Böswilligkeit im Metaversum: Bekannte Cyberbedrohungen auf neuem Terrain bekämpfen

Eine Version dieses Artikels erschien im Infosecurity Magazine. Er wurde aktualisiert und hier syndiziert.

‍

Vor einigen Jahren sprachen wir viel darüber, dass die Cybersicherheit der Wilde Westen sei und dass es ein dringendes Bedürfnis gebe, dass sich mehr Menschen generell dafür interessieren – ganz zu schweigen von der sehr realen Lebensgefahr, die von vielen Cyberangriffen ausgehen kann.

Blicken wir auf das Jahr 2023: Es ist erfreulich zu sehen, dass einige Fortschritte erzielt wurden, insbesondere auf Regierungsebene vieler einflussreicher Nationen. Für uns ist der Weg zu wirklich sicherem Code und sichererer Software jedoch endlos. Das Metaverse, der aktuelle Liebling der digitalen Welt, eröffnet eine riesige neue Angriffsfläche für Schwachstellen auf Code-Ebene und Social Engineering.

Und wir sind schlichtweg nicht auf den Kampf auf diesem neuen Spielfeld vorbereitet, das von Blendwerk und Täuschung lebt.

Mixed Reality bringt verschärfte Risiken mit sich

Trotz seines aktuellen Status als Trendthema existiert das Konzept des Metaverse schon lange. Die Online-Plattform Second Life gibt es bereits seit 2003. Sie bedient eine treue Nische mit einem vollständig anpassbaren Online-Universum, in dem die Avatare der Nutzer per Sprach- und Textchat interagieren, Spiele gespielt werden können und Unternehmen wie Adidas offizielle virtuelle Stores anbieten. Im reinen Gaming-Bereich bieten Massively Multiplayer Online (MMO)-Spiele wie Fortnite und World of Warcraft ihren Spielern weitläufige Welten und sind zunehmend von Mikrotransaktionen abhängig – also dem Ausgeben von echtem Geld für virtuelle Gegenstände. Allein Fortnite erzielte in den ersten zwei Jahren auf dem Markt 4,3 Milliarden US-Dollar an Mikrotransaktionsumsätzen.

Es ist völlig klar, dass das Konzept des Metaverse nicht nur gekommen ist, um zu bleiben, sondern auch kurz vor einem Durchbruch in den Mainstream im Stile von Mark Zuckerberg steht. Dies ist eine spannende Entwicklung des Internets – oder zumindest der sozialen Medien und eines Teils des E-Commerce –, wie wir es kennen, aber die Möglichkeiten für Cyberangriffe und schädliche Exploits sind schwindelerregend.

Die Angriffsfläche des Metaverse ist weitreichend und geht weit über webbasierte Software, APIs und Zahlungsgateways hinaus. Auch die Peripheriegeräte wie VR-Headsets und Zubehör stellen eine Bedrohung für Kerndaten dar, wobei die integrierte Software dieser Geräte bei Sicherheitslücken ein bequemer roter Teppich zum Erfolg für Angreifer ist.

Sicherheitsforscher der Rutgers University stellten Anfang des Jahres „Face-Mic“ vor, die erste Studie ihrer Art, die untersuchte, wie Sprachbefehlsfunktionen bei Virtual-Reality-Headsets zu schwerwiegenden Datenschutzverletzungen führen können, den sogenannten „Eavesdropping-Angriffen“. Die Arbeit ist faszinierend und zeigt, dass Angreifer potenziell einige Virtual-Reality-Headsets (AR/VR) mit eingebauten Bewegungssensoren nutzen könnten, um sprachbegleitende Gesichtsbewegungen aufzuzeichnen. Dies könnte zum Diebstahl sensibler Informationen führen, die über sprachgesteuerte Befehle kommuniziert werden, einschließlich Kreditkartendaten und Passwörtern. Die Ursache des Problems scheint ein Mangel an Benutzerauthentifizierung zu sein. Da für den Zugriff auf Beschleunigungsmesser und Gyroskop keine Berechtigung erforderlich ist, könnten komplexe Gesichtsbewegungen, knochengeleitete Vibrationen und in der Luft übertragene Schwingungen aufgezeichnet werden, um je nach Nutzerverhalten alles von Bank-PINs bis hin zu streng vertraulichen Gesundheitsdaten abzuleiten.

Im Metaverse ist jede Ihrer Bewegungen ein Datenpunkt. Wenn der Zugriff darauf durch lückenhafte Software-Sicherheit möglich ist, ist der Anreiz für Angreifer, ihr Glück zu versuchen, enorm.

Smart Contracts treffen auf schlauere Gegner

Die Meta-Ökonomie erfordert Dezentralisierung, Dematerialisierung, Flexibilität und natürlich kompromisslose Sicherheit. Derzeit wachsen in verschiedenen Kryptowährungs-Communities, wie etwa Shiba Inu, Metaverse-Mikroökonomien. Um virtuelles Eigentum und andere immaterielle Produkte zu kaufen, werden Smart Contracts auf der Blockchain genutzt.

