La malice dans le métavers : Combattre les cybermenaces connues sur une nouvelle frontière

Une version de cet article a été publiée dans Infosecurity Magazine. Elle a été mise à jour et publiée ici.

‍

Il y a quelques années, nous avons beaucoup parlé du fait que la cybersécurité était le Far West, et qu'il était désespérément nécessaire que davantage de personnes s'intéressent à ce sujet en général, sans parler du risque très réel que de nombreuses cyberattaques pouvaient représenter pour la vie. 

En 2023, il est agréable de constater que des progrès ont été réalisés, en particulier au niveau des gouvernements de nombreuses nations influentes. Pour nous, cependant, le voyage vers un code véritablement sécurisé et des logiciels plus sûrs est sans fin. L'avènement de la coqueluche numérique du moment - le métavers - ajoute une vaste surface d'attaque tant pour les vulnérabilités au niveau du code que pour l'ingénierie sociale.

Et nous ne sommes tout simplement pas prêts à nous battre sur ce nouveau terrain de jeu qui se nourrit de poudre aux yeux.

La réalité mixte s'accompagne d'un risque accru

Malgré son statut actuel de saveur du mois, le concept de métavers existe depuis longtemps. La plateforme en ligne Second Life existe depuis 2003 et sert une niche fidèle avec un univers en ligne entièrement personnalisable où les avatars des utilisateurs interagissent par chat vocal et textuel, où l'on peut jouer à des jeux et où des entreprises comme Adidas proposent des magasins virtuels officiels. Du côté du jeu pur, les jeux massivement multijoueurs en ligne (MMO) comme Fortnite et World of Warcraft offrent des mondes expansifs à leurs joueurs et dépendent de plus en plus des microtransactions, c'est-à-dire de l'argent réel à débourser pour obtenir des objets virtuels. À lui seul, Fortnite a réalisé 4,3 milliards de dollars de recettes de microtransactions au cours de ses deux premières années sur le marché. 

Il est très clair que non seulement le concept de métavers est là pour durer, mais qu'il est également sur le point d'avoir une poussée de la taille de Mark Zuckerberg dans le courant dominant. Il s'agit d'une évolution passionnante de l'internet - ou du moins des médias sociaux et d'une partie du commerce électronique - tel que nous le connaissons, mais les possibilités de cyberattaques et d'exploits préjudiciables sont époustouflantes. 

La surface d'attaque du métavers est d'une grande portée, s'étendant bien au-delà des logiciels basés sur le web, des API et des passerelles de paiement. Les éléments périphériques des casques et accessoires de RV constituent également une menace pour les données de base, les logiciels embarqués dans ces appareils constituant un tapis rouge très pratique pour se faire repérer s'ils sont vulnérables. 

Des chercheurs en sécurité de l'université Rutgers ont dévoilé "Face-Mic" au début de l'année. Il s'agit de la première étude de ce type qui examine comment les fonctions de commande vocale des casques de réalité virtuelle pourraient entraîner de graves atteintes à la vie privée, connues sous le nom d'"attaques par écoute". Les travaux sont fascinants, car ils montrent que des acteurs menaçants pourraient potentiellement utiliser certains casques de réalité virtuelle (AR/VR) dotés de capteurs de mouvement intégrés pour enregistrer des gestes faciaux associés à la parole, ce qui pourrait entraîner le vol d'informations sensibles communiquées par le biais de commandes vocales, notamment des informations sur les cartes de crédit et des mots de passe. La cause première du problème semble être un manque d'authentification de l'utilisateur. L'accéléromètre et le gyroscope ne nécessitant aucune autorisation d'accès, les mouvements faciaux complexes, les vibrations osseuses et aériennes pourraient être enregistrés et utilisés pour déduire toutes sortes d'informations, des codes PIN bancaires aux dossiers médicaux hautement confidentiels, en fonction des habitudes de l'utilisateur. 

Dans le métavers, chacun de vos mouvements est un point de données, et si l'accès à ces données est possible grâce à une sécurité logicielle laxiste, les attaquants ont tout intérêt à tenter leur chance. 

Les contrats intelligents face à des adversaires intelligents

La méta-économie exige la décentralisation, la dématérialisation, la flexibilité et, bien sûr, une sécurité sans compromis. À l'heure actuelle, des microéconomies métaverses se développent dans diverses communautés de crypto-monnaies, comme Shiba Inu. Pour acheter des biens immobiliers virtuels et d'autres produits intangibles, on utilise des contrats intelligents stockés sur la blockchain.

