La malice dans le métavers : Combattre les cybermenaces connues sur une nouvelle frontière
Une version de cet article a été publiée dans Infosecurity Magazine. Elle a été mise à jour et publiée ici.
Il y a quelques années, nous avons beaucoup parlé du fait que la cybersécurité était le Far West, et qu'il était désespérément nécessaire que davantage de personnes s'intéressent à ce sujet en général, sans parler du risque très réel que de nombreuses cyberattaques pouvaient représenter pour la vie.
En 2023, il est agréable de constater que des progrès ont été réalisés, en particulier au niveau des gouvernements de nombreuses nations influentes. Pour nous, cependant, le voyage vers un code véritablement sécurisé et des logiciels plus sûrs est sans fin. L'avènement de la coqueluche numérique du moment - le métavers - ajoute une vaste surface d'attaque tant pour les vulnérabilités au niveau du code que pour l'ingénierie sociale.
Et nous ne sommes tout simplement pas prêts à nous battre sur ce nouveau terrain de jeu qui se nourrit de poudre aux yeux.
La réalité mixte s'accompagne d'un risque accru
Malgré son statut actuel de saveur du mois, le concept de métavers existe depuis longtemps. La plateforme en ligne Second Life existe depuis 2003 et sert une niche fidèle avec un univers en ligne entièrement personnalisable où les avatars des utilisateurs interagissent par chat vocal et textuel, où l'on peut jouer à des jeux et où des entreprises comme Adidas proposent des magasins virtuels officiels. Du côté du jeu pur, les jeux massivement multijoueurs en ligne (MMO) comme Fortnite et World of Warcraft offrent des mondes expansifs à leurs joueurs et dépendent de plus en plus des microtransactions, c'est-à-dire de l'argent réel à débourser pour obtenir des objets virtuels. À lui seul, Fortnite a réalisé 4,3 milliards de dollars de recettes de microtransactions au cours de ses deux premières années sur le marché.
Il est très clair que non seulement le concept de métavers est là pour durer, mais qu'il est également sur le point d'avoir une poussée de la taille de Mark Zuckerberg dans le courant dominant. Il s'agit d'une évolution passionnante de l'internet - ou du moins des médias sociaux et d'une partie du commerce électronique - tel que nous le connaissons, mais les possibilités de cyberattaques et d'exploits préjudiciables sont époustouflantes.
La surface d'attaque du métavers est d'une grande portée, s'étendant bien au-delà des logiciels basés sur le web, des API et des passerelles de paiement. Les éléments périphériques des casques et accessoires de RV constituent également une menace pour les données de base, les logiciels embarqués dans ces appareils constituant un tapis rouge très pratique pour se faire repérer s'ils sont vulnérables.
Des chercheurs en sécurité de l'université Rutgers ont dévoilé "Face-Mic" au début de l'année. Il s'agit de la première étude de ce type qui examine comment les fonctions de commande vocale des casques de réalité virtuelle pourraient entraîner de graves atteintes à la vie privée, connues sous le nom d'"attaques par écoute". Les travaux sont fascinants, car ils montrent que des acteurs menaçants pourraient potentiellement utiliser certains casques de réalité virtuelle (AR/VR) dotés de capteurs de mouvement intégrés pour enregistrer des gestes faciaux associés à la parole, ce qui pourrait entraîner le vol d'informations sensibles communiquées par le biais de commandes vocales, notamment des informations sur les cartes de crédit et des mots de passe. La cause première du problème semble être un manque d'authentification de l'utilisateur. L'accéléromètre et le gyroscope ne nécessitant aucune autorisation d'accès, les mouvements faciaux complexes, les vibrations osseuses et aériennes pourraient être enregistrés et utilisés pour déduire toutes sortes d'informations, des codes PIN bancaires aux dossiers médicaux hautement confidentiels, en fonction des habitudes de l'utilisateur.
Dans le métavers, chacun de vos mouvements est un point de données, et si l'accès à ces données est possible grâce à une sécurité logicielle laxiste, les attaquants ont tout intérêt à tenter leur chance.
Les contrats intelligents face à des adversaires intelligents
La méta-économie exige la décentralisation, la dématérialisation, la flexibilité et, bien sûr, une sécurité sans compromis. À l'heure actuelle, des microéconomies métaverses se développent dans diverses communautés de crypto-monnaies, comme Shiba Inu. Pour acheter des biens immobiliers virtuels et d'autres produits intangibles, on utilise des contrats intelligents stockés sur la blockchain.
Si vous mentionnez "blockchain", la plupart des gens ordinaires (avec un peu de connaissances techniques) y voient un système sécurisé et anonyme pour ce qui est considéré comme l'avenir de la monnaie numérique. Il y a cependant un petit problème : aucune forteresse en ligne n'est impénétrable, et ces contrats intelligents ne font pas exception. Il s'agit essentiellement de petits programmes qui peuvent être piratés.
