मैं वीआर को कैसे और क्यों हैक कर सकता हूं

क्या "आभासी वास्तविकता" को क्रैक करना संभव है? और यदि ऐसा है, तो ऐसा क्यों? पहले प्रश्न का उत्तर हां है, यह संभव है। पिछले कुछ वर्षों में सूचना सुरक्षा विशेषज्ञों ने लोकप्रिय वीआर-घटनाक्रमों में गंभीर कमजोरियों का प्रदर्शन किया है, यह देखते हुए कि हमलावर वास्तविक नुकसान का कारण बन सकते हैं। प्रश्न के उत्तर के लिए "क्यों," यह "आभासी वास्तविकता" के दायरे पर निर्भर करता है।

अब देखा गया है, अपेक्षाकृत, वीआर की "तीसरी लहर"। अपने आधुनिक रूप में "आभासी वास्तविकता" की बहुत अवधारणा 1980 के दशक में लोकप्रिय हो गई। हालाँकि, उस समय तक पहले से ही मनोरंजक परियोजनाएं थीं, जैसे कि सेंसोरामा या "द स्वॉर्ड ऑफ डैमोकल्स" (आभासी वास्तविकता का पहला हेलमेट, क्षमताओं में आदिम और निराशाजनक रूप से बोझिल), और पेशेवर क्षेत्रों में उपयोग किए जाने वाले कई वीआर-घटनाक्रम - दवा विमानन, इंजीनियरिंग डिजाइन, आदि। सैन्य सिमुलेटर, विमानन लोगों सहित, विकसित और अलग-अलग डिग्री के साथ लागू किए गए थे।

1990 के दशक में वीआर मनोरंजन परियोजनाओं की लोकप्रियता में एक अल्पकालिक उछाल आया: मॉस्को के निवासियों को शायद 1990 के दशक के अंत में नोवी अरबट के बुक हाउस में एक कंप्यूटर स्टोर याद होगा, जहां वे पैसे के लिए वीआर हेलमेट में पुराने डूम या हेरिटिक शूटर खेल सकते थे। फोर्ट वीएफएक्स 1। यह एक बड़ी और भारी इकाई है जो 256 रंगों, स्टीरियो साउंड में स्टीरियोस्कोपिक छवियों का समर्थन करती है और इसके अलावा, उपयोगकर्ता के सिर की स्थिति को ट्रैक करने के लिए साधनों से सुसज्जित थी। लेकिन ऐसे उपकरणों के लिए फैशन दोनों दिखाई दिए और पारित हो गए: वीआर-इकाइयां महंगी थीं और बहुत कार्यात्मक नहीं थीं, और इसलिए बड़े पैमाने पर ब्याज का कारण नहीं था।

2010 के उत्तरार्ध में प्रौद्योगिकी केवल परिपक्व हुई। 2015-2016 में, वीआर-सिस्टम जैसे ओकुलस रिफ्ट (व्यक्तिगत कंप्यूटरों के लिए), एचटीसी विवे (पर्सनल कंप्यूटरों के लिए भी), सोनी प्लेस्टेशन वीआर (गेम कंसोल के लिए) और सैमसंग गियर वीआर (मोबाइल उपकरणों के लिए) बाजार में दिखाई दिए। उन सभी को बहुत जल्दी दर्जनों, या यहां तक ​​कि सैकड़ों खेल खिताबों के साथ उखाड़ फेंका गया; कई प्रसिद्ध खेलों को अंतिम रूप दिया गया है और विशेष रूप से वीआर के लिए फिर से जारी किया गया है। जैसा कि अपेक्षित था, खेल केवल खेल तक सीमित नहीं था। उदाहरण के लिए, आभासी "बड़ी स्क्रीन" पर मनोरम वीडियो या फिल्में देखने के लिए रिफ्ट के लिए विशेष एप्लिकेशन बनाए गए हैं। "आभासी रहने वाले कमरे" की एक किस्म - वीआर-चैट - सभी आधुनिक प्लेटफार्मों के लिए मौजूद हैं।

