VRSafe: A Secure Virtual Keyboard to Mitigate Keystroke Inference in Virtual Reality

1. O Problema

A autenticação baseada em senhas é predominante em ambientes de Realidade Virtual (VR), mas está vulnerável a ataques de inferência de teclas (keystroke inference).

• Vulnerabilidade: Ataques baseados em vídeo, áudio, dados de giroscópio ou sinais Wi-Fi podem capturar os movimentos das mãos e dos controladores do usuário para reconstruir a sequência de digitação.
• Limitação das Defesas Atuais: Soluções existentes frequentemente exigem layouts de teclado radicalmente alterados (ex: curvos ou aleatórios), o que impõe uma alta carga cognitiva e física, prejudicando a usabilidade.
• Subestimação da Ameaça: Muitos estudos avaliam defesas contra correções simples de digitação, mas falham em considerar adversários que utilizam modelos avançados de adivinhação de senhas (baseados em redes neurais) combinados com dados inferidos, o que torna a reconstrução da senha completa mais provável do que se assume.

2. Metodologia: VRSafe

O VRSafe é uma solução de teclado virtual seguro que opera em duas frentes principais: Injeção de Ruído de Teclas e Detecção de Login Malicioso.

A. Injeção de Ruído (Ghost Characters)

O sistema introduz "caracteres fantasmas" (ghost characters) na sequência de digitação, que são visíveis para o atacante (através da câmera) mas não são enviados para o servidor como parte da senha real.

• Geração Adaptativa: Utiliza um modelo RNN (Unidade Recorrente Portão - GRU) para avaliar a "aleatoriedade" da senha atual. Se a senha for previsível (baixa entropia), o sistema aumenta a probabilidade de inserir caracteres fantasmas.
• Seleção Contextual: Os caracteres fantasmas não são escolhidos aleatoriamente de forma uniforme. Um modelo de Markov de 3ª ordem é utilizado para selecionar caracteres que se encaixem linguisticamente no contexto da senha, tornando difícil para o atacante distinguir quais caracteres são reais e quais são falsos.
• Restrição de Subsequência: A senha original deve ser uma subsequência da senha "ruidosa" (fantasma). Isso garante que a senha real possa ser extraída, mas a senha enviada ao servidor contém apenas os caracteres reais.
• Otimização de Usabilidade: Para minimizar o tempo de digitação, o sistema aplica restrições de distância no teclado QWERTY. Ao escolher um caractere fantasma, o algoritmo prioriza teclas fisicamente próximas à tecla anterior, reduzindo a distância percorrida pelo cursor/mão.

B. Detector de Ataque de Inferência (Honeywords)

O VRSafe incorpora um mecanismo de detecção no lado do servidor:

• Conceito: A senha "fantasma" (com ruído) gerada durante a digitação é tratada como uma "honeyword" (senha isca).
• Funcionamento: Se um atacante tentar fazer login usando a senha inferida (que contém os caracteres fantasmas), o servidor detectará essa tentativa. Como o usuário legítimo nunca usaria a senha com ruído para login, qualquer tentativa de autenticação com a senha "fantasma" indica um ataque de inferência.
• Armazenamento Eficiente: Para armazenar múltiplas versões de senhas isca sem sobrecarregar o banco de dados, o sistema utiliza um Filtro de Bloom (Bloom Filter). Isso permite verificações rápidas de existência com baixo custo de memória e sem falsos negativos (garantindo que uma senha isca válida seja sempre detectada).

3. Principais Contribuições

1. Primeira Solução de Detecção: O VRSafe é a primeira abordagem a alertar o usuário/servidor quando um atacante tenta fazer login usando credenciais inferidas de ataques de teclas em VR.
2. Equilíbrio Segurança-Usabilidade: Diferente de soluções que alteram o layout do teclado, o VRSafe mantém o layout QWERTY padrão, introduzindo ruído de forma adaptativa e contextual, minimizando o impacto na experiência do usuário.
3. Modelo de Ameaça Realista: O trabalho adota um modelo de ameaça forte onde o atacante possui dados de vídeo perfeitos e utiliza modelos de adivinhação de senhas de última geração (como Pass2Edit), em vez de simples corretores ortográficos.
4. Mecanismo de Ruído Inteligente: Uso de modelos de Markov e GRU para gerar ruído que parece linguístico e minimiza o custo de movimento físico no espaço virtual.

4. Resultados Experimentais

Os resultados foram validados através de simulações com datasets de senhas vazadas (COMB) e um estudo de usuário com 15 participantes.

• Redução de Precisão de Ataque:
  • O uso do modelo de seleção de caracteres baseado em Markov reduziu a precisão de adivinhação do adversário em 5% a 15% para senhas longas em comparação com seleção uniforme.
  • Com um nível de aleatoriedade moderado ($r \in [0.4, 0.6]$), a precisão de adivinhação caiu drasticamente (ex: de ~30% para ~15% em 1.000 tentativas para senhas longas).
• Detecção de Logins Maliciosos:
  • O detector conseguiu identificar 52,04% das tentativas maliciosas na primeira tentativa de login e 83,97% dentro de 10 tentativas (com 20 senhas isca).
  • Ao aumentar para 100 senhas isca, a taxa de detecção subiu para 96,05% em 10 tentativas.
• Custo de Usabilidade e Recursos:
  • Tempo de Digitação: Houve um aumento estatisticamente significativo no tempo de entrada (devido à pausa inicial para aprender o mecanismo), mas a diferença diminuiu conforme os usuários se familiarizaram.
  • Desempenho: O uso de VRSafe no Meta Quest 2 resultou em um uso de CPU médio de 48% (semelhante ao teclado normal) e um aumento marginal de memória (1,77 GB vs 1,75 GB).
  • Satisfação do Usuário: A pontuação SUS (System Usability Scale) foi de 58,6, indicando aceitabilidade, embora alguns usuários tenham encontrado o processo desafiador inicialmente.

5. Significado e Conclusão

O VRSafe representa um avanço significativo na segurança de VR ao demonstrar que é possível mitigar ataques de inferência de teclas sem sacrificar a usabilidade através de mudanças drásticas de interface.

• Impacto Prático: Oferece uma defesa proativa que não apenas dificulta a extração da senha, mas também detecta quando um ataque ocorreu, permitindo que o usuário troque a senha antes que o acesso seja comprometido.
• Escalabilidade: A arquitetura é leve o suficiente para rodar em dispositivos VR atuais e pode ser estendida para outros vetores de ataque (acústico, Wi-Fi) e para ambientes de Realidade Estendida (XR) onde avatares virtuais também podem ser observados.
• Futuro: O trabalho abre caminho para a proteção de textos sensíveis em ambientes imersivos, onde a privacidade é frequentemente negligenciada devido à natureza "invisível" dos sensores de ataque.