Les contrats intelligents sont susceptibles d'être exploités grâce à quelques vulnérabilités assez courantes, à savoir le débordement et le débordement d'entier, les attaques par rejeu et le bogue (très préjudiciable) centré sur la blockchain conduisant à des attaques par réentrance, cette dernière pouvant conduire à l'épuisement du solde de crypto-monnaie stocké par l'utilisateur. Toutes ces attaques sont rendues possibles par de mauvais schémas de codage conduisant à des vulnérabilités exploitables, et par des principes de conception peu sûrs.
L'utilisation de cette technologie ne fera que se généraliser, mais dans l'état actuel des choses, nous aurons du mal à trouver suffisamment de développeurs sensibilisés à la sécurité pour garantir un métavers sûr et sans faille. Les organisations doivent comprendre l'ampleur de leur participation au métavers, en particulier si des données et des devises sont en jeu... et il est difficile d'imaginer un scénario où ce ne serait pas le cas.
Il s'agit d'un environnement non réglementé et vous êtes (encore) le produit.
Comme nous l'avons vu dans les films, la télévision, Second Life et les jeux vidéo, un environnement métavers nous permet d'être qui nous voulons. Dans un monde virtuel, les possibilités ne sont limitées que par votre imagination, et cette flexibilité est un atout majeur pour les utilisateurs. Cependant, l'inconvénient est qu'à l'échelle prévue d'un projet comme Meta, il est tout simplement trop vaste et trop décentralisé pour être contrôlé d'une manière qui le rendrait étanche du point de vue de la sécurité. Les escroqueries seront inévitables, et les criminels compétents auront encore plus de travail à faire du point de vue de l'ingénierie sociale.
Les données sensibles des utilisateurs sont le nouvel or, et le métavers a le potentiel d'être la source de données la plus riche et la plus complète que nous ayons vue à ce jour, à condition que l 'adoption prévue se déroule comme prévu. Bien que l'on puisse supposer que les logiciels liés au métavers respecteront les normes réglementaires et les mesures de conformité actuelles, il faudra les mettre à jour pour qu'ils soient adaptés à l'univers numérique en expansion rapide et à son économie. Pour ce faire, les organisations devront assumer la responsabilité de la sécurité de leurs contributions au métavers, avec un niveau de maturité interne en matière de sécurité qui garantisse que chaque personne travaillant sur le logiciel réfléchit à la sécurité et la met en œuvre à chaque étape de son processus, en particulier dans la cohorte de développement.
Pourquoi le codage sécurisé sera essentiel au succès du métavers
Aussi amusant que cela puisse être de galoper dans une dimension numérique sans foi ni loi, représenté par un avatar qui est tout ce que vous aimeriez être dans le monde réel, nous ne devons jamais oublier qu'un être humain se cache derrière chaque "personnage". Et lorsque les données et les finances de personnes réelles sont en jeu, on est très loin d'un jeu.
En matière de cybersécurité, nous savons bien que les erreurs ont des conséquences qui peuvent être réellement dévastatrices, et l'intégrité de chaque élément du métavers ne peut être négligée si l'on veut que l'adoption à grande échelle et la confiance des consommateurs se concrétisent.
Les organisations peuvent commencer à planifier dès maintenant en effectuant une évaluation réaliste de leur maturité en matière de sécurité ( assessment ), en mettant l'accent sur l'amélioration des compétences en matière de sécurité des développeurs qui travaillent activement sur les logiciels. Comme le montre l'étude de l'université Rutgers, le contrôle d'accès n'est qu'une vulnérabilité parmi d'autres qui peut conduire à une fuite généralisée de données, et les développeurs sensibilisés à la sécurité seraient bien mieux placés pour résoudre ces problèmes au moment de l'écriture du code, et bien avant qu'ils n'entrent dans le code validé.
Se reposer sur l'excuse de la pénurie de compétences en cybersécurité ne servira à rien après une violation majeure de données dans le métavers, et nous avons les outils devant nous pour non seulement faire de notre mieux, mais aussi améliorer activement les normes de sécurité des logiciels pour de bon. Il est temps d'investir dans la formation des architectes du métavers et de récolter les bénéfices d'une réimagination virtuelle des produits et services tels que nous les connaissons.
L'avènement de la coqueluche numérique du moment - le métavers - ajoute une vaste surface d'attaque pour les vulnérabilités au niveau du code et l'ingénierie sociale. Et nous ne sommes tout simplement pas prêts à nous battre sur ce nouveau terrain de jeu qui se nourrit de poudre aux yeux.
Directeur général, président et cofondateur
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Réservez une démonstrationDirecteur général, président et cofondateur
Pieter Danhieux est un expert en sécurité mondialement reconnu, avec plus de 12 ans d'expérience en tant que consultant en sécurité et 8 ans en tant qu'instructeur principal pour SANS, enseignant des techniques offensives sur la façon de cibler et d'évaluer les organisations, les systèmes et les individus pour les faiblesses de sécurité. En 2016, il a été reconnu comme l'une des personnes les plus cool d'Australie dans le domaine de la technologie (Business Insider), a reçu le prix du professionnel de la cybersécurité de l'année (AISA - Australian Information Security Association) et détient les certifications GSE, CISSP, GCIH, GCFA, GSEC, GPEN, GWAPT, GCIA.
