Han aparegut detalls sobre una falla de seguretat que ara afecta els auriculars de realitat mixta Vision Pro d’Apple que, si s’aprofiten amb èxit, podrien permetre que els atacants maliciosos inferissin les dades introduïdes al teclat virtual del dispositiu.

L’atac, anomenat GAZEploit, té assignat l’identificador CVE CVE-2024-40865.

Un grup d’acadèmics de la Universitat de Florida, l’equip CertiK Skyfall i la Texas Tech University han comunicat que «Un nou atac que pot inferir la biometria relacionada amb els ulls de la imatge de l’avatar per reconstruir el text introduït mitjançant la mecanografia controlada amb la mirada», i afegeix «L’atac GAZEploit aprofita la vulnerabilitat inherent a l’entrada de text controlada per la mirada quan els usuaris comparteixen un avatar virtual.»

Després de la divulgació responsable, Apple va abordar el problema a visionOS 1.3 llançat el 29 de juliol de 2024. Va descriure la vulnerabilitat que afectava un component anomenat Presència.

«Les entrades al teclat virtual es poden deduir de Persona», va establir en un avís de seguretat, afegint que va resoldre el problema “si s’expulsa Persona quan el teclat virtual està actiu.»

En poques paraules, els investigadors van trobar que era possible analitzar els moviments oculars (o “mirades”) d’un avatar virtual per determinar què escrivia al teclat virtual l’usuari que portava els auriculars, comprometent efectivament la seva privadesa.

Com a resultat, un actor d’amenaça podria, hipotèticament, analitzar avatars virtuals compartits mitjançant videotrucades, aplicacions de reunions en línia o plataformes de transmissió en directe i fer inferències de tecles de manera remota. Això es podria aprofitar per extreure informació delicada com ara les contrasenyes.

L’atac, al seu torn, s’aconsegueix mitjançant un model d’aprenentatge supervisat entrenat en enregistraments de Persona, relació d’aspecte ocular (EAR) i estimació de la mirada ocular per diferenciar entre sessions de mecanografia i altres activitats relacionades amb la realitat virtual (per exemple, veure pel·lícules o jugar a jocs).

En el pas següent, les direccions d’estimació de la mirada al teclat virtual es mapegen a tecles específiques per tal de determinar les possibles pulsacions de tecles de manera que també tingui en compte la ubicació del teclat a l’espai virtual.

Els investigadors també van dir que «En capturar i analitzar de forma remota el vídeo de l’avatar virtual, un atacant pot reconstruir les tecles escrites.» «En particular, l’atac GAZEploit és el primer atac conegut en aquest domini que aprofita la informació filtrada de la mirada per realitzar inferències de pulsació de tecla de manera remota.»