Les scientifiques ont identifié une faille de sécurité dans Réalité virtuelle (VR) Des écouteurs qui pourraient permettre aux pirates d'accéder à des informations privées à l'insu de celui qui les porte.
Un pirate informatique peut insérer une nouvelle « couche » entre l'utilisateur et la source d'image normale de l'appareil. Les pirates pourraient alors déployer une fausse application dans un casque VR qui pourrait inciter l'utilisateur à se comporter de manière spécifique ou à renoncer à ses données. C'est ce qu'on appelle la « Couche Primaire », une référence au thriller de science-fiction de Chris Nolan de 2010 dans lequel des agents espions infiltrent l'esprit d'une cible et y implantent une idée que la cible suppose être la sienne.
L'« attaque par éclaboussure » de réalité virtuelle a été détaillée dans un article téléchargé le 8 mars sur un serveur de prépublication. arXivL'équipe l'a testé avec succès sur toutes les versions du casque Meta Quest.
Les chercheurs ont trouvé plusieurs façons possibles d'accéder au casque VR, allant de l'accès au réseau Wi-Fi d'une victime au « chargement latéral », c'est-à-dire lorsqu'un utilisateur installe une application (potentiellement chargée de logiciels malveillants) à partir d'une boutique d'applications non officielle. Ces applications prétendent alors être l’environnement VR sous-jacent ou être une application légitime.
Les scientifiques ont déclaré dans leur article que tout cela est possible parce que les casques de réalité virtuelle ne disposent pas de protocoles de sécurité aussi puissants que ceux des appareils plus courants tels que les smartphones ou les ordinateurs portables.
Grâce à cette nouvelle fausse couche, les pirates peuvent alors contrôler et manipuler les interactions dans un environnement de réalité virtuelle. L'utilisateur ne se rendra même pas compte qu'il consulte et utilise une version malveillante d'une application qu'il utilise pour communiquer avec des amis, par exemple.
à propos de: Des « hackers au chapeau blanc » volent une Tesla à l'aide d'appareils légaux et bon marché – révélant ainsi des failles de sécurité majeures dans la voiture
Quelques exemples de ce qu'un attaquant pourrait faire incluent la modification du montant d'argent transféré – et sa destination – dans toute transaction en ligne et l'enregistrement des informations d'identification d'une personne lorsqu'elle se connecte au service. Les pirates peuvent également ajouter une fausse application VRChat et l'utiliser pour écouter une conversation ou modifier l'audio en direct à l'aide de l'intelligence artificielle (IA) pour se faire passer pour un participant.
« Les casques de réalité virtuelle ont la capacité d’offrir aux utilisateurs une expérience hautement immersive comparable à la réalité elle-même », affirment les scientifiques dans leur article. « Le revers de la médaille de ces capacités immersives est que, lorsqu’ils sont mal utilisés, les systèmes VR peuvent faciliter des attaques de sécurité aux conséquences bien plus graves que les attaques traditionnelles. »
Ils ont affirmé que les entrées sensorielles immersives peuvent donner aux utilisateurs un faux sentiment de confort, les rendant plus susceptibles de renoncer à des informations privées et de faire confiance à ce qu'ils voient que dans d'autres environnements informatiques.
Les attaques VR peuvent également être difficiles à détecter car l’environnement est conçu pour ressembler aux interactions du monde réel, plutôt qu’aux invites que vous voyez dans l’informatique traditionnelle. Lorsqu’ils ont testé la vulnérabilité sur 28 participants, seuls 10 d’entre eux ont détecté une attaque en cours – qui était un « problème » passager dans le champ visuel comme un léger scintillement dans une image.
Les chercheurs ont répertorié dans leur article plusieurs mécanismes de défense potentiels contre de telles attaques, mais ont déclaré que les fabricants devraient informer les utilisateurs de tout signe indiquant que leurs écouteurs ont été attaqués. Ceux-ci incluent des anomalies visuelles mineures et des problèmes.
Ils ont ajouté que de telles attaques pourraient devenir plus courantes avec le temps. Mais il est encore temps pour des entreprises comme Meta de créer et de déployer des contre-mesures avant que les casques VR ne deviennent plus populaires et que les cybercriminels ne les considèrent comme un moyen efficace de lancer une attaque.