Une version de cet article a été publiée dans Infosecurity Magazine. Elle a été mise à jour et publiée ici.
Il y a quelques années, nous avons beaucoup parlé du fait que la cybersécurité était le Far West, et qu'il était désespérément nécessaire que davantage de personnes s'intéressent à ce sujet en général, sans parler du risque très réel que de nombreuses cyberattaques pouvaient représenter pour la vie.
En 2023, il est agréable de constater que des progrès ont été réalisés, en particulier au niveau des gouvernements de nombreuses nations influentes. Pour nous, cependant, le voyage vers un code véritablement sécurisé et des logiciels plus sûrs est sans fin. L'avènement de la coqueluche numérique du moment - le métavers - ajoute une vaste surface d'attaque tant pour les vulnérabilités au niveau du code que pour l'ingénierie sociale.
Et nous ne sommes tout simplement pas prêts à nous battre sur ce nouveau terrain de jeu qui se nourrit de poudre aux yeux.
La réalité mixte s'accompagne d'un risque accru
Malgré son statut actuel de saveur du mois, le concept de métavers existe depuis longtemps. La plateforme en ligne Second Life existe depuis 2003 et sert une niche fidèle avec un univers en ligne entièrement personnalisable où les avatars des utilisateurs interagissent par chat vocal et textuel, où l'on peut jouer à des jeux et où des entreprises comme Adidas proposent des magasins virtuels officiels. Du côté du jeu pur, les jeux massivement multijoueurs en ligne (MMO) comme Fortnite et World of Warcraft offrent des mondes expansifs à leurs joueurs et dépendent de plus en plus des microtransactions, c'est-à-dire de l'argent réel à débourser pour obtenir des objets virtuels. À lui seul, Fortnite a réalisé 4,3 milliards de dollars de recettes de microtransactions au cours de ses deux premières années sur le marché.
Il est très clair que non seulement le concept de métavers est là pour durer, mais qu'il est également sur le point d'avoir une poussée de la taille de Mark Zuckerberg dans le courant dominant. Il s'agit d'une évolution passionnante de l'internet - ou du moins des médias sociaux et d'une partie du commerce électronique - tel que nous le connaissons, mais les possibilités de cyberattaques et d'exploits préjudiciables sont époustouflantes.
La surface d'attaque du métavers est d'une grande portée, s'étendant bien au-delà des logiciels basés sur le web, des API et des passerelles de paiement. Les éléments périphériques des casques et accessoires de RV constituent également une menace pour les données de base, les logiciels embarqués dans ces appareils constituant un tapis rouge très pratique pour se faire repérer s'ils sont vulnérables.
Des chercheurs en sécurité de l'université Rutgers ont dévoilé "Face-Mic" au début de l'année. Il s'agit de la première étude de ce type qui examine comment les fonctions de commande vocale des casques de réalité virtuelle pourraient entraîner de graves atteintes à la vie privée, connues sous le nom d'"attaques par écoute". Les travaux sont fascinants, car ils montrent que des acteurs menaçants pourraient potentiellement utiliser certains casques de réalité virtuelle (AR/VR) dotés de capteurs de mouvement intégrés pour enregistrer des gestes faciaux associés à la parole, ce qui pourrait entraîner le vol d'informations sensibles communiquées par le biais de commandes vocales, notamment des informations sur les cartes de crédit et des mots de passe. La cause première du problème semble être un manque d'authentification de l'utilisateur. L'accéléromètre et le gyroscope ne nécessitant aucune autorisation d'accès, les mouvements faciaux complexes, les vibrations osseuses et aériennes pourraient être enregistrés et utilisés pour déduire toutes sortes d'informations, des codes PIN bancaires aux dossiers médicaux hautement confidentiels, en fonction des habitudes de l'utilisateur.
Dans le métavers, chacun de vos mouvements est un point de données, et si l'accès à ces données est possible grâce à une sécurité logicielle laxiste, les attaquants ont tout intérêt à tenter leur chance.
Les contrats intelligents face à des adversaires intelligents
La méta-économie exige la décentralisation, la dématérialisation, la flexibilité et, bien sûr, une sécurité sans compromis. À l'heure actuelle, des microéconomies métaverses se développent dans diverses communautés de crypto-monnaies, comme Shiba Inu. Pour acheter des biens immobiliers virtuels et d'autres produits intangibles, on utilise des contrats intelligents stockés sur la blockchain.
Si vous mentionnez "blockchain", la plupart des gens ordinaires (avec un peu de connaissances techniques) y voient un système sécurisé et anonyme pour ce qui est considéré comme l'avenir de la monnaie numérique. Il y a cependant un petit problème : aucune forteresse en ligne n'est impénétrable, et ces contrats intelligents ne font pas exception. Il s'agit essentiellement de petits programmes qui peuvent être piratés.
Les contrats intelligents sont susceptibles d'être exploités grâce à quelques vulnérabilités assez courantes, à savoir le débordement et le débordement d'entier, les attaques par rejeu et le bogue (très préjudiciable) centré sur la blockchain conduisant à des attaques par réentrance, cette dernière pouvant conduire à l'épuisement du solde de crypto-monnaie stocké par l'utilisateur. Toutes ces attaques sont rendues possibles par de mauvais schémas de codage conduisant à des vulnérabilités exploitables, et par des principes de conception peu sûrs.