Erwähnt man „Blockchain“, verstehen die meisten Durchschnittsnutzer (mit ein wenig technischem Verständnis) dies als ein sicheres und anonymes System für die Zukunft der digitalen Währung. Es gibt jedoch ein kleines Problem: Keine Online-Festung ist undurchdringlich, und diese Smart Contracts bilden da keine Ausnahme. Sie sind im Grunde kleine Programme und können gehackt werden.

Smart Contracts sind anfällig für Exploits aufgrund einiger recht verbreiteter Schwachstellen, namentlich Integer-Overflow und -Underflow, Replay-Angriffe und der (sehr schädliche) Blockchain-zentrierte Bug, der zu Reentrancy-Angriffen führt. Letztere können dazu führen, dass das gespeicherte Krypto-Guthaben eines Nutzers komplett geleert wird. All diese Angriffe werden durch schlechte Codierungsmuster, die zu ausnutzbaren Schwachstellen führen, sowie durch unsichere Design-Grundlagen ermöglicht.

Diese Technologie wird nur noch weiter verbreitet werden, doch nach aktuellem Stand wird es uns schwerfallen, genügend sicherheitsbewusste Entwickler zu finden, um ein sicheres, ausfallsicheres Metaverse zu gewährleisten. Unternehmen müssen das Ausmaß ihrer Metaverse-Teilnahme verstehen, insbesondere wenn Daten und Währungen auf dem Spiel stehen… und es ist schwer, sich ein Szenario vorzustellen, in dem dies nicht der Fall wäre.

Es ist eine unregulierte Umgebung, und Sie sind (immer noch) das Produkt

Genau wie wir es in Filmen, im Fernsehen, in Second Life und in Videospielen gesehen haben, erlaubt uns eine Metaverse-Umgebung, zu sein, wer wir wollen. In einer virtuellen Welt sind die Möglichkeiten nur durch die eigene Vorstellungskraft begrenzt, und diese Flexibilität ist ein riesiger Anziehungspunkt für Nutzer. Die Kehrseite ist jedoch, dass eine geplante Größenordnung wie bei Meta einfach zu riesig und dezentralisiert ist, um sie aus Sicherheitsperspektive lückenlos zu überwachen. Betrug wird unvermeidlich sein, und geschickte Kriminelle werden aus Sicht des Social Engineering noch mehr Möglichkeiten haben.

Sensible Nutzerdaten sind das neue Gold, und das Metaverse hat das Potenzial, die reichhaltigste und vollständigste Datenquelle zu sein, die wir bisher gesehen haben, vorausgesetzt, die prognostizierte Akzeptanz verläuft wie geplant. Während man davon ausgehen kann, dass Software-Builds für das Metaverse aktuelle regulatorische Standards und Compliance-Maßnahmen einhalten werden, müssen diese aktualisiert werden, um ein schnell expandierendes digitales Universum und dessen Wirtschaft zu unterstützen. Entscheidend dafür ist, dass Unternehmen Verantwortung für die Sicherheit ihrer Beiträge zum Metaverse übernehmen – mit einem Grad an interner Sicherheitsreife, der sicherstellt, dass jede Person, die an der Software arbeitet, bei jedem Schritt ihres Prozesses an Sicherheit denkt und diese umsetzt, insbesondere das Entwicklerteam.

Warum sichere Programmierung für den Erfolg des Metaversums entscheidend sein wird

So unterhaltsam es auch sein mag, durch eine gesetzlose digitale Dimension zu streifen, repräsentiert durch einen Avatar, der alles ist, was man im echten Leben gerne wäre: Wir dürfen nie vergessen, dass hinter jeder „Figur“ ein Mensch steckt. Und wenn die Daten und Finanzen echter Menschen auf dem Spiel stehen, hat das mit einem Spiel nichts mehr zu tun.

In der Cybersicherheit wissen wir genau, dass Fehler verheerende Folgen haben können. Die Integrität jeder Komponente des Metaversums darf kein bloßer Nachtrag sein, wenn eine breite Akzeptanz und das Vertrauen der Verbraucher erreicht werden sollen.

Unternehmen können jetzt mit der Planung beginnen, indem sie eine realistische Einschätzung ihrer Sicherheitsreife vornehmen und den Schwerpunkt auf die Verbesserung der Sicherheitskompetenzen ihrer Entwickler legen. Wie die Studie der Rutgers University zeigt, ist die Zugriffskontrolle nur eine von vielen Schwachstellen, die zu einem massiven Datenleck führen können. Sicherheitsbewusste Entwickler wären weitaus besser in der Lage, diese Probleme bereits während der Programmierung zu lösen, lange bevor der Code festgeschrieben wird.

Sich auf den Fachkräftemangel in der Cybersicherheit zu berufen, wird nach einer großen Datenpanne im Metaversum nicht mehr ausreichen. Wir haben die Werkzeuge, um nicht nur unser Bestes zu geben, sondern die Standards für Softwaresicherheit nachhaltig zu verbessern. Jetzt ist die Zeit, in die Ausbildung der Architekten des Metaversums zu investieren und von der virtuellen Neugestaltung unserer Produkte und Dienstleistungen zu profitieren.