Malveillance dans le métavers : combattre les cybermenaces connues sur une nouvelle frontière

Une version de cet article a été publiée dans Infosecurity Magazine. Il a été mis à jour et syndiqué ici.

‍

Il y a quelques années, nous parlions beaucoup du Far West qu'est la cybersécurité, et du besoin urgent de sensibiliser davantage le public, sans parler des risques réels pour la vie humaine que peuvent engendrer de nombreuses cyberattaques.

En 2023, il est encourageant de constater que des progrès ont été réalisés, notamment au niveau gouvernemental dans de nombreux pays influents. Pour nous, cependant, le chemin vers un code réellement sécurisé et des logiciels plus sûrs est sans fin. L'avènement de la coqueluche numérique du moment, le métavers, ajoute une vaste surface d'attaque inédite, tant pour les vulnérabilités au niveau du code que pour l'ingénierie sociale.

Et nous ne sommes tout simplement pas prêts à livrer bataille sur ce nouveau terrain de jeu qui ne repose que sur des illusions.

La réalité mixte s'accompagne de risques accrus

Malgré son statut actuel de tendance du moment, le concept de métavers existe depuis longtemps. La plateforme en ligne Second Life existe depuis 2003, servant une niche fidèle avec un univers en ligne entièrement personnalisable où les avatars des utilisateurs interagissent par chat vocal et textuel, où des jeux peuvent être pratiqués et où des entreprises comme Adidas proposent des boutiques virtuelles officielles. Côté jeu pur, les jeux massivement multijoueurs en ligne (MMO) comme Fortnite et World of Warcraft offrent des mondes vastes à leurs joueurs et dépendent de plus en plus des microtransactions, c'est-à-dire du fait de dépenser de l'argent réel pour des objets virtuels. Fortnite a généré à lui seul 4,3 milliards de dollars de revenus issus des microtransactions au cours de ses deux premières années sur le marché.

Il est clair que le concept de métavers est non seulement là pour durer, mais qu'il est également sur le point de connaître une percée grand public à la mesure de Mark Zuckerberg. Il s'agit d'une évolution passionnante de l'internet — ou du moins des réseaux sociaux et d'une partie du commerce électronique — tel que nous le connaissons, mais les opportunités de cyberattaques et d'exploits dommageables sont vertigineuses.

La surface d'attaque du métavers est vaste et s'étend bien au-delà des logiciels web, des API et des passerelles de paiement. Les éléments périphériques tels que les casques VR et leurs accessoires constituent également une menace pour les données essentielles, les logiciels embarqués dans ces appareils offrant un tapis rouge très pratique vers des informations sensibles s'ils présentent des vulnérabilités.

Des chercheurs en sécurité de l'université Rutgers ont révélé « Face-Mic » plus tôt cette année, la première étude du genre examinant comment les fonctionnalités de commande vocale des casques de réalité virtuelle pourraient mener à de graves violations de la vie privée, appelées « attaques par écoute ». Ces travaux sont fascinants et montrent que des acteurs malveillants pourraient potentiellement utiliser certains casques de réalité virtuelle (AR/VR) dotés de capteurs de mouvement intégrés pour enregistrer les gestes faciaux associés à la parole, ce qui pourrait conduire au vol d'informations sensibles communiquées via des commandes vocales, notamment les numéros de carte bancaire et les mots de passe. La cause profonde du problème semble être un manque d'authentification de l'utilisateur. L'accéléromètre et le gyroscope ne nécessitant aucune autorisation d'accès, les mouvements faciaux complexes, les vibrations osseuses et les vibrations aériennes pourraient être enregistrés et utilisés pour déduire tout type d'information, des codes bancaires aux dossiers médicaux hautement confidentiels, selon les habitudes de l'utilisateur.

Dans le métavers, chaque mouvement que vous faites est un point de données, et si l'accès à ces données est possible en raison d'une sécurité logicielle laxiste, l'incitation pour les attaquants à tenter leur chance est énorme.

Les contrats intelligents face à des adversaires (plus) intelligents

La méta-économie exige décentralisation, dématérialisation, flexibilité et, bien sûr, une sécurité sans compromis. À l'heure actuelle, des micro-économies de métavers se développent au sein de diverses communautés de cryptomonnaies, comme Shiba Inu. Pour acheter des biens immobiliers virtuels et d'autres produits immatériels, on utilise des contrats intelligents stockés sur la blockchain.