L'utilisation de cette technologie ne fera que se généraliser, mais dans l'état actuel des choses, nous aurons du mal à trouver suffisamment de développeurs sensibilisés à la sécurité pour garantir un métavers sûr et sans faille. Les organisations doivent comprendre l'ampleur de leur participation au métavers, en particulier si des données et des devises sont en jeu... et il est difficile d'imaginer un scénario où ce ne serait pas le cas.
Il s'agit d'un environnement non réglementé et vous êtes (encore) le produit.
Comme nous l'avons vu dans les films, la télévision, Second Life et les jeux vidéo, un environnement métavers nous permet d'être qui nous voulons. Dans un monde virtuel, les possibilités ne sont limitées que par votre imagination, et cette flexibilité est un atout majeur pour les utilisateurs. Cependant, l'inconvénient est qu'à l'échelle prévue d'un projet comme Meta, il est tout simplement trop vaste et trop décentralisé pour être contrôlé d'une manière qui le rendrait étanche du point de vue de la sécurité. Les escroqueries seront inévitables, et les criminels compétents auront encore plus de travail à faire du point de vue de l'ingénierie sociale.
Les données sensibles des utilisateurs sont le nouvel or, et le métavers a le potentiel d'être la source de données la plus riche et la plus complète que nous ayons vue à ce jour, à condition que l 'adoption prévue se déroule comme prévu. Bien que l'on puisse supposer que les logiciels liés au métavers respecteront les normes réglementaires et les mesures de conformité actuelles, il faudra les mettre à jour pour qu'ils soient adaptés à l'univers numérique en expansion rapide et à son économie. Pour ce faire, les organisations devront assumer la responsabilité de la sécurité de leurs contributions au métavers, avec un niveau de maturité interne en matière de sécurité qui garantisse que chaque personne travaillant sur le logiciel réfléchit à la sécurité et la met en œuvre à chaque étape de son processus, en particulier dans la cohorte de développement.
Pourquoi le codage sécurisé sera essentiel au succès du métavers
Aussi amusant que cela puisse être de galoper dans une dimension numérique sans foi ni loi, représenté par un avatar qui est tout ce que vous aimeriez être dans le monde réel, nous ne devons jamais oublier qu'un être humain se cache derrière chaque "personnage". Et lorsque les données et les finances de personnes réelles sont en jeu, on est très loin d'un jeu.
En matière de cybersécurité, nous savons bien que les erreurs ont des conséquences qui peuvent être réellement dévastatrices, et l'intégrité de chaque élément du métavers ne peut être négligée si l'on veut que l'adoption à grande échelle et la confiance des consommateurs se concrétisent.
Les organisations peuvent commencer à planifier dès maintenant en effectuant une évaluation réaliste de leur maturité en matière de sécurité ( assessment ), en mettant l'accent sur l'amélioration des compétences en matière de sécurité des développeurs qui travaillent activement sur les logiciels. Comme le montre l'étude de l'université Rutgers, le contrôle d'accès n'est qu'une vulnérabilité parmi d'autres qui peut conduire à une fuite généralisée de données, et les développeurs sensibilisés à la sécurité seraient bien mieux placés pour résoudre ces problèmes au moment de l'écriture du code, et bien avant qu'ils n'entrent dans le code validé.
Se reposer sur l'excuse de la pénurie de compétences en cybersécurité ne servira à rien après une violation majeure de données dans le métavers, et nous avons les outils devant nous pour non seulement faire de notre mieux, mais aussi améliorer activement les normes de sécurité des logiciels pour de bon. Il est temps d'investir dans la formation des architectes du métavers et de récolter les bénéfices d'une réimagination virtuelle des produits et services tels que nous les connaissons.
Une version de cet article a été publiée dans Infosecurity Magazine. Elle a été mise à jour et publiée ici.
Il y a quelques années, nous avons beaucoup parlé du fait que la cybersécurité était le Far West, et qu'il était désespérément nécessaire que davantage de personnes s'intéressent à ce sujet en général, sans parler du risque très réel que de nombreuses cyberattaques pouvaient représenter pour la vie.
En 2023, il est agréable de constater que des progrès ont été réalisés, en particulier au niveau des gouvernements de nombreuses nations influentes. Pour nous, cependant, le voyage vers un code véritablement sécurisé et des logiciels plus sûrs est sans fin. L'avènement de la coqueluche numérique du moment - le métavers - ajoute une vaste surface d'attaque tant pour les vulnérabilités au niveau du code que pour l'ingénierie sociale.
Et nous ne sommes tout simplement pas prêts à nous battre sur ce nouveau terrain de jeu qui se nourrit de poudre aux yeux.
