 월드는 마이크로소프트가 작성한 코드만 실행하도록 엄격하게 잠겨 있습니다. 보안 모니터가 메모리 같은 민감한 하드웨어를 보호하고 플루트론 접근을 제어합니다.

참가자들은 기기 물리적 공격 금지 등 특정 조건을 준수해야 합니다. 마이크로소프트는 기존 애저 버그 바운티 프로그램에 해당하는 다른 공격에도 더 낮은 상금을 지급하며, 최대 20% 보너스 지급도 가능합니다. 해당 공격 유형:

• 네트워크에서 코드 실행 (리눅스 네트워킹 데몬)
• 기기 인증 스푸핑
• 예상치 못한 권한 상승
• 수정해서는 안 되는 소프트웨어 및 구성 옵션 변경, 또는 마이크로프로세서 하드웨어에 내장된 방화벽을 변경해 스피어 기기가 승인되지 않은 대상과 통신하게 만들기

챌린지는 2020년 6월 1일부터 8월 31일까지 진행됩니다.