Metaverse ist anfällig für Cyberangriffe

Vom heimischen Rechner aus über den Webbrowser Zugang zu virtuellen Welten erhalten und dabei sicher und mit viel Privatsphäre mit anderen interagieren können: das ist das Versprechen von Metaverse-Plattformen. CISPA-Forscher Andrea Mengascini hat dieses Versprechen in seiner Studie „The Big Brother's New Playground. Unmasking the Illusion of Privacy in Web Metaverses from a Malicious User's Perspective” einem Realitätscheck unterzogen und erhebliche Risiken hinsichtlich mangelnden Privatsphäreschutzes sowie der Gefahr von Cyberangriffen gefunden.

„Der Zugang zum Metaverse ist in den letzten Jahren viel einfacher geworden“ erklärt Mengascini. „Heute reicht ein normaler Webbrowser aus, um diese Räume zu betreten. Dank der WebXR-API-Schnittstelle kann dabei auch ein VR-Headset genutzt werden.“ Im Metaverse finden die Menschen eine Art digitale Kopie der realen Welt: Es gibt Räume, um sich privat zum Austausch zu treffen, große oder kleinere öffentliche Events, Spaß und Unterhaltung.

„Diese Plattformen werden als webbasierte Clients ausgeführt und verwenden JavaScript, um komplexe 3D-Umgebungen, die Avatare der Benutzer und Echtzeitinteraktionen zu verwalten. All das ist nicht nur entscheidend für den reibungslosen Betrieb des Metaverse, sondern spielt auch eine große Rolle für dessen Sicherheit“, so der CISPA-Forscher. Herauszufinden, ob es beim Zugang zum Metaverse über Webbrowser Sicherheitslücken gibt, war Mengascinis Ziel.

Interne Speicher sind einfach zugänglich

„Die wichtigste Erkenntnis ist, dass es diesen Plattformen an einfachsten Sicherheitsmechanismen mangelt“, erklärt Mengascini. „Das Problem ist, dass vor allem der Speicher der Browser viel zu einfach zugänglich ist.“ Selbst ein Laie könne mit etwas Übung sowohl auf den Quellcode als auch auf die eigentlichen Objekte im Speicher zugreifen.

„Darüber hinaus haben wir herausgefunden, dass diese Plattformen eigentlich normale Praktiken des guten Programmierens bei der Entwicklung von Webanwendungen vermasselt haben“, so der Forscher weiter. „Die Entwickler der Plattformen haben übersehen, dass durch eine Mischung aus nicht überprüften clientseitigen Informationen und einer übermäßigen Weitergabe von Informationen an den Client Angriffe möglich sind.“

Was all dies konkret bedeutet, erläutert Mengascini an einem Beispiel: „Nehmen wir mal an, es gäbe einen CISPA-Metaverse mit einem exakten Nachbau unseres Gebäudes. Was ich geschildert habe, würde bedeuten, dass die Computer eines jeden Users alle Information darüber bekommen, was am CISPA gerade passiert: Wer mit wem in welchem Raum spricht, wo sich einzelne Personen befinden und wie sie sich bewegen, inklusive der genauen Positionen der Wände.

Daraus errechnet mein Computer die virtuelle Umgebung und sorgt etwa dafür, dass eine Wand verhindert, dass ich Gespräche im Büro des Direktors mithören kann. Gleichwohl hat der Browser aber die Information, was in dem Raum gesprochen wird. Und das ist schlecht. Auch wenn man mit einem normalen Client nicht mithören kann, können diese Informationen von Angreifer recht einfach extrahiert werden. Deswegen ist es wichtig, nicht zu viele Informationen zu teilen.“

Mögliche Angriffsszenarien und Gegenmaßnahmen

Aus dieser Sicherheitslücke ergeben sich laut Mengascini eine Reihe möglicher Angriffsszenarien. Grundlegend ist die Erkenntnis, dass es für Angreifer möglich ist, die Avatar- und die Kamera-Position von Angreifer und Opfer sowie deren Aussehen unabhängig voneinander anzusteuern. Angreifer können zum Beispiel die ihre Kamera unabhängig von ihrem Avatar bewegen, erklärt Mengascini. „Damit können sich Angreifer ungesehen im Raum positionieren und mithören“, so Mengascini weiter.

Eine andere Möglichkeit ist, dass Angreifer ohne Wissen der Nutzer deren Kamera-Inhalte sehen können. „Das ist als würden sich Angreifer die VR-Brille des Nutzers aufsetzen, ohne dass dieser es merkt“, erklärt der Forscher. Damit dies nicht passiert, müssten möglichst viele Informationen auf Seite des Servers verbleiben, was dort jedoch zu einer erhöhten Rechenleistung führen würde. Genau dies ist laut Mengascini auch einer der Gründe, warum die Metaverse-Plattformen so stark auf die Webbrowser setzen.

Wie in der Cybersicherheitsforschung üblich, wurden die Plattformen über die Sicherheitslücken informiert und ihnen Zeit gegeben, diese zu schließen. Umgesetzt hat dies bisher keine der Plattformen, weshalb deren Namen im veröffentlichten Paper weiter anonymisiert sind. „Aus Forschersicht bin ich auf der einen Seite natürlich besorgt darüber, dass die Plattformen sich nicht auf die Sicherheit konzentrieren wollen oder dazu nicht die Manpower haben“, erzählt Mengascini. „Auf der anderen Seite vertrete ich den Standpunkt, dass wir als Forscher jetzt eine offene Forschungsfrage haben. Vielleicht ist es an der Zeit, dass wir Sicherheitsmechanismen vorschlagen, wie Angriffe verhindert oder zumindest erschwert werden können.“

Bild von freepik