La réalité mixte s'accompagne d'un risque accru
Malgré son statut actuel de saveur du mois, le concept de métavers existe depuis longtemps. La plateforme en ligne Second Life existe depuis 2003 et sert une niche fidèle avec un univers en ligne entièrement personnalisable où les avatars des utilisateurs interagissent par chat vocal et textuel, où l'on peut jouer à des jeux et où des entreprises comme Adidas proposent des magasins virtuels officiels. Du côté du jeu pur, les jeux massivement multijoueurs en ligne (MMO) comme Fortnite et World of Warcraft offrent des mondes expansifs à leurs joueurs et dépendent de plus en plus des microtransactions, c'est-à-dire de l'argent réel à débourser pour obtenir des objets virtuels. À lui seul, Fortnite a réalisé 4,3 milliards de dollars de recettes de microtransactions au cours de ses deux premières années sur le marché.
Il est très clair que non seulement le concept de métavers est là pour durer, mais qu'il est également sur le point d'avoir une poussée de la taille de Mark Zuckerberg dans le courant dominant. Il s'agit d'une évolution passionnante de l'internet - ou du moins des médias sociaux et d'une partie du commerce électronique - tel que nous le connaissons, mais les possibilités de cyberattaques et d'exploits préjudiciables sont époustouflantes.
La surface d'attaque du métavers est d'une grande portée, s'étendant bien au-delà des logiciels basés sur le web, des API et des passerelles de paiement. Les éléments périphériques des casques et accessoires de RV constituent également une menace pour les données de base, les logiciels embarqués dans ces appareils constituant un tapis rouge très pratique pour se faire repérer s'ils sont vulnérables.
Des chercheurs en sécurité de l'université Rutgers ont dévoilé "Face-Mic" au début de l'année. Il s'agit de la première étude de ce type qui examine comment les fonctions de commande vocale des casques de réalité virtuelle pourraient entraîner de graves atteintes à la vie privée, connues sous le nom d'"attaques par écoute". Les travaux sont fascinants, car ils montrent que des acteurs menaçants pourraient potentiellement utiliser certains casques de réalité virtuelle (AR/VR) dotés de capteurs de mouvement intégrés pour enregistrer des gestes faciaux associés à la parole, ce qui pourrait entraîner le vol d'informations sensibles communiquées par le biais de commandes vocales, notamment des informations sur les cartes de crédit et des mots de passe. La cause première du problème semble être un manque d'authentification de l'utilisateur. L'accéléromètre et le gyroscope ne nécessitant aucune autorisation d'accès, les mouvements faciaux complexes, les vibrations osseuses et aériennes pourraient être enregistrés et utilisés pour déduire toutes sortes d'informations, des codes PIN bancaires aux dossiers médicaux hautement confidentiels, en fonction des habitudes de l'utilisateur.
Dans le métavers, chacun de vos mouvements est un point de données, et si l'accès à ces données est possible grâce à une sécurité logicielle laxiste, les attaquants ont tout intérêt à tenter leur chance.
Les contrats intelligents face à des adversaires intelligents
La méta-économie exige la décentralisation, la dématérialisation, la flexibilité et, bien sûr, une sécurité sans compromis. À l'heure actuelle, des microéconomies métaverses se développent dans diverses communautés de crypto-monnaies, comme Shiba Inu. Pour acheter des biens immobiliers virtuels et d'autres produits intangibles, on utilise des contrats intelligents stockés sur la blockchain.
Si vous mentionnez "blockchain", la plupart des gens ordinaires (avec un peu de connaissances techniques) y voient un système sécurisé et anonyme pour ce qui est considéré comme l'avenir de la monnaie numérique. Il y a cependant un petit problème : aucune forteresse en ligne n'est impénétrable, et ces contrats intelligents ne font pas exception. Il s'agit essentiellement de petits programmes qui peuvent être piratés.
Les contrats intelligents sont susceptibles d'être exploités grâce à quelques vulnérabilités assez courantes, à savoir le débordement et le débordement d'entier, les attaques par rejeu et le bogue (très préjudiciable) centré sur la blockchain conduisant à des attaques par réentrance, cette dernière pouvant conduire à l'épuisement du solde de crypto-monnaie stocké par l'utilisateur. Toutes ces attaques sont rendues possibles par de mauvais schémas de codage conduisant à des vulnérabilités exploitables, et par des principes de conception peu sûrs.
L'utilisation de cette technologie ne fera que se généraliser, mais dans l'état actuel des choses, nous aurons du mal à trouver suffisamment de développeurs sensibilisés à la sécurité pour garantir un métavers sûr et sans faille. Les organisations doivent comprendre l'ampleur de leur participation au métavers, en particulier si des données et des devises sont en jeu... et il est difficile d'imaginer un scénario où ce ne serait pas le cas.
Il s'agit d'un environnement non réglementé et vous êtes (encore) le produit.
Comme nous l'avons vu dans les films, la télévision, Second Life et les jeux vidéo, un environnement métavers nous permet d'être qui nous voulons. Dans un monde virtuel, les possibilités ne sont limitées que par votre imagination, et cette flexibilité est un atout majeur pour les utilisateurs. Cependant, l'inconvénient est qu'à l'échelle prévue d'un projet comme Meta, il est tout simplement trop vaste et trop décentralisé pour être contrôlé d'une manière qui le rendrait étanche du point de vue de la sécurité. Les escroqueries seront inévitables, et les criminels compétents auront encore plus de travail à faire du point de vue de l'ingénierie sociale.
