‘Wachtwoorden van Vision Pro-gebruikers waren te achterhalen’
Bij het typen van teksten hadden de onderzoekers nog meer succes, want dan is 92% te raden. Als je een Spatial Persona (een 3D-avatar) van jezelf gebruikt op de Apple Vision Pro, dan kun je typen met je ogen door naar de juiste letters te kijken. De 3D-avatar beweegt dan met je mee. Als je op dat moment met anderen in een videogesprek zit, kunnen ze (met wat moeite) raden welke letters je kiest. De onderzoekers hoefden geen toegang te krijgen tot de Vision Pro, maar hadden genoeg aan het beeldmateriaal van de 3D-avatar. Een woordvoerder van Apple heeft bevestigd dat de kwetsbaarheid bestond en dat het is verholpen in visionOS 1.3.
Apple heeft foutcode CVE-2024-40865 toegewezen aan het lek en raadt gebruikers aan om altijd de nieuwste software-update te installeren. De ontdekking wordt vandaag onthuld door een groep van zes comptuerwetenschappers. Voor de duidelijkheid: de onderzoekers kregen geen toegang tot de Vision Pro van Apple om te zien wat ze aan het bekijken waren. In plaats daarvan ontdekten ze wat mensen typten door op afstand de oogbewegingen te analyseren van een virtuele avatar die door de Vision Pro wordt gemaakt. Deze avatar is te gebruiken in gesprekken van Zoom, Teams, Slack, Reddit, Tinder, Twitter, Skype en FaceTime.
Om de beelden automatisch te kunnen omzetten naar tekst maakten de onderzoekers een neuraal netwerk, dat ze trainden met beelden van verschillende avatars. Ze ontwikkelden ook een exploit met de naam GAZEploit, die ze in onderstaande video laten zien.
Vision Pro werkt met Optic ID
Het klinkt allemaal vrij ernstig, maar in de praktijk valt het allemaal wel mee. Tijdens een videocall zul je zelden wachtwoorden en andere vertrouwelijke gegevens ‘intikken’ met je ogen. Apple Vision Pro gebruikt Optic ID om je te identificeren, zodat je geen toegangscodes en wachtwoorden hoeft in te voeren. Wel maakt het duidelijk hoe biometrische kenmerken gevoelige informatie kunnen blootleggen.
Vaste patronen verklappen je gedrag
De onderzoekers van de universiteit van Florida, Texas Tech University en beveiligingsbedrijf CertiK gebruikten twee biometrische kenmerken van de Persona: de oogaspectratio (EAR) en de schatting van de oogopslag. “Als we aan het typen zijn, vertoont onze blik een aantal vaste patronen,” zegt een van de onderzoekers. “Tijdens taken als gaze typing neemt de frequentie van je oogknipperen af omdat je meer gefocust bent”.
Het tweede deel van het onderzoek keek naar de plaatsing en grootte van het toetsenbord. Dit bepaalt namelijk hoe ver je ogen naar linksboven kijken om bijvoorbeeld een Q te typen. Zodra de afmetingen van het toetsenbord bekend zijn, is te achterhalen welke toetsaanslagen er worden gedaan. Dubbele letters en typefouten zorgen voor extra uitdagingen. De aanval is in het laboratorium getest en is niet gebruikt om iemand daadwerkelijk af te luisteren. Maar een kwaadwillende hacker zou er wel misbruik van kunnen maken. De aanvaller zou dan een videogesprek met het slachtoffer kunnen opnemen om achteraf te achterhalen wat er is ingetikt.
Vision Pro
