元宇宙中的恶意：在新领域对抗已知的网络威胁

这篇文章的一个版本出现在 《信息安全》杂志。它已在此处更新和发布。

‍

一个 几年前，我们经常谈论狂野西部的网络安全，总体而言，迫切需要更多的人关心它，更不用说许多网络攻击可能对生命构成的真实风险了。

快进到2023年，很高兴看到已经取得了一些进展，尤其是在许多有影响力的国家的政府层面。但是，对我们来说，通往真正安全的代码和更安全的软件的旅程是永无止境的。当下的数字宠儿——元宇宙——的出现为代码级漏洞和社会工程增加了广阔的新攻击面。

而且我们根本没有为在这个靠烟雾和镜子蓬勃发展的新竞争环境中战斗做好准备。

混合现实伴随着更大的风险

尽管元宇宙目前是 “本月风味”，但其概念已经存在了很长时间。在线平台 第二人生 自 2003 年以来一直存在，通过完全可定制的在线世界为忠实的利基市场提供服务，用户的头像通过语音和文字聊天进行互动，可以玩游戏，阿迪达斯等公司也提供官方虚拟商店。在纯粹的游戏方面，诸如Fortnite和魔兽世界之类的大型多人在线游戏（MMO）为玩家提供了广阔的世界，并且越来越依赖微交易，或者花真钱购买虚拟物品。单独制作了 Fortnite 43 亿美元的微交易收入 在上市的头两年中。

很明显，元宇宙的概念不仅将继续存在，而且还将成为马克·扎克伯格大小的概念 进入主流。众所周知，这是互联网——或者至少是社交媒体和某些电子商务——的激动人心的演变，但是网络攻击和破坏性漏洞的机会令人难以置信。

元宇宙的攻击面影响深远，远远超出了基于 Web 的软件、API 和支付网关。虚拟现实头戴式耳机和配件的外围元素也对核心数据构成威胁，如果这些设备容易受到攻击，那么这些设备中的机载软件就是一个非常方便的红地毯。

罗格斯大学的安全研究人员透露”面部麦克风” 今年早些时候，这是同类研究中的第一项研究，研究了虚拟现实头戴式耳机的语音命令功能如何导致严重的隐私泄露，即所谓的 “窃听攻击”。这项工作引人入胜，表明威胁行为者有可能使用一些带有内置运动传感器的虚拟现实（AR/VR）头戴式耳机来记录与语音相关的面部手势，从而可能导致通过语音激活控件通信的敏感信息被盗，包括信用卡信息和密码。问题的根本原因似乎是缺乏用户身份验证。由于加速度计和陀螺仪不需要任何权限即可访问，因此可以记录复杂的面部动作、骨源振动和空中振动，并根据用户的模式推断出从银行密码到高度受限的医疗记录的所有内容。

在元宇宙中，你做出的每一个动作都是一个数据点，如果通过松懈的软件安全性可以访问它，那么攻击者碰碰运气的动机是巨大的。

智能合约面对聪明（呃）的对手

元经济需要去中心化、非物质化、灵活性，当然还有不折不扣的安全性。目前，各种加密货币社区中有不断增长的元宇宙微观经济体，例如Shiba Inu。为了购买虚拟房地产和其他无形产品， 智能合约 使用存储在区块链上。

提到 “区块链”，大多数普通人（稍微精通技术）都将其理解为一个安全的匿名系统，适用于被认为是数字货币的未来。但是，这有一个小问题：没有一个在线堡垒是无法穿透的，那些智能合约也不例外。它们本质上是小程序，可以被黑客入侵。

智能合约容易受到利用，这要归功于一些相当常见的漏洞，即整数溢出和下溢、重放攻击以及导致重入攻击的（非常具有破坏性的）以区块链为中心的错误，后者可能导致用户存储的加密货币余额被耗尽。所有这些攻击之所以成为可能，是因为不良的编码模式导致了可利用的漏洞，以及不安全的设计基础。

这项技术只会被更广泛地使用，但是，就目前情况而言，我们将很难找到足够的安全意识的开发人员来确保安全、万无一失的元宇宙。组织必须了解其参与元宇宙的规模，尤其是在数据和货币受到威胁的情况下... 而且很难想象情况会不是这样。

这是一个不受监管的环境，而你（仍然）是产品

就像我们在电影、电视中看到的那样， 第二人生以及电子游戏，元宇宙环境使我们能够成为我们想要的人。在虚拟世界中，可能性仅受您的想象力的限制，而这种灵活性对用户来说是一个巨大的吸引力。但是，缺点是，按照Meta之类的计划规模，它实在是太庞大和分散了，从安全角度来看，无法以一种可以使其密不可分的方式进行监管。诈骗将是不可避免的，从社会工程学的角度来看，技术熟练的犯罪分子将有更多的工作要做。

敏感的用户数据是新的黄金，元宇宙有可能成为我们迄今为止见过的最丰富、最完整的数据来源， 预计采用率 按计划进行。虽然可以假设与元界相关的软件版本将遵守当前的监管标准和合规措施，但这些都需要适合支持快速扩张的数字世界及其经济的更新。其核心将是各组织对其对元宇宙的贡献的安全性负责，并保持一定的内部安全成熟度，确保每个软件开发人员在其流程的每一个步骤，尤其是开发群组，都在考虑和实施安全性。

为什么安全编码对元宇宙的成功至关重要

尽管在无法无天的数字维度上大放异彩可能很有趣，但我们永远不能忘记每个 “角色” 的背后都有一个人，而头像就是你希望在现实世界中成为的一切。而且，当真实的人的数据和财务受到威胁时，它与游戏相去甚远。

在网络安全方面，我们很清楚错误的后果可能确实是毁灭性的，如果要实现广泛采用和消费者的信任，元宇宙的每个组成部分的完整性都不是事后才想到的。

组织现在可以通过对自己的安全成熟度进行切合实际的评估来开始规划，重点是提高积极开发软件的开发人员的安全技能。正如我们从罗格斯大学的研究中看到的那样，访问控制只是一个可能导致广泛数据泄露的强大漏洞，具有安全意识的开发人员在编写代码时以及在输入提交的代码之前就能更好地解决这些问题。

在一次重大的元宇宙数据泄露之后，以网络安全技能短缺为借口不会被洗劫一空，而且我们面前的工具不仅可以尽力而为，还可以积极永久提升软件安全标准。现在是投资培训元宇宙架构师的时候了，并从对我们所知的产品和服务的虚拟重新构想中受益。