Han surgido detalles sobre una falla de seguridad ahora parcheada que afecta los auriculares de realidad mixta Vision Pro de Apple que, si se explota con éxito, podría permitir a atacantes maliciosos inferir datos ingresados en el teclado virtual de Apple.
El ataque, apodado GAZEploitSe le ha asignado el identificador CVE CVE-2024-40865.
“Un nuevo ataque que puede inferir datos biométricos relacionados con los ojos a partir de la imagen del avatar para reconstruir texto escrito mediante entrada controlada por la mirada”, dijo un grupo de académicos de la Universidad de Florida. dicho.
“El ataque GAZEploit explota la vulnerabilidad inherente de la entrada de texto controlada por la mirada cuando los usuarios comparten un avatar virtual. »
Tras una divulgación responsable, Apple solucionó el problema en visionOS 1.3 lanzado el 29 de julio de 2024. Describió que la vulnerabilidad afectaba a un componente llamado Presencia.
“Las entradas del teclado virtual se pueden deducir de Persona”, dicho en un aviso de seguridad, y agregó que solucionó el problema “suspendiendo Persona cuando el teclado virtual está activo”.
En pocas palabras, los investigadores descubrieron que era posible analizar los movimientos oculares (o “mirada”) de un avatar virtual para determinar qué estaba escribiendo el usuario que llevaba los auriculares en el teclado virtual, comprometiendo así su vida privada.
Por lo tanto, un actor malintencionado podría, hipotéticamente, analizar avatares virtuales compartidos a través de videollamadas, aplicaciones de reuniones en línea o plataformas de transmisión en vivo y realizar inferencias de pulsaciones de teclas de forma remota. Luego, esto podría aprovecharse para extraer información confidencial, como contraseñas.
El ataque, a su vez, se lleva a cabo mediante un modelo de aprendizaje supervisado entrenado en grabaciones de Persona, relación altura/ancho de los ojos (EAR) y estimación de la mirada para diferenciar entre mecanografiar y otras actividades relacionadas con la realidad virtual (por ejemplo, mirar). películas o jugar juegos).
En el siguiente paso, las direcciones de estimación de la mirada en el teclado virtual se asignan a teclas específicas para determinar posibles pulsaciones de teclas de una manera que también tenga en cuenta la ubicación del teclado en el espacio virtual.
“Al capturar y analizar de forma remota el vídeo del avatar virtual, un atacante puede reconstruir las pulsaciones de teclas”, dijeron los investigadores. “En particular, el ataque GAZEploit es el primer ataque conocido en esta área que aprovecha la información de la mirada filtrada para realizar de forma remota la inferencia de pulsaciones de teclas. »