Si vous mentionnez "blockchain", la plupart des gens ordinaires (avec un peu de connaissances techniques) y voient un système sécurisé et anonyme pour ce qui est considéré comme l'avenir de la monnaie numérique. Il y a cependant un petit problème : aucune forteresse en ligne n'est impénétrable, et ces contrats intelligents ne font pas exception. Il s'agit essentiellement de petits programmes qui peuvent être piratés.

Les contrats intelligents sont susceptibles d'être exploités grâce à quelques vulnérabilités assez courantes, à savoir le débordement et le débordement d'entier, les attaques par rejeu et le bogue (très préjudiciable) centré sur la blockchain conduisant à des attaques par réentrance, cette dernière pouvant conduire à l'épuisement du solde de crypto-monnaie stocké par l'utilisateur. Toutes ces attaques sont rendues possibles par de mauvais schémas de codage conduisant à des vulnérabilités exploitables, et par des principes de conception peu sûrs.

L'utilisation de cette technologie ne fera que se généraliser, mais dans l'état actuel des choses, nous aurons du mal à trouver suffisamment de développeurs sensibilisés à la sécurité pour garantir un métavers sûr et sans faille. Les organisations doivent comprendre l'ampleur de leur participation au métavers, en particulier si des données et des devises sont en jeu... et il est difficile d'imaginer un scénario où ce ne serait pas le cas.

Il s'agit d'un environnement non réglementé et vous êtes (encore) le produit.

Comme nous l'avons vu dans les films, la télévision, Second Life et les jeux vidéo, un environnement métavers nous permet d'être qui nous voulons. Dans un monde virtuel, les possibilités ne sont limitées que par votre imagination, et cette flexibilité est un atout majeur pour les utilisateurs. Cependant, l'inconvénient est qu'à l'échelle prévue d'un projet comme Meta, il est tout simplement trop vaste et trop décentralisé pour être contrôlé d'une manière qui le rendrait étanche du point de vue de la sécurité. Les escroqueries seront inévitables, et les criminels compétents auront encore plus de travail à faire du point de vue de l'ingénierie sociale. 

Les données sensibles des utilisateurs sont le nouvel or, et le métavers a le potentiel d'être la source de données la plus riche et la plus complète que nous ayons vue à ce jour, à condition que l 'adoption prévue se déroule comme prévu. Bien que l'on puisse supposer que les logiciels liés au métavers respecteront les normes réglementaires et les mesures de conformité actuelles, il faudra les mettre à jour pour qu'ils soient adaptés à l'univers numérique en expansion rapide et à son économie. Pour ce faire, les organisations devront assumer la responsabilité de la sécurité de leurs contributions au métavers, avec un niveau de maturité interne en matière de sécurité qui garantisse que chaque personne travaillant sur le logiciel réfléchit à la sécurité et la met en œuvre à chaque étape de son processus, en particulier dans la cohorte de développement. 

Pourquoi le codage sécurisé sera essentiel au succès du métavers

Aussi amusant que cela puisse être de galoper dans une dimension numérique sans foi ni loi, représenté par un avatar qui est tout ce que vous aimeriez être dans le monde réel, nous ne devons jamais oublier qu'un être humain se cache derrière chaque "personnage". Et lorsque les données et les finances de personnes réelles sont en jeu, on est très loin d'un jeu. 

En matière de cybersécurité, nous savons bien que les erreurs ont des conséquences qui peuvent être réellement dévastatrices, et l'intégrité de chaque élément du métavers ne peut être négligée si l'on veut que l'adoption à grande échelle et la confiance des consommateurs se concrétisent. 

Les organisations peuvent commencer à planifier dès maintenant en effectuant une évaluation réaliste de leur maturité en matière de sécurité ( assessment ), en mettant l'accent sur l'amélioration des compétences en matière de sécurité des développeurs qui travaillent activement sur les logiciels. Comme le montre l'étude de l'université Rutgers, le contrôle d'accès n'est qu'une vulnérabilité parmi d'autres qui peut conduire à une fuite généralisée de données, et les développeurs sensibilisés à la sécurité seraient bien mieux placés pour résoudre ces problèmes au moment de l'écriture du code, et bien avant qu'ils n'entrent dans le code validé. 

Se reposer sur l'excuse de la pénurie de compétences en cybersécurité ne servira à rien après une violation majeure de données dans le métavers, et nous avons les outils devant nous pour non seulement faire de notre mieux, mais aussi améliorer activement les normes de sécurité des logiciels pour de bon. Il est temps d'investir dans la formation des architectes du métavers et de récolter les bénéfices d'une réimagination virtuelle des produits et services tels que nous les connaissons.