वंशानुगत रोग

आभासी वास्तविकता के हेलमेट ने औद्योगिक क्षेत्र और कई अन्य व्यावसायिक क्षेत्रों, जैसे कि इंजीनियरिंग डिजाइन, विज़ुअलाइज़ेशन, विज्ञापन, शिक्षा से दिलचस्पी को आकर्षित किया है। इंटरनेट कनेक्शन की गति में वृद्धि द्वारा एक महत्वपूर्ण भूमिका भी निभाई गई थी। इसके लिए धन्यवाद, एक "वर्चुअल स्पेस" में असीमित संख्या में उपयोगकर्ताओं की एक साथ उपस्थिति संभव है। और यह वह जगह है जहाँ अनधिकृत हस्तक्षेप - "हैकिंग वर्चुअल रियलिटी" - व्यावहारिक अर्थ और महत्व लेता है।

इसी समय, आधुनिक वीआर समाधान का आधार सबसे आम कंप्यूटर प्रौद्योगिकियों से बना है: वीआर हेलमेट और चश्मा केवल उपभोक्ता कंप्यूटर या मोबाइल उपकरणों के साथ मिलकर काम करते हैं, जिस पर उनके सॉफ्टवेयर घटक लॉन्च किए जाते हैं - प्रसिद्ध प्रोग्रामिंग भाषाओं में मानक वातावरण के लिए लिखे गए अनुप्रयोग। और वे, जैसा कि अभ्यास से पता चलता है, कमजोर हैं।

2018 में, सुरक्षा विशेषज्ञ एलेक्स रैडोसे और फिलिप पेटर्सन ने वीआरचैट, स्टीम वीआर और हाई फिडेलिटी (एक स्वतंत्र ओपन सोर्स वीआर प्लेटफॉर्म) में गंभीर कमजोरियों का प्रदर्शन किया ।

VRChat की कमजोरियां विशेष रूप से अप्रिय निकलीं: एक हमलावर न केवल एक वैध उपयोगकर्ता के रूप में सब कुछ देख और सुन सकता है, बल्कि दृश्य और ध्वनिक घटकों को भी बदल सकता है। यही है, अन्य बातों के अलावा, पीड़ित पर मनोवैज्ञानिक हमलों का उत्पादन करने के लिए। इसके शीर्ष पर, एक हमलावर वीआर स्पेस में और उनकी मदद से पर्सनल कंप्यूटर पर पूर्ण या आंशिक नियंत्रण पर कब्जा कर सकता है, जिसके माध्यम से उपयोगकर्ता इस चैट से जुड़े होते हैं, जिसमें जासूसी और पीड़ितों पर वेबकैम, बिल्ट-इन माइक्रोफोन, आदि के माध्यम से शामिल हैं। एक उपयोगकर्ता को संक्रमित करने के लिए, बस वीआर चैट में लॉग इन करें; मैलवेयर तब उसी चैट को अपने संपर्कों को निमंत्रण भेजता है। सैद्धांतिक रूप से, ऐसी महामारी सामान्य रूप से सभी वीआरचैट और स्टीम वीआर उपयोगकर्ताओं को कवर कर सकती है।

नीचे दिए गए वीडियो में दिखाया गया है कि वह व्यक्ति जिसके वीआर एप्लिकेशन पर हमला हुआ है वह देखता है:


2019 की शुरुआत में, न्यू हेवन विश्वविद्यालय के विशेषज्ञों ने एकता इंजन पर बनाए गए एक अन्य लोकप्रिय वीआर एप्लिकेशन, बिगस्क्रीन की हैकिंग का वर्णन किया । आवेदन में और इंजन में कमजोरियों का शोषण करके, पटाखा अदृश्य रूप से उपयोगकर्ता के लिए कंप्यूटर में निर्मित माइक्रोफ़ोन को चालू करने और व्यक्तिगत बातचीत पर छिपकर देखने में सक्षम है; पीड़ित के प्रदर्शन पर दिखाई जाने वाली सभी चीज़ों को देखें, लक्ष्य उपयोगकर्ता के कंप्यूटर पर मनमाने ढंग से प्रोग्राम डाउनलोड करें और चलाएं और पीड़ित की ओर से संदेश भेजें। इसके अलावा, एक हमलावर किसी भी वीआर-कमरों से जुड़ सकता है, जिसमें विशुद्ध रूप से निजी लोग शामिल हैं, जबकि अन्य उपयोगकर्ताओं के लिए अदृश्य रहते हैं; एक स्व-प्रतिकृति मैलवेयर बनाएं जो हर किसी को उसी "कमरे" से जोड़ता है, जिसमें "अशक्त रोगी" पहले से ही स्थित होगा। यह साइबर जासूसी के लिए एक हमलावर के लिए एक अवसर खोलता है और मैलवेयर फैलता है, जिसमें बैंकिंग ट्रोजन और रैंसमवेयर रैंसमवेयर शामिल हैं।

