Bezpečnostní analýza virtuální reality a její dopady
Loading...
Date
Authors
ORCID
Advisor
Referee
Mark
A
Journal Title
Journal ISSN
Volume Title
Publisher
Vysoké učení technické v Brně. Fakulta informačních technologií
Abstract
Virtuální realita je v současné době využívána nejen pro zábavu, ale i pro práci a sociální interakci, kde má soukromí a důvěrnost informací vysokou prioritu. Avšak bohužel, bezpečnostní opatření uplatňovaná dodavateli softwaru často nejsou dostačující. Tato práce přináší rozsáhlou bezpečnostní analýzu populární aplikace Bigscreen pro virtuální realitu, která má více než 500 000 uživatelů. Byly využity techniky analýzy síťového provozu, penetračního testování, reverzního inženýrství a dokonce i metody pro application crippling. Výzkum vedl k odhalení kritických zranitelností, které přímo narušovaly soukromí uživatelů a umožnily útočníkovi plně převzít kontrolu nad počítačem oběti. Nalezené bezpečnostní chyby umožnily distribuci škodlivého softwaru a vytvoření botnetu pomocí počítačového červa šířícího se ve virtuálních prostředích. Byl vytvořen nový kybernetický útok ve virtální realitě nazvaný Man-in-the-Room. Dále byla objevena bezpečnostní chyba v Unity engine. Zodpovědné nahlášení objevených chyb pomohlo zmírnit rizika pro více než půl milionu uživatelů aplikace Bigscreen a uživatele všech dotčených aplikací v Unity po celém světě.
Immersive virtual reality is currently used not only for entertainment but also for work and social interaction where user's privacy and confidentiality of the information has a high priority. Unfortunately, security measures applied by software vendors are often not sufficient. This thesis delivers an extensive security analysis of a popular VR application Bigscreen which has more than 500,000 users. Techniques of network traffic analysis, penetration testing, reverse engineering, and even application crippling were utilised. Research led to a discovery of critical vulnerabilities directly exposing the privacy of the users and allowing the attacker to take full control of a victim's computer. Found security flaws allowed distribution of malware and creation of a botnet using a computer worm spreading in virtual environments. A novel VR cyber attack Man-in-the-Room was implemented. Furthermore, a security vulnerability in the Unity engine was discovered. Carried out responsible disclosure has helped to mitigate the risks for more than half a million Bigscreen users and all affected Unity applications worldwide.
Immersive virtual reality is currently used not only for entertainment but also for work and social interaction where user's privacy and confidentiality of the information has a high priority. Unfortunately, security measures applied by software vendors are often not sufficient. This thesis delivers an extensive security analysis of a popular VR application Bigscreen which has more than 500,000 users. Techniques of network traffic analysis, penetration testing, reverse engineering, and even application crippling were utilised. Research led to a discovery of critical vulnerabilities directly exposing the privacy of the users and allowing the attacker to take full control of a victim's computer. Found security flaws allowed distribution of malware and creation of a botnet using a computer worm spreading in virtual environments. A novel VR cyber attack Man-in-the-Room was implemented. Furthermore, a security vulnerability in the Unity engine was discovered. Carried out responsible disclosure has helped to mitigate the risks for more than half a million Bigscreen users and all affected Unity applications worldwide.
Description
Keywords
Immersive Virtual Reality, Man-in-the-Room Attack, Responsible Disclosure, Bigscreen, Unity, Forenzní analýza, Bezpečnostní analýza, Analýza síťového provozu, Penetrační testování, Reverzní inženýrství, Application Patching, Application Crippling, Rozšířená realita, Smíšená realita, HTC Vive, Oculus Rift, Altspace VR, Rec Room, Facebook Spaces, Immersive Virtual Reality, Man-in-the-Room Attack, Responsible Disclosure, Bigscreen, Unity, Forensic Analysis, Security Analysis, Network Traffic Analysis, Penetration Testing, Reverse Engineering, Application Patching, Application Crippling, Augmented Reality, Mixed Reality, HTC Vive, Oculus Rift, Altspace VR, Rec Room, Facebook Spaces
Citation
VONDRÁČEK, M. Bezpečnostní analýza virtuální reality a její dopady [online]. Brno: Vysoké učení technické v Brně. Fakulta informačních technologií. 2019.
Document type
Document version
Date of access to the full text
Language of document
en
Study field
Inteligentní systémy
Comittee
doc. Ing. František Zbořil, Ph.D. (předseda)
doc. Mgr. Adam Rogalewicz, Ph.D. (místopředseda)
Ing. Michal Bidlo, Ph.D. (člen)
doc. Ing. Lukáš Burget, Ph.D. (člen)
Ing. František Grézl, Ph.D. (člen)
Prof. RNDr. Mária Lucká, Ph.D. (člen)
Date of acceptance
2019-06-17
Defence
Student nejprve prezentoval výsledky, kterých dosáhl v rámci své práce. Komise se poté seznámila s hodnocením vedoucího a posudkem oponenta práce. Student následně odpověděl na otázky oponenta a na další otázky přítomných. Komise se na základě posudku oponenta, hodnocení vedoucího, přednesené prezentace a odpovědí studenta na položené otázky rozhodla práci hodnotit stupněm A. Otázky u obhajoby: Uvádíte, že jste také identifikoval chybu v UNITY API, konkrétně OpenURL. Je toto skutečně chyba v této metodě, nebo se jedná spíše o její nesprávné použití ze strany aplikace? Vámi identifikovaný útok nazvaný Man-in-the-Room je specifický pro VR systémy. Víte o nějakém realizovaném útoku na VR systémy? Diskutujte prosím na jaké výhody/zisk cílí útočník v rámci VR systémů? Jsou chyby závislé na operačním systému/platformě?
Result of defence
práce byla úspěšně obhájena
Document licence
Přístup k plnému textu prostřednictvím internetu byl licenční smlouvou omezen na dobu 3 roku/let