Les données sensibles des utilisateurs sont le nouvel or, et le métavers a le potentiel d'être la source de données la plus riche et la plus complète que nous ayons vue à ce jour, à condition que l 'adoption prévue se déroule comme prévu. Bien que l'on puisse supposer que les logiciels liés au métavers respecteront les normes réglementaires et les mesures de conformité actuelles, il faudra les mettre à jour pour qu'ils soient adaptés à l'univers numérique en expansion rapide et à son économie. Pour ce faire, les organisations devront assumer la responsabilité de la sécurité de leurs contributions au métavers, avec un niveau de maturité interne en matière de sécurité qui garantisse que chaque personne travaillant sur le logiciel réfléchit à la sécurité et la met en œuvre à chaque étape de son processus, en particulier dans la cohorte de développement.
Pourquoi le codage sécurisé sera essentiel au succès du métavers
Aussi amusant que cela puisse être de galoper dans une dimension numérique sans foi ni loi, représenté par un avatar qui est tout ce que vous aimeriez être dans le monde réel, nous ne devons jamais oublier qu'un être humain se cache derrière chaque "personnage". Et lorsque les données et les finances de personnes réelles sont en jeu, on est très loin d'un jeu.
En matière de cybersécurité, nous savons bien que les erreurs ont des conséquences qui peuvent être réellement dévastatrices, et l'intégrité de chaque élément du métavers ne peut être négligée si l'on veut que l'adoption à grande échelle et la confiance des consommateurs se concrétisent.
Les organisations peuvent commencer à planifier dès maintenant en effectuant une évaluation réaliste de leur maturité en matière de sécurité ( assessment ), en mettant l'accent sur l'amélioration des compétences en matière de sécurité des développeurs qui travaillent activement sur les logiciels. Comme le montre l'étude de l'université Rutgers, le contrôle d'accès n'est qu'une vulnérabilité parmi d'autres qui peut conduire à une fuite généralisée de données, et les développeurs sensibilisés à la sécurité seraient bien mieux placés pour résoudre ces problèmes au moment de l'écriture du code, et bien avant qu'ils n'entrent dans le code validé.
Se reposer sur l'excuse de la pénurie de compétences en cybersécurité ne servira à rien après une violation majeure de données dans le métavers, et nous avons les outils devant nous pour non seulement faire de notre mieux, mais aussi améliorer activement les normes de sécurité des logiciels pour de bon. Il est temps d'investir dans la formation des architectes du métavers et de récolter les bénéfices d'une réimagination virtuelle des produits et services tels que nous les connaissons.
Cliquez sur le lien ci-dessous et téléchargez le PDF de cette ressource.
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Voir le rapportRéservez une démonstrationDirecteur général, président et cofondateur
Pieter Danhieux est un expert en sécurité mondialement reconnu, avec plus de 12 ans d'expérience en tant que consultant en sécurité et 8 ans en tant qu'instructeur principal pour SANS, enseignant des techniques offensives sur la façon de cibler et d'évaluer les organisations, les systèmes et les individus pour les faiblesses de sécurité. En 2016, il a été reconnu comme l'une des personnes les plus cool d'Australie dans le domaine de la technologie (Business Insider), a reçu le prix du professionnel de la cybersécurité de l'année (AISA - Australian Information Security Association) et détient les certifications GSE, CISSP, GCIH, GCFA, GSEC, GPEN, GWAPT, GCIA.
Une version de cet article a été publiée dans Infosecurity Magazine. Elle a été mise à jour et publiée ici.
Il y a quelques années, nous avons beaucoup parlé du fait que la cybersécurité était le Far West, et qu'il était désespérément nécessaire que davantage de personnes s'intéressent à ce sujet en général, sans parler du risque très réel que de nombreuses cyberattaques pouvaient représenter pour la vie.
En 2023, il est agréable de constater que des progrès ont été réalisés, en particulier au niveau des gouvernements de nombreuses nations influentes. Pour nous, cependant, le voyage vers un code véritablement sécurisé et des logiciels plus sûrs est sans fin. L'avènement de la coqueluche numérique du moment - le métavers - ajoute une vaste surface d'attaque tant pour les vulnérabilités au niveau du code que pour l'ingénierie sociale.
Et nous ne sommes tout simplement pas prêts à nous battre sur ce nouveau terrain de jeu qui se nourrit de poudre aux yeux.
La réalité mixte s'accompagne d'un risque accru
Malgré son statut actuel de saveur du mois, le concept de métavers existe depuis longtemps. La plateforme en ligne Second Life existe depuis 2003 et sert une niche fidèle avec un univers en ligne entièrement personnalisable où les avatars des utilisateurs interagissent par chat vocal et textuel, où l'on peut jouer à des jeux et où des entreprises comme Adidas proposent des magasins virtuels officiels. Du côté du jeu pur, les jeux massivement multijoueurs en ligne (MMO) comme Fortnite et World of Warcraft offrent des mondes expansifs à leurs joueurs et dépendent de plus en plus des microtransactions, c'est-à-dire de l'argent réel à débourser pour obtenir des objets virtuels. À lui seul, Fortnite a réalisé 4,3 milliards de dollars de recettes de microtransactions au cours de ses deux premières années sur le marché.
