Est-il possible de casser la «réalité virtuelle»? Et si oui, alors pourquoi le faire? La réponse à la première question est oui, c'est possible. Les experts en sécurité de l'information au cours des dernières années ont démontré de graves vulnérabilités dans les développements VR populaires, notant que les attaquants peuvent les utiliser pour causer de réels dommages. Quant à la réponse à la question «pourquoi», elle dépend de la portée de la «réalité virtuelle».On observe maintenant, relativement parlant, la "troisième vague" de VR. Le concept même de «réalité virtuelle» dans sa forme moderne est devenu populaire dans les années 80. Cependant, à cette époque, il y avait déjà des projets divertissants, tels que Sensorama ou "The Sword of Damocles" (le premier casque de réalité virtuelle, primitif en capacités et lourdement déprimant), et de nombreux développements VR utilisés dans les domaines professionnels - médecine, aviation, conception technique, etc. Des simulateurs militaires, y compris aéronautiques, ont été développés et mis en œuvre avec différents degrés d’efficacité.
Une augmentation à court terme de la popularité des projets de divertissement VR a eu lieu dans les années 1990: les habitants de Moscou se souviendront probablement d'un magasin d'informatique à la fin des années 1990 à la maison du livre à Novy Arbat, où ils pouvaient jouer de vieux tireurs Doom ou Heretic dans un casque VR pour de l'argent Forte VFX1. Il s'agit d'une unité grande et lourde qui supportait des images stéréoscopiques en 256 couleurs, un son stéréo et, en outre, était équipée de moyens pour suivre la position de la tête de l'utilisateur. Mais la mode pour de tels appareils est apparue et est passée: les unités VR étaient coûteuses et peu fonctionnelles, et ne suscitaient donc pas d'intérêt de masse.
La technologie n'a mûri qu'au deuxième semestre des années 2010. En 2015-2016, des systèmes VR tels que Oculus Rift (pour les ordinateurs personnels), HTC Vive (également pour les ordinateurs personnels), Sony PlayStation VR (pour les consoles de jeux) et Samsung Gear VR (pour les appareils mobiles) sont apparus sur le marché. Tous ont rapidement envahi des dizaines, voire des centaines de titres de jeux; de nombreux jeux bien connus ont été finalisés et réédités spécifiquement pour la réalité virtuelle. Comme prévu, le jeu ne se limitait pas aux jeux. Par exemple, des applications spéciales ont été créées pour Rift pour visualiser des vidéos ou des films panoramiques sur un «grand écran» virtuel. Une variété de "salons virtuels" - VR-chats - existent pour toutes les plateformes modernes.
Maladies héréditaires
Les casques de réalité virtuelle ont suscité l'intérêt du secteur industriel et de plusieurs autres domaines professionnels, tels que la conception technique, la visualisation, la publicité, l'éducation. La croissance de la vitesse de connexion Internet a également joué un rôle important. Grâce à cela, la présence simultanée d'un nombre illimité d'utilisateurs dans un "espace virtuel" est possible. Et c'est là que les interférences non autorisées - «piratage de la réalité virtuelle» - prennent un sens et une signification pratiques.
Dans le même temps, la base des solutions VR modernes est constituée des technologies informatiques les plus courantes: les casques et lunettes VR fonctionnent uniquement en conjonction avec des ordinateurs grand public ou des appareils mobiles sur lesquels leurs composants logiciels sont lancés - des applications écrites pour des environnements standard dans des langages de programmation bien connus. Et ils, comme le montre la pratique, sont vulnérables.
En 2018, les experts en sécurité Alex Radocea et Philip Pettersson ont
démontré de graves vulnérabilités dans VRChat, Steam VR et High Fidelity (une plate-forme VR open source indépendante).
