Google предлагает $ 1 миллион для взлома чипа безопасности Titan M

Google уже давно использует количество ошибок, чтобы помочь выявить недостатки безопасности в своих продуктах до того, как они появятся в атаках. Он также был одним из самых щедрых с выплатами за эти ошибки, но его последняя версия Программы вознаграждений за безопасность Android выводит вещи на совершенно новый уровень. Исследователи в области безопасности, обнаружившие изъяны в чипе безопасности Titan M компании, могут заработать до 1 миллиона долларов.

Чип безопасности Titan M дебютировал в Pixel 3 около года назад, но это был не совсем новый дизайн. До появления мобильного чипа Titan компания Google разработала аналогичный чип для своих серверов. В обоих случаях сценарий использования аналогичен - Titan - это микроконтроллер с низким энергопотреблением, который криптографически проверяет важные компоненты системы и хранит ваши самые важные данные отдельно от основной операционной системы.

Titan M - это уменьшенная версия серверного чипа (см. Выше), который поддерживает целостность программного обеспечения телефона Pixel. Идея иметь аппаратный защищенный элемент не нова. Чипы ARM имеют компонент под названием TrustZone, который отделен от основной ОС, и Apple имеет защищенный анклав на своих чипах серии A. Google Titan M - это совершенно отдельный аппаратный компонент, который даже не подключен к SoC, теоретически предлагая еще большую безопасность. Google зашел настолько далеко, что сделал Titan M ключом к вашей учетной записи Google, при условии, что вы настроили двухфакторную аутентификацию для проверки связи с вашим телефоном.

Все это разваливается, если Titan M недостаточно защищен от атак, поэтому Google предлагает большие деньги за эксплойты. Чтобы получить максимальную отдачу, исследователь должен предоставить «эксплойт с полной цепью удаленного выполнения кода с постоянством». Это означает метод нарушения безопасности Titan M без физического доступа к телефону таким образом, который дает злоумышленнику постоянный доступ. Другими словами, наихудший сценарий. Это заработало бы 1 миллион долларов, и есть дополнительный 50-процентный бонус за поиск активного эксплойта в конкретных версиях Android для разработчиков. Таким образом, это может быть зарплата в 1,5 миллиона долларов.

Маловероятно, что кто-то обнаружит такую уязвимость в чипе (компания выплатила в этом году 1,5 миллиона долларов), но Google хочет убедиться, что он предлагает достаточно, чтобы поощрить разработчиков выйти вперед. Частные охранные фирмы также предлагают большие деньги за эксплойты, и продавцы, продающие их, будут означать, что ошибка не будет исправлена, пока не произойдет что-то катастрофическое.

Читать далее

Лучшие системы безопасности умного дома

Когда-то являвшиеся нишевым бизнесом с несколькими традиционными игроками и несколькими стартапами, системы домашней безопасности теперь являются основным полем битвы не только для охранных компаний, но и для нескольких интернет-гигантов. Мы собрали самые популярные варианты на 2020 год.

Microsoft: чип Pluton обеспечит безопасность на уровне Xbox на ПК с Windows

Intel, AMD и Qualcomm работают над тем, чтобы сделать Pluton частью своих будущих проектов, что должно сделать ПК более трудным для взлома, но также встроит технологию Microsoft в ваше оборудование.

Исследователь безопасности: пароль компании solarwinds123 оставлен уязвимым в 2019 г.

SolarWinds, компания, оказавшаяся в центре массового взлома правительственных учреждений и корпораций США, не совсем использует передовые методы паролей.

Приложение для обмена файлами с миллиардом загрузок имеет серьезный недостаток безопасности

Trend Micro заявляет, что SHAREit - это кошмар безопасности, который может позволить злоумышленникам украдкой взглянуть на ваши данные или даже установить вредоносное ПО. Пожалуй, самое тревожное, что разработчики не ответили на предупреждения Trend Micro.