Apple ha solucionado una vulnerabilidad crítica en Vision Pro llamada “GAZEploit”.

Visión Pro de Apple Esta función tiene una forma de mostrar una versión virtual de ti mismo al mundo mientras interactúas con otros en realidad virtual. Desafortunadamente, los piratas informáticos pueden utilizar esta misma característica, llamada Persona, para robar datos confidenciales de los usuarios de Vision Pro.

La falla de seguridad fue descubierta por un grupo de seis científicos informáticos del Departamento de Ciencias de la Computación de la Universidad de Florida y fue reportada por primera vez por cableado.

el Ataque GAZEploitEl software, como lo llamaron los investigadores, funciona siguiendo los movimientos oculares del usuario para reconocer si está escribiendo algo en el teclado virtual de Vision Pro. Los investigadores descubrieron que los usuarios tienden a dirigir su mirada hacia ciertas teclas que están a punto de presionar y pudieron construir un algoritmo que determina lo que escriben los usuarios. Los resultados fueron muy precisos; Por ejemplo, los investigadores pudieron identificar los caracteres correctos de las contraseñas de los usuarios el 77 por ciento de las veces. Cuando se trataba de detectar lo que la gente escribía en un mensaje, los resultados fueron precisos el 92 por ciento de las veces.

Los investigadores revelaron la vulnerabilidad a Apple en abril y Apple la solucionó en VisionOS 1.3, lanzado en julio. Notas de la versiónApple dice que la falla permitió que las entradas al teclado virtual se infirieran de Persona.

“El problema se solucionó suspendiendo Persona cuando el teclado virtual está activo”, escribió Apple en las notas de la versión. Se recomienda a los usuarios de Vision Pro que no hayan actualizado a la última versión que lo hagan lo antes posible.

Aunque deshabilitar Persona mientras el usuario escribe fue una solución bastante simple, la falla plantea la pregunta de cuánta información puede inferir un pirata informático malintencionado con solo observar una versión virtual de usted.

El ataque no se utilizó contra alguien que usara Persona en el mundo real, dijeron los investigadores. Pero lo que hace que este ataque sea particularmente peligroso es que solo requiere una grabación de video del personaje de alguien mientras la persona escribe, lo que significa que un atacante aún podría usarlo en videos más antiguos. Parece que la única forma de mitigar este problema es borrar todos los vídeos disponibles públicamente en los que Persona sea visible mientras escribe; Nos comunicamos con Apple para obtener aclaraciones sobre qué puede hacer para proteger sus datos.