Mentionnez la « blockchain » et la plupart des gens (avec un minimum de connaissances technologiques) la comprennent comme un système sécurisé et anonyme pour ce qui est considéré comme l'avenir de la monnaie numérique. Il y a cependant un petit problème : aucune forteresse en ligne n'est impénétrable, et ces contrats intelligents ne font pas exception. Ce sont essentiellement de petits programmes, et ils peuvent être piratés.

Les contrats intelligents sont vulnérables à l'exploitation en raison de quelques failles assez courantes, à savoir le dépassement et le sous-dépassement d'entiers, les attaques par rejeu et le bug (très dommageable) centré sur la blockchain menant à des attaques par réentrance, ces dernières pouvant conduire à ce qu'un utilisateur soit vidé de son solde crypto stocké. Toutes ces attaques sont rendues possibles par des modèles de codage médiocres menant à des vulnérabilités exploitables et à des principes de conception non sécurisés.

Cette technologie ne fera que se généraliser, pourtant, en l'état actuel des choses, nous aurons du mal à trouver suffisamment de développeurs sensibilisés à la sécurité pour garantir un métavers sûr et infaillible. Les organisations doivent comprendre l'ampleur de leur participation au métavers, surtout si des données et des devises sont en jeu… et il est difficile d'imaginer un scénario où ce ne serait pas le cas.

C'est un environnement non réglementé, et vous êtes (toujours) le produit

Tout comme nous l'avons vu dans les films, à la télévision, dans Second Life et dans les jeux vidéo, un environnement de métavers nous permet d'être qui nous voulons. Dans un monde virtuel, les possibilités ne sont limitées que par votre imagination, et cette flexibilité est un attrait majeur pour les utilisateurs. Cependant, l'inconvénient est qu'à l'échelle prévue par une entreprise comme Meta, c'est tout simplement trop vaste et décentralisé pour être contrôlé de manière à le rendre hermétique d'un point de vue sécuritaire. Les escroqueries seront inévitables, et les criminels qualifiés auront encore plus de leviers à exploiter en matière d'ingénierie sociale.

Les données sensibles des utilisateurs sont le nouvel or, et le métavers a le potentiel d'être la source de données la plus riche et la plus complète que nous ayons vue à ce jour, à condition que l'adoption projetée se déroule comme prévu. Bien que l'on puisse supposer que les constructions logicielles liées au métavers respecteront les normes réglementaires et les mesures de conformité actuelles, celles-ci devront être mises à jour pour soutenir un univers numérique et une économie en expansion rapide. Il sera essentiel que les organisations assument la responsabilité de la sécurité de leurs contributions au métavers, avec un niveau de maturité en sécurité interne garantissant que chaque personne travaillant sur le logiciel pense à la sécurité et l'implémente à chaque étape de son processus, en particulier au sein de l'équipe de développement.

Pourquoi le codage sécurisé sera crucial pour le succès du métavers

Aussi amusant que puisse être le fait de parcourir une dimension numérique sans foi ni loi, représenté par un avatar qui incarne tout ce que vous aimeriez être dans le monde réel, nous ne devons jamais oublier qu’un être humain se cache derrière chaque « personnage ». Et lorsque les données et les finances de personnes réelles sont en jeu, nous sommes bien loin d’un simple jeu.

En cybersécurité, nous savons pertinemment que les erreurs ont des conséquences qui peuvent être réellement dévastatrices. L’intégrité de chaque composant du métavers ne peut être une réflexion après coup si l’on veut parvenir à une adoption généralisée et à la confiance des consommateurs.

Les organisations peuvent commencer à planifier dès maintenant en évaluant de manière réaliste leur maturité en matière de sécurité, en mettant l’accent sur le renforcement des compétences en sécurité des développeurs travaillant activement sur les logiciels. Comme le montre l’étude de l’Université Rutgers, le contrôle d’accès n’est qu’une vulnérabilité parmi d’autres pouvant entraîner une fuite de données massive. Des développeurs sensibilisés à la sécurité seraient bien mieux armés pour résoudre ces problèmes dès l’écriture du code, bien avant qu’il ne soit validé.

Se retrancher derrière la pénurie de compétences en cybersécurité ne sera plus une excuse valable après une faille de données majeure dans le métavers. Nous disposons des outils nécessaires non seulement pour faire de notre mieux, mais aussi pour élever durablement les normes de sécurité logicielle. Il est temps d’investir dans la formation des architectes du métavers et de récolter les fruits d’une réinvention virtuelle de nos produits et services.