वायुर्यवाद और संक्रमण से लेकर साइबर जासूसी और साइबर आतंकवाद तक

ऐसी स्थिति में जहां वाणिज्यिक परियोजनाओं पर वास्तविक काम के लिए वीआर अनुप्रयोगों का उपयोग किया जाता है (और संचार या गेम के लिए नहीं), आभासी वास्तविकता पर हमले और भी भयानक परिणाम हो सकते हैं। एक सफल हैक के दौरान आपदा का पैमाना यह निर्धारित किया जाएगा कि हमलावर को कौन सा डेटा मिल सकता है और व्यावसायिक उपयोग के लिए वीआर समाधान का उपयोग किया जाता है। क्या एक वीआर सिस्टम के माध्यम से एक हमलावर उपयोगकर्ता के बैंक खातों तक पहुंच प्राप्त कर सकता है? क्या यह रैंसमवेयर वाले यूजर सिस्टम को लकवा मार सकता है? क्या वह कॉर्पोरेट नेटवर्क पर आक्रमण करने के लिए एक वीआर सिस्टम के साथ एक कंप्यूटर का उपयोग कर सकते हैं? क्यों नहीं, अगर एक ही लैपटॉप, उदाहरण के लिए, दोनों घर के मनोरंजन के लिए और कार्यस्थल में उपयोग किया जाता है (हमने पहले ही BYOD के अन्य खतरों के बारे में बात की थी)।

जैसे-जैसे वीआर का दायरा बढ़ता है, वैसे-वैसे जोखिम भी उठाते हैं। आभासी या संवर्धित वास्तविकता (वीआर / एआर) से संबंधित समाधान पहले से ही चिकित्सा में उपयोग किया जाता है (उदाहरण के लिए, लूना वीआर हेल्थ और एक्सआरथेलीन )। वीआर / एआर समाधान उद्योग में भी उपयोग किए जाते हैं; उदाहरण के लिए, औद्योगिक रोबोट को नियंत्रित करने के लिए (बस ओकुलस रिफ्ट का इस्तेमाल किया गया)। यह कल्पना करना आसान है कि एक वीआर सिस्टम या चिकित्सा समाधान के माध्यम से रोबोट पर हमले के परिणाम क्या हैं।

फिर से, संभावित हमले के परिदृश्य की परवाह किए बिना, समस्या की जड़ डेवलपर्स की सॉफ़्टवेयर त्रुटियों में निहित है। ज्यादातर मामलों में, हमलावर सरल तरीकों की तलाश करते हैं: भेद्यता का शोषण जितना सरल होगा और जितना अधिक नुकसान हो सकता है, हमले की संभावना उतनी ही अधिक होगी। हालांकि, खतरे की डिग्री में तेजी से कमी आएगी यदि उपयोगकर्ता अंत उपकरणों की सुरक्षा में अधिक निपुण हैं, और वीआर सिस्टम के निर्माता सॉफ्टवेयर शेल लिखते समय सुरक्षित विकास की अवधारणा का उपयोग करते हैं। यही है, साइबर खतरों के खिलाफ व्यापक सुरक्षा को लागू करना, जो आने वाले वर्ष और उससे आगे की मांग में अधिक से अधिक होगा। यह न केवल वीआर समाधानों के विकास पर लागू होता है, बल्कि सॉफ्टवेयर उत्पादों और औद्योगिक समाधानों के समग्र विकास के लिए भी होता है, जैसा कि ट्रेंड माइक्रो अपने पूर्वानुमान में कहता है । लेकिन यह एक और कहानी है जिसके बारे में हम निम्नलिखित पोस्ट में से एक में बात कर सकते हैं।