元宇宙中的恶意攻击：在新前沿阵地对抗已知网络威胁

本文部分内容曾刊载于《信息安全杂志》，现经更新后在此发布。

‍

在几年前，我们常说网络安全领域如同“蛮荒西部”，人们迫切需要提高对这一领域的关注，更不用说许多网络攻击可能带来的现实生命威胁了。

快进到2023年，令人欣慰的是，我们已经取得了一些进展，特别是在许多有影响力国家的政府层面。然而，对我们而言，通往真正安全的代码和更可靠软件的道路永无止境。当下数字世界的宠儿——元宇宙——的出现，为代码级漏洞和社交工程攻击开辟了广阔的新战场。

而我们对于在这个虚实难辨的新领域中进行博弈，显然还未做好准备。

混合现实带来了加剧的风险

Despite its current status as Flavor of the Month, the concept of the metaverse has existed for a long time. The online platform Second Life has been around since 2003, servicing a loyal niche with a fully customizable online universe where users’ avatars interact via voice and text chat, games can be played, and companies like Adidas offer official virtual stores. On the pure gaming side, massively multiplayer online (MMO) games like Fortnite and World of Warcraft deliver expansive worlds to their players, and are increasingly dependent on microtransactions, or, forking out real money for virtual items. Fortnite alone made $4.3 billion in microtransaction revenue in its first two years in the market. 

显而易见，元宇宙概念不仅会长期存在，而且即将迎来马克·扎克伯格式的主流化推动。这是互联网（至少是社交媒体和部分电子商务）的一次激动人心的演进，但随之而来的网络攻击和破坏性漏洞的机会也令人瞠目结舌。

元宇宙的攻击面极其广泛，远不止于基于Web的软件、API和支付网关。VR头显及其配件等外围设备也对核心数据构成了威胁，如果这些设备内置的软件存在漏洞，它们将成为通往核心数据的便捷通道。

罗格斯大学的安全研究人员在今年早些时候揭示了“Face-Mic”项目，这是首个研究虚拟现实头显语音指令功能如何导致严重隐私泄露（即“窃听攻击”）的课题。这项研究非常引人入胜，它表明攻击者可能利用某些内置运动传感器的虚拟现实 (AR/VR) 头显来记录与语音相关的面部动作，从而窃取通过语音激活控制系统传输的敏感信息，包括信用卡信息和密码。问题的根源似乎在于缺乏用户身份验证。由于加速度计和陀螺仪不需要任何访问权限，复杂的面部动作、骨传导振动和空气振动都可能被记录下来，并根据用户的模式推断出从银行PIN码到高度机密的医疗记录等一切信息。

在元宇宙中，你的每一个动作都是一个数据点。如果软件安全防范松懈导致这些数据可被获取，攻击者铤而走险的动机将极其巨大。

智能合约面临更“聪明”的对手

元经济要求去中心化、非物质化、灵活性，当然，还有不妥协的安全性。目前，柴犬币 (Shiba Inu) 等各种加密货币社区中正在兴起元宇宙微经济。为了购买虚拟房地产和其他无形产品，人们会使用存储在区块链上的智能合约。

提到“区块链”，大多数普通人（具备一点技术常识的）会将其理解为一种安全且匿名的系统，代表着数字货币的未来。然而，这里有一个小问题：没有哪座在线堡垒是坚不可摧的，智能合约也不例外。它们本质上就是小程序，是可以被黑客攻击的。

智能合约容易受到几种常见漏洞的攻击，即整数溢出和下溢、重放攻击，以及以区块链为核心的、破坏力极强的重入攻击，后者可能导致用户的加密货币余额被清空。所有这些攻击都是由糟糕的编码模式导致的漏洞以及不安全的设计基础所引发的。

这项技术只会得到更广泛的应用，然而就目前而言，我们很难找到足够的具备安全意识的开发人员来确保元宇宙的安全与稳健。企业必须意识到其参与元宇宙的风险程度，特别是当数据和货币处于危险之中时……而很难想象会有哪种情况不涉及这些风险。

这是一个不受监管的环境，而你（依然）是产品本身

正如我们在电影、电视、《第二人生》和电子游戏中看到的那样，元宇宙环境允许我们成为任何想成为的人。在虚拟世界中，可能性仅受限于你的想象力，这种灵活性对用户有着巨大的吸引力。然而，其弊端在于，以Meta这类公司计划的规模来看，它过于庞大且去中心化，无法从安全角度实现严丝合缝的监管。诈骗将不可避免，而技术高超的犯罪分子在社交工程方面将拥有更多的手段。

敏感的用户数据是新的黄金，而元宇宙有潜力成为我们迄今为止所见过的最丰富、最完整的数据源，前提是预期采用率能如期实现。虽然可以假设元宇宙相关的软件构建将遵循当前的监管标准和合规措施，但这些标准需要更新，以适应快速扩张的数字宇宙及其经济体系。其核心在于，企业必须对其在元宇宙中的贡献承担安全责任，并具备成熟的内部安全体系，确保每一位参与软件开发的人员（尤其是开发团队）在流程的每一步都考虑到并落实安全措施。

为何安全编码对于元宇宙的成功至关重要

在不受法律约束的数字维度中自由驰骋，并以理想中的化身形象示人，这固然充满乐趣，但我们绝不能忘记，每个“角色”背后都是真实的人。当涉及真实用户的数据和财务安全时，这便不再仅仅是一场游戏。

在网络安全领域，我们深知失误可能带来毁灭性的后果。若想实现元宇宙的广泛普及并赢得消费者信任，就绝不能将元宇宙各组件的完整性视为事后补救的环节。

企业现在就可以通过客观评估自身的安全成熟度来着手规划，重点提升一线开发人员的安全技能。正如罗格斯大学的研究所示，访问控制仅是可能导致大规模数据泄露的众多潜在漏洞之一。具备安全意识的开发人员能够更好地在代码编写阶段，即在代码提交之前就解决这些问题。

一旦发生重大的元宇宙数据泄露事件，以网络安全人才短缺为借口将不再奏效。我们面前已有现成的工具，不仅能让我们尽力而为，更能从根本上提升软件安全标准。现在正是投资培训元宇宙架构师的最佳时机，让我们共同迎接产品与服务虚拟化重构所带来的红利。