Il est très clair que non seulement le concept de métavers est là pour durer, mais qu'il est également sur le point d'avoir une poussée de la taille de Mark Zuckerberg dans le courant dominant. Il s'agit d'une évolution passionnante de l'internet - ou du moins des médias sociaux et d'une partie du commerce électronique - tel que nous le connaissons, mais les possibilités de cyberattaques et d'exploits préjudiciables sont époustouflantes.
La surface d'attaque du métavers est d'une grande portée, s'étendant bien au-delà des logiciels basés sur le web, des API et des passerelles de paiement. Les éléments périphériques des casques et accessoires de RV constituent également une menace pour les données de base, les logiciels embarqués dans ces appareils constituant un tapis rouge très pratique pour se faire repérer s'ils sont vulnérables.
Des chercheurs en sécurité de l'université Rutgers ont dévoilé "Face-Mic" au début de l'année. Il s'agit de la première étude de ce type qui examine comment les fonctions de commande vocale des casques de réalité virtuelle pourraient entraîner de graves atteintes à la vie privée, connues sous le nom d'"attaques par écoute". Les travaux sont fascinants, car ils montrent que des acteurs menaçants pourraient potentiellement utiliser certains casques de réalité virtuelle (AR/VR) dotés de capteurs de mouvement intégrés pour enregistrer des gestes faciaux associés à la parole, ce qui pourrait entraîner le vol d'informations sensibles communiquées par le biais de commandes vocales, notamment des informations sur les cartes de crédit et des mots de passe. La cause première du problème semble être un manque d'authentification de l'utilisateur. L'accéléromètre et le gyroscope ne nécessitant aucune autorisation d'accès, les mouvements faciaux complexes, les vibrations osseuses et aériennes pourraient être enregistrés et utilisés pour déduire toutes sortes d'informations, des codes PIN bancaires aux dossiers médicaux hautement confidentiels, en fonction des habitudes de l'utilisateur.
Dans le métavers, chacun de vos mouvements est un point de données, et si l'accès à ces données est possible grâce à une sécurité logicielle laxiste, les attaquants ont tout intérêt à tenter leur chance.
Les contrats intelligents face à des adversaires intelligents
La méta-économie exige la décentralisation, la dématérialisation, la flexibilité et, bien sûr, une sécurité sans compromis. À l'heure actuelle, des microéconomies métaverses se développent dans diverses communautés de crypto-monnaies, comme Shiba Inu. Pour acheter des biens immobiliers virtuels et d'autres produits intangibles, on utilise des contrats intelligents stockés sur la blockchain.
Si vous mentionnez "blockchain", la plupart des gens ordinaires (avec un peu de connaissances techniques) y voient un système sécurisé et anonyme pour ce qui est considéré comme l'avenir de la monnaie numérique. Il y a cependant un petit problème : aucune forteresse en ligne n'est impénétrable, et ces contrats intelligents ne font pas exception. Il s'agit essentiellement de petits programmes qui peuvent être piratés.
Les contrats intelligents sont susceptibles d'être exploités grâce à quelques vulnérabilités assez courantes, à savoir le débordement et le débordement d'entier, les attaques par rejeu et le bogue (très préjudiciable) centré sur la blockchain conduisant à des attaques par réentrance, cette dernière pouvant conduire à l'épuisement du solde de crypto-monnaie stocké par l'utilisateur. Toutes ces attaques sont rendues possibles par de mauvais schémas de codage conduisant à des vulnérabilités exploitables, et par des principes de conception peu sûrs.
L'utilisation de cette technologie ne fera que se généraliser, mais dans l'état actuel des choses, nous aurons du mal à trouver suffisamment de développeurs sensibilisés à la sécurité pour garantir un métavers sûr et sans faille. Les organisations doivent comprendre l'ampleur de leur participation au métavers, en particulier si des données et des devises sont en jeu... et il est difficile d'imaginer un scénario où ce ne serait pas le cas.
Il s'agit d'un environnement non réglementé et vous êtes (encore) le produit.
Comme nous l'avons vu dans les films, la télévision, Second Life et les jeux vidéo, un environnement métavers nous permet d'être qui nous voulons. Dans un monde virtuel, les possibilités ne sont limitées que par votre imagination, et cette flexibilité est un atout majeur pour les utilisateurs. Cependant, l'inconvénient est qu'à l'échelle prévue d'un projet comme Meta, il est tout simplement trop vaste et trop décentralisé pour être contrôlé d'une manière qui le rendrait étanche du point de vue de la sécurité. Les escroqueries seront inévitables, et les criminels compétents auront encore plus de travail à faire du point de vue de l'ingénierie sociale.