Les vulnérabilités de VRChat se sont révélées particulièrement désagréables: un attaquant peut non seulement tout voir et entendre de la même manière qu'un utilisateur légitime, mais également modifier les composants visuels et acoustiques en déplacement. C'est, entre autres, de provoquer des attaques psychologiques contre la victime. En plus de cela, un attaquant pourrait introduire des exploits dans l'espace VR et avec leur aide capturer le contrôle total ou partiel sur les ordinateurs personnels via lesquels les utilisateurs se sont connectés à ce chat, y compris l'espionnage et l'écoute des victimes via des webcams, des microphones intégrés, etc. Pour infecter un utilisateur, connectez-vous simplement au chat VR; le malware envoie ensuite des invitations à la même conversation à ses contacts. Théoriquement, une telle épidémie aurait pu couvrir tous les utilisateurs de VRChat et Steam VR en général.
La vidéo ci-dessous montre ce que voit la personne dont l'application VR est attaquée:
Début 2019, des experts de l'Université de New Haven ont
décrit le piratage d'une autre application VR populaire, Bigscreen, créée sur le moteur Unity. En exploitant les vulnérabilités de l'application elle-même et du moteur, le pirate est en mesure de manière invisible pour l'utilisateur d'activer le microphone intégré à l'ordinateur et d'écouter les conversations personnelles; voir tout ce qui est affiché sur l'écran de la victime, télécharger et exécuter des programmes arbitraires sur l'ordinateur de l'utilisateur cible et envoyer des messages au nom de la victime. De plus, un attaquant peut se connecter à toutes les salles de réalité virtuelle, y compris les salles purement privées, tout en restant invisible pour les autres utilisateurs; créer un malware auto-répliquant qui infectera tous ceux qui se connectent à la même «salle» dans laquelle se trouve déjà le «patient nul». Cela ouvre la possibilité à un attaquant de cyberespionnage et de propagation de logiciels malveillants, y compris les chevaux de Troie bancaires et les rançongiciels ransomware.
Du voyeurisme et de l'infection au cyberespionnage et au cyberterrorisme
Dans une situation où les applications VR sont utilisées pour un travail réel sur des projets commerciaux (et non pour la communication ou les jeux), les attaques contre la réalité virtuelle peuvent entraîner des conséquences encore plus désastreuses. L'ampleur de la catastrophe lors d'un piratage réussi sera déterminée par les données auxquelles l'attaquant peut accéder et les solutions VR utilisées pour un usage professionnel. Un attaquant peut-il accéder aux comptes bancaires des utilisateurs via un système VR? Peut-il paralyser les systèmes utilisateurs avec des ransomwares? Peut-il utiliser un ordinateur avec un système VR comme point d'accès pour envahir le réseau d'entreprise? Pourquoi pas, si le même ordinateur portable, par exemple, est utilisé à la fois pour le divertissement à domicile et sur le lieu de travail (nous avons déjà
parlé d'autres dangers du BYOD plus tôt).
À mesure que la portée de la RV s'élargit, les risques augmentent également. Des solutions liées à la réalité virtuelle ou augmentée (VR / AR) sont déjà utilisées en médecine (voir par exemple les
projets Luna VR Health et
XRHealth ). Les solutions VR / AR sont également utilisées dans l'industrie; par exemple,
pour contrôler des robots industriels (juste utilisé Oculus Rift). Il est facile d'imaginer quelles sont les conséquences d'une attaque sur un robot via un système VR ou une solution médicale.
Encore une fois, quel que soit le scénario de l'attaque potentielle, la racine du problème réside dans les erreurs logicielles des développeurs. Dans la plupart des cas, les attaquants recherchent des moyens simples: plus l'exploitation de la vulnérabilité est simple et plus les dégâts peuvent être causés, plus la probabilité d'une attaque est élevée. Cependant, la menace diminuera considérablement si les utilisateurs sont plus scrupuleux sur la protection des appareils finaux, et les fabricants de systèmes VR utilisent le concept de développement sécurisé lors de l'écriture de shell logiciels. Autrement dit, pour appliquer une protection complète contre les cybermenaces, qui seront de plus en plus demandées au cours de l'année à venir et au-delà. Cela s'applique non seulement au développement de solutions VR, mais également au développement global de produits logiciels et de solutions industrielles, comme le dit Trend Micro
dans ses prévisions . Mais c'est une autre histoire dont nous pouvons parler dans l'un des articles suivants.