Rewolucja Virtual Reality w Polsce już wkrótce. Czy technologia jest bezpieczna?

Sztandarowe urządzenia VR czyli Oculus Rift (urządzenie stworzone we współpracy Oculus VR i Facebook) czy HTC Vive to koszt minimum 600 dolarów. Dodajmy, że są to niejako urządzenia peryferyjne, działające przy współpracy z dobrej klasy komputerami osobistymi. Na targach MWC 2016 w Barcelonie zrobiły ogromne wrażenie na ekspertach oraz użytkownikach.

Nie ulega wątpliwości, że wkrótce pojawią się w masowej sprzedaży także w Polsce. Wkrótce HTC Vive będzie można przetestować w salonach jednego operatorów. T-Mobile, dzięki współpracy z producentem, jako pierwszy operator na polskim rynku wprowadzi polskich graczy do wirtualnej rzeczywistości, oferując swoim klientom przetestowanie urządzenia wybranych punktach. Zapewne wkrótce pojawią się także w ofercie wielu sprzedawców w ramach umów wiązanych.

Poza wysokiej klasy „hełmami” od HTC czy Oculusa, na rynku mamy spory wysp gogli dedykowanych dla smartfonów. Jednym z najbardziej ciekawych urządzeń tego typu jest Samsung Gear VR – koszt ok. 500 złotych. Ale na rynku jest także wiele innych urządzeń tego typu jak Google Cardboard – kilkadziesiąt złotych. Ostatnio pojawiła się również propozycja dla najmłodszych. We współpracy z Google firma zabawkarska Mattel zaprezentowała na polskim rynku gogle ViewMaster. Poza oczywiście możliwością umieszczenia tam smartfona, gogle dzięki specjalnym dyskom pozwalają na korzystanie z rozszerzonej rzeczywistości. Cena to około 120 zł.

Zatem jak widać spory rozstrzał cenowy z pewnością spowoduje, że technologia nie będzie wyłącznie dla wybranych, ale dla szerokiej grupy osób. Postanowiliśmy zapytać ekspertów od cyberbezpieczeństwa, na ile taka technologia może być groźna dla użytkowników i na co należy uważać.

"Pojawia się platforma, która będzie zawierała błędy i ktoś zapewne będzie chciał to wykorzystać" - Erka Koivunen, doradca ds. cyberbezpieczeństwa w Firmie F-Secure

Jak wiadomo VR wymaga bardzo dużej mocy obliczeniowej zarówno jeśli chodzi o CPU, GPU, pamięć czy dużą przepustowość przy wymianie informacji z urządzeniami zewnętrznymi. Trudno jest sobie wyobrazić, żeby obecne rozwiązania z dziedziny VR-u mogły działać bez podpięcia stacji roboczej do Internetu. Dlatego też mamy tu do czynienia z klasycznymi źródłami zagrożeń. Oprogramowanie dla VR-u wymaga parsowania danych wejścia w formie plików i streamów, co rodzi nowe zagrożenia dla bezpieczeństwa systemu. Obliczenia graficzne odbywają się na poziomie jądra i tym samym stanowią zaproszenie dla hakerów. VR to teraz gorący temat w branży dlatego oprogramowanie musi rozwijać się niezwykle szybko. Zdarza się, że sterowniki graficzne powodują zawieszanie systemu kilka razy w tygodniu, co ewidentnie wskazuje na to, że optymalizowane są pod kątem wydajności, a nie stabilności czy bezpieczeństwa. Sterowniki graficzne są pełne luk w równie dużym stopniu jak spopularyzowane technologie Flash czy Java. Nic nie wskazuje na to, żeby developerzy w dziedzinie wirtualnej rzeczywistości byli szczególnie wyczuleni na kwestie bezpieczeństwa. Pojawia się zatem platforma, która będzie zawierała błędy i ktoś zapewne będzie chciał to wykorzystać. W tej chwili trudno wskazać przykłady ujawnionych incydentów związanych z VR-em, ale wydaje się, że w przyszłości duża część z nich będzie wiązała się z aspektami socjologicznymi i sposobami wykorzystania VR-u w biznesie, rozrywce czy komunikacji międzyludzkiej.

"Cyberprzestępcy zainteresują się w końcu VR" - Michał Jarski, Regional Director CEE w firmie Trend Micro

Zespoły badawcze Trend Micro postrzegają virtual reality jako potencjalny obszar działania hakerów w przyszłości, natomiast – jeżeli weźmiemy pod uwagę ich niewielką w tej chwili popularność – to nie są to rozwiązania, które mogłyby aktualnie stanowić bezpośrednie zagrożenie. Niemniej, upowszechnienie VR/AR pociągnie za sobą zwiększenia zainteresowania cyberprzestępców, którzy zaczną postrzegać rozszerzoną rzeczywistość za atrakcyjną przestrzeń dla swoich działań i będą tworzyć platformy służące do przeprowadzenia skutecznego ataku. Niezależnie od tego, z jakich rozwiązań korzystają użytkownicy (gogle, hełmy, cardboardy), te przyszłe zagrożenia można podzielić na kilka kategorii.