Les données sensibles des utilisateurs sont le nouvel or, et le métavers a le potentiel d'être la source de données la plus riche et la plus complète que nous ayons vue à ce jour, à condition que l 'adoption prévue se déroule comme prévu. Bien que l'on puisse supposer que les logiciels liés au métavers respecteront les normes réglementaires et les mesures de conformité actuelles, il faudra les mettre à jour pour qu'ils soient adaptés à l'univers numérique en expansion rapide et à son économie. Pour ce faire, les organisations devront assumer la responsabilité de la sécurité de leurs contributions au métavers, avec un niveau de maturité interne en matière de sécurité qui garantisse que chaque personne travaillant sur le logiciel réfléchit à la sécurité et la met en œuvre à chaque étape de son processus, en particulier dans la cohorte de développement.
Pourquoi le codage sécurisé sera essentiel au succès du métavers
Aussi amusant que cela puisse être de galoper dans une dimension numérique sans foi ni loi, représenté par un avatar qui est tout ce que vous aimeriez être dans le monde réel, nous ne devons jamais oublier qu'un être humain se cache derrière chaque "personnage". Et lorsque les données et les finances de personnes réelles sont en jeu, on est très loin d'un jeu.
En matière de cybersécurité, nous savons bien que les erreurs ont des conséquences qui peuvent être réellement dévastatrices, et l'intégrité de chaque élément du métavers ne peut être négligée si l'on veut que l'adoption à grande échelle et la confiance des consommateurs se concrétisent.
Les organisations peuvent commencer à planifier dès maintenant en effectuant une évaluation réaliste de leur maturité en matière de sécurité ( assessment ), en mettant l'accent sur l'amélioration des compétences en matière de sécurité des développeurs qui travaillent activement sur les logiciels. Comme le montre l'étude de l'université Rutgers, le contrôle d'accès n'est qu'une vulnérabilité parmi d'autres qui peut conduire à une fuite généralisée de données, et les développeurs sensibilisés à la sécurité seraient bien mieux placés pour résoudre ces problèmes au moment de l'écriture du code, et bien avant qu'ils n'entrent dans le code validé.
Se reposer sur l'excuse de la pénurie de compétences en cybersécurité ne servira à rien après une violation majeure de données dans le métavers, et nous avons les outils devant nous pour non seulement faire de notre mieux, mais aussi améliorer activement les normes de sécurité des logiciels pour de bon. Il est temps d'investir dans la formation des architectes du métavers et de récolter les bénéfices d'une réimagination virtuelle des produits et services tels que nous les connaissons.
Table des matières
Directeur général, président et cofondateur
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Réservez une démonstrationTéléchargerRessources pour vous aider à démarrer
Évaluation comparative des compétences en matière de sécurité : Rationalisation de la conception sécurisée dans l'entreprise
Le mouvement "Secure-by-Design" (conception sécurisée) est l'avenir du développement de logiciels sécurisés. Découvrez les éléments clés que les entreprises doivent garder à l'esprit lorsqu'elles envisagent une initiative de conception sécurisée.
DigitalOcean réduit sa dette de sécurité avec Secure Code Warrior
L'utilisation par DigitalOcean de la formation Secure Code Warrior a considérablement réduit la dette de sécurité, permettant aux équipes de se concentrer davantage sur l'innovation et la productivité. L'amélioration de la sécurité a renforcé la qualité des produits et l'avantage concurrentiel de l'entreprise. À l'avenir, le score de confiance SCW les aidera à améliorer leurs pratiques de sécurité et à continuer à stimuler l'innovation.
Ressources pour vous aider à démarrer
Sécurité réactive contre sécurité préventive : La prévention est un meilleur remède
L'idée d'apporter une sécurité préventive aux codes et systèmes existants en même temps qu'aux applications plus récentes peut sembler décourageante, mais une approche "Secure-by-Design", mise en œuvre en améliorant les compétences des développeurs, permet d'appliquer les meilleures pratiques de sécurité à ces systèmes. C'est la meilleure chance qu'ont de nombreuses organisations d'améliorer leur sécurité.
Les avantages de l'évaluation des compétences des développeurs en matière de sécurité
L'importance croissante accordée au code sécurisé et aux principes de conception sécurisée exige que les développeurs soient formés à la cybersécurité dès le début du cycle de développement durable, et que des outils tels que le Trust Score de Secure Code Warriorles aident à mesurer et à améliorer leurs progrès.
Assurer le succès des initiatives de conception sécurisée de l'entreprise
Notre dernier document de recherche, Benchmarking Security Skills : Streamlining Secure-by-Design in the Enterprise est le résultat d'une analyse approfondie d'initiatives réelles de conception sécurisée au niveau de l'entreprise, et de l'élaboration d'approches de meilleures pratiques basées sur des conclusions fondées sur des données.
Plongée en profondeur : Naviguer dans la vulnérabilité critique de CUPS dans les systèmes GNU-Linux
Découvrez les derniers défis de sécurité auxquels sont confrontés les utilisateurs de Linux en explorant les récentes vulnérabilités de haute sévérité dans le système d'impression commun d'UNIX (CUPS). Apprenez comment ces problèmes peuvent conduire à une potentielle exécution de code à distance (RCE) et ce que vous pouvez faire pour protéger vos systèmes.