Доступ к виртуальным мирам с домашнего компьютера через веб-браузер и возможность безопасного и конфиденциального взаимодействия с другими людьми — вот что обещают платформы метавселенной.
Исследователь CISPA Андреа Менгасчини провел проверку этого обещания реальностью и обнаружил значительные риски с точки зрения отсутствия конфиденциальности и опасности кибератак. Он представил свое исследование « Новая игровая площадка Большого брата. Разоблачение иллюзии конфиденциальности в веб-метавселенных с точки зрения злонамеренного пользователя » на Конференции по компьютерной и коммуникационной безопасности (CCS) осенью 2024 года.
«Я всегда интересовался виртуальной реальностью и онлайн-играми», — сказал исследователь CISPA Андреа Менгасчини. Когда он и его руководитель исследовательской группы, профессор кафедры CISPA доктор Джанкарло Пеллегрино, начали изучать безопасность гарнитур виртуальной реальности, они обнаружили нечто интересное: «Мы поняли, что это та же технология, которая используется в онлайн-играх и в метавселенных», — говорит Менгасчини.
Он определяет метавселенную как «виртуальное социальное пространство, в котором люди могут взаимодействовать по правилам, которые в некотором роде отражают правила физического мира». Хотя безопасность онлайн-игр была исследована и защита была реализована, это все еще оставалось открытым вопросом в отношении платформ метавселенной. Это то, что привлекло внимание Менгасцини.
«Доступ к метавселенной стал намного проще в последние годы», — объясняет Менгасцини. «Сегодня для входа в эти комнаты вам нужен только обычный веб-браузер. Благодаря интерфейсу API WebXR также можно использовать гарнитуру виртуальной реальности».
В Метавселенной люди находят своего рода цифровую копию реального мира: здесь есть комнаты для частных встреч, больших и малых публичных мероприятий, веселья и развлечений.
«Эти платформы работают как веб-клиенты и используют JavaScript для управления сложными 3D-средами, аватарами пользователей и взаимодействиями в реальном времени. Все это не только имеет решающее значение для бесперебойной работы Метавселенной, но и играет важную роль в ее безопасности», — говорит исследователь. Целью Менгасцини было выяснить, есть ли какие-либо уязвимости в безопасности при доступе к Метавселенной через веб-браузеры.
Вопросы и подход исследователя
В своем исследовании Менгасчини поставил три конкретных вопроса:
- Какие сущности, такие как пользователи и объекты, существуют в метавселенных и какие атрибуты, такие как положение, внешний вид и т. д., им присвоены?
- Где именно хранятся эти элементы в памяти и какой доступ к этой памяти могут получить злоумышленники?
- Как можно использовать память для атак?
С помощью поиска Google исследователь CISPA сначала определил 27 платформ метавселенной, которые используют интерфейс API WebXR. На следующем этапе он более подробно изучил три из них, поскольку они показали наилучшие результаты с точки зрения популярности, активности пользователей, интернет-трафика и освещения реальных событий. Метод Менгасцини заключался в создании так называемых снимков памяти, снимков объектов, хранящихся в памяти.
Снимки делались до и после выполнения определенного действия, например, перемещения аватара из точки А в точку Б. После этого использовался алгоритм для проверки того, произошли ли какие-либо изменения и можно ли прочитать эту информацию из памяти веб-браузера.
Воспоминания легкодоступны
«Самым важным открытием является то, что на этих платформах отсутствуют самые элементарные механизмы безопасности», — объясняет Менгасчини.
«Главная проблема в том, что доступ к памяти браузеров слишком прост». Даже неспециалист может получить доступ как к исходному коду, так и к реальным объектам в памяти, немного попрактиковавшись.
«Мы также обнаружили, что эти платформы нарушили общепринятые практики кодирования при разработке веб-приложений», — продолжает исследователь CISPA.
«Разработчики этих платформ упустили из виду тот факт, что из-за сочетания непроверенной клиентской информации и чрезмерного раскрытия информации клиенту возможны атаки».
Чтобы проиллюстрировать, что все это означает на конкретном языке, Менгасчини приводит пример: «Предположим, что существует метавселенная CISPA, в которой представлена точная копия нашего здания. Это означало бы, что компьютер каждого пользователя получал бы всю информацию о том, что в данный момент происходит в CISPA: кто с кем разговаривает в какой комнате, где физически находятся отдельные люди и как они двигаются, включая точное положение стен.
«Исходя из этого, мой компьютер вычисляет виртуальную среду и обеспечивает, например, то, что я не могу слушать разговоры в кабинете директора из-за стены. Однако браузер получает информацию о том, что говорят в комнате. И это плохо.
«Даже если вы не можете прослушать разговор с помощью обычного клиента, злоумышленники могут легко извлечь эту информацию. Поэтому важно не разглашать слишком много информации».
Возможные сценарии атак
По словам Менгасчини, эта брешь в безопасности порождает ряд возможных сценариев атак. Ключевым выводом является то, что злоумышленники могут контролировать аватар и положение камеры злоумышленников и жертв, а также их внешний вид независимо друг от друга. Например, злоумышленники могут перемещать свою камеру независимо от своего аватара, объясняет Менгасчини.
«Это позволяет злоумышленникам незаметно располагаться в комнате и слушать», — продолжает Менгасцини. Другая возможность заключается в том, что злоумышленники могут просматривать содержимое камеры другого пользователя, не замечая его.
«Это как если бы злоумышленники надевали очки виртуальной реальности на пользователя, не осознавая этого», — объясняет исследователь. Чтобы предотвратить это, серверу пришлось бы сохранять как можно больше информации, что привело бы к увеличению вычислительной мощности.
Новые вопросы для исследования
В соответствии с общепринятой практикой в исследованиях кибербезопасности, три платформы были проинформированы о пробелах в безопасности и получили время на их устранение. Ни одна из трех платформ этого еще не сделала, поэтому их имена в опубликованной статье по-прежнему анонимны.
«С точки зрения исследователя, я, очевидно, обеспокоен тем, что платформы не хотят сосредоточиться на безопасности или не имеют для этого людских ресурсов», — говорит Менгасцини. «Но в то же время я думаю, что у нас, как исследователей, теперь есть открытый исследовательский вопрос. Может быть, нам пора предложить механизмы безопасности, чтобы предотвратить атаки или, по крайней мере, усложнить их проведение».
И у него уже есть идеи относительно того, какие механизмы защиты можно реализовать. В частности, он планирует использовать знания, полученные при разработке онлайн-игр , и перенести их в Метавселенную. Однако Менгасцини осознает, что многие подходы также имеют недостатки и требуют обширного тестирования. Это вызов, который он хочет принять в ближайшем будущем.