Pierwszą z nich jest kwestia bezpieczeństwa samego urządzenia (czyli tego, co się z nim dzieje), w takim samym stopniu, jak w dzisiejszym, tradycyjnym sposobie wykorzystywania telefonów, tabletów czy komputerów: malware, kradzież danych osobowych, wyłudzenia, ransowmare czy też obrabowanie konta bankowego lub karty kredytowej użytkownika.

Drugą kategorię stanowią kwestie zdrowotne. Wiadomo, że wirtualna rzeczywistość umożliwia widzenie trójwymiarowe oddziałujące bezpośrednio na mózg, układ nerwowy. Wobec tego urządzenia do VR posiadają regulacje, przykładowo dotyczące dostosowania głębi wrażenia przestrzenności do indywidualnych predyspozycji. Te ustawienia są zindywidualizowane, a zatem ktokolwiek, kto miałby możliwość wpłynięcia na nie, mógłby doprowadzić do zafałszowania parametrów, a przez to także pogorszenia zdrowia użytkownika.

Do trzeciego obszaru zagrożeń wliczają się wszystkie te, które są związane bezpośrednio z komunikacją międzyludzką oraz tworzeniem kompletnie nierzeczywistych, wirtualnych przestrzeni, w których użytkownicy będą „przebywać” i z których perspektywy zaczną postrzegać świat. I tu – podobnie jak w poprzedniej kategorii – wszystko sprowadza się do dopasowywania przestrzeni wirtualnej do indywidualnych preferencji, zainteresowań i potrzeb. Jest to również związane z działaniami czysto marketingowymi i maksymalnym profilowaniem użytkowników, czyli dostarczaniem osobom poruszającym się po wirtualnej rzeczywistości treści dla nich istotnych i interesujących. Można to wytłumaczyć, posługując się prostym przykładem. Jeśli dany użytkownik jest abstynentem, podczas swoich wędrówek po wirtualnych ulicach wszystkie sklepy oferujące alkohol będą zastąpione innym, ważnym dla niego przekazem, na przykład sprzętem sportowym czy specjalistycznymi księgarniami. Ten mechanizm stwarza wiele możliwości z perspektywy cyberprzestępców, szczególnie modyfikowania wyświetlanych treści, manipulowania rzeczywistością w celu namówienia do wykonania operacji, która dla przestępcy będzie korzystna, a dla użytkownika już nie. W ramach komunikacji międzyludzkiej istnieje możliwość kradzieży tożsamości, podstawiania botów czy podszywania się pod osobę, z którą użytkownik chce się skontaktować.

Z dzisiejszej perspektywy wszystkie powyższe przykłady to dość futurystyczne wizje i – jak w podobnych przewidywaniach bywa – może się okazać, że nie zaistnieją lub przybiorą zupełnie nieoczekiwane formy. Natomiast pozostają w mocy wszystkie obserwacje i zalecenia, odnoszące się do wielowarstwowości ochrony, zabezpieczania systemów, prywatności użytkowników – podstawowych zasad dbania o cyberbezpieczeństwo. Ostatecznie wszystkie elementy VR będą zasilane przez informacje pochodzące z data center, w związku z czym powinny być one należycie chronione.

"Zagrożeniem mogą być szkodliwe programy, które ukrywają się pod postacią legalnych aplikacji" - Piotr Kupczyk, Kaspersky Lab

Cyberzagrożenia związane z urządzeniami i aplikacjami do wirtualnej rzeczywistości to ciągle przyszłość, jednak już dzisiaj warto zwrócić uwagę na jeden aspekt związany z rozwiązaniami VR wykorzystującymi smartfony (np. Google Cardboard). Rozwiązania te są tanie i bazują na aplikacjach, które uruchamiane są na telefonie. Z racji niskobudżetowego charakteru całości, użytkownicy poszukują przede wszystkim aplikacji darmowych i tutaj pojawia się potencjalne zagrożenie. Po pierwsze, musimy być świadomi, że żadna aplikacja nie jest całkowicie darmowa, ponieważ najczęściej płacimy oglądając przymusowe reklamy lub - co znacznie gorsze - udostępniając pewne informacje o sobie, np. lokalizację, dane dotyczące naszych poczynań online itp. Dlatego bardzo ważne jest to, byśmy zawsze podczas instalacji sprawdzali jakich uprawnień żąda nowa aplikacja. Dodatkowym zagrożeniem mogą być szkodliwe programy, które ukrywają się pod postacią legalnych aplikacji. Po instalacji wykonują one w tle szkodliwe działania, takie jak wysyłanie SMS-ów na numery o podwyższonej opłacie, wykradanie lub niszczenie informacji przechowywanych w smartfonie, a nawet przechwytywanie wiadomości wysyłanych przez banki celem kradzieży pieniędzy z konta użytkownika. To zagrożenie dotyczy przede wszystkim użytkowników, którzy instalują aplikacje mobilne z nieoficjalnych źródeł, jednak nawet gdy korzystamy wyłącznie ze sklepu producenta naszego systemu operacyjnego, należy zachować czujność - przypadki przeniknięcia szkodliwych programów do takich sklepów mają miejsce.