Detail práce
Security Analysis of Immersive Virtual Reality and Its Implications
Virtuální realita je v současné době využívána nejen pro zábavu, ale i pro práci a sociální interakci, kde má soukromí a důvěrnost informací vysokou prioritu. Avšak bohužel, bezpečnostní opatření uplatňovaná dodavateli softwaru často nejsou dostačující. Tato práce přináší rozsáhlou bezpečnostní analýzu populární aplikace Bigscreen pro virtuální realitu, která má více než 500 000 uživatelů. Byly využity techniky analýzy síťového provozu, penetračního testování, reverzního inženýrství a dokonce i metody pro application crippling. Výzkum vedl k odhalení kritických zranitelností, které přímo narušovaly soukromí uživatelů a umožnily útočníkovi plně převzít kontrolu nad počítačem oběti. Nalezené bezpečnostní chyby umožnily distribuci škodlivého softwaru a vytvoření botnetu pomocí počítačového červa šířícího se ve virtuálních prostředích. Byl vytvořen nový kybernetický útok ve virtální realitě nazvaný Man-in-the-Room. Dále byla objevena bezpečnostní chyba v Unity engine. Zodpovědné nahlášení objevených chyb pomohlo zmírnit rizika pro více než půl milionu uživatelů aplikace Bigscreen a uživatele všech dotčených aplikací v Unity po celém světě.
Immersive Virtual Reality, Man-in-the-Room Attack, Responsible Disclosure, Bigscreen, Unity, Forenzní analýza, Bezpečnostní analýza, Analýza síťového provozu, Penetrační testování, Reverzní inženýrství, Application Patching, Application Crippling, Rozšířená realita, Smíšená realita, HTC Vive, Oculus Rift, Altspace VR, Rec Room, Facebook Spaces
Student nejprve prezentoval výsledky, kterých dosáhl v rámci své práce. Komise se poté seznámila s hodnocením vedoucího a posudkem oponenta práce. Student následně odpověděl na otázky oponenta a na další otázky přítomných. Komise se na základě posudku oponenta, hodnocení vedoucího, přednesené prezentace a odpovědí studenta na položené otázky rozhodla práci hodnotit stupněm A.
- Uvádíte, že jste také identifikoval chybu v UNITY API, konkrétně OpenURL. Je toto skutečně chyba v této metodě, nebo se jedná spíše o její nesprávné použití ze strany aplikace?
- Vámi identifikovaný útok nazvaný Man-in-the-Room je specifický pro VR systémy. Víte o nějakém realizovaném útoku na VR systémy?
- Diskutujte prosím na jaké výhody/zisk cílí útočník v rámci VR systémů?
- Jsou chyby závislé na operačním systému/platformě?
Bidlo Michal, doc. Ing., Ph.D. (UPSY FIT VUT), člen
Burget Lukáš, doc. Ing., Ph.D. (UPGM FIT VUT), člen
Grézl František, Ing., Ph.D. (UPGM FIT VUT), člen
Lucká Mária, prof. RNDr., Ph.D. (FIIT STU), člen
Rogalewicz Adam, doc. Mgr., Ph.D. (UITS FIT VUT), člen
@mastersthesis{FITMT22158,
author = "Martin Vondr\'{a}\v{c}ek",
type = "Diplomov\'{a} pr\'{a}ce",
title = "Security Analysis of Immersive Virtual Reality and Its Implications",
school = "Vysok\'{e} u\v{c}en\'{i} technick\'{e} v Brn\v{e}, Fakulta informa\v{c}n\'{i}ch technologi\'{i}",
year = 2019,
location = "Brno, CZ",
language = "english",
url = "https://www.fit.vut.cz/study/thesis/22158/"
}