“元宇宙”掀起了前所未有的熱議。2021年10月28日，Facebook宣布，它將更名為Meta，并描繪其所追求的元宇宙版本：

　　下一個平臺將會更具沉浸感?—?一個具象化的互聯網，不僅能讓你看到它，還可以讓你沉浸其中體驗，我們稱之為元宇宙，它將會涉及我們所生產的所有商品。

　　其他組織也已經開始著手探索融入元宇宙的方法，包括納斯達克，該公司創建了一個虛擬世界，以此來敲響元宇宙的開場鐘。

　　提到元宇宙時，許多人都會想到區塊鏈、虛擬現實或增強現實技術，但是我認為馬修·鮑爾(Matthew Ball)在他的文章《元宇宙框架》中給出了最佳定義：

　　“元宇宙是一個大規模的、可互操作的實時渲染3D虛擬世界網絡，可以由有效且無限數量的用戶以個人存在感和數據連續性(如身份、歷史、權利、對象、通信和支付)同步和持久的體驗。”

　　雖然元宇宙的出現帶來了令人興奮的機會，徹底改變了我們與數字世界的互動方式，但它要求我們對處理網絡安全的方式進行根本性轉變。

　　1.在元宇宙中的身份保護

　　身份和訪問管理(IAM)是一個成熟的網絡安全子集，應用于解決人和機器身份驗證、授權和記賬問題，也稱為AAA模型。

　　雖然諸如單點登錄(SSO)和零信任架構等技術目前處于不斷變化的身份識別領域的前沿，但元宇宙的出現可能會推動新的用戶身份模型產生。

　　為了使數字體驗彼此間能夠互動，需要采用一個通用的、分散的身份和訪問管理框架。而目前的身份認證是在平臺環境下創建和管理的。

　　例如，Facebook帳戶允許用戶對Facebook平臺上的相關操作進行身份驗證，無論是用戶帖子還是經典Farmville等游戲。

　　由于更接近元宇宙的去中心化身份模型，單點登錄允許應用程序利用另一個合法身份權限者代表其對用戶進行身份驗證。

　　應用程序可以為用戶提供“使用Facebook登錄”的操作，利用Facebook已經認證的身份進行用戶授權。

　　為了實現元宇宙平臺上的真正互操作性，身份必須具有可移植性，而單一管理組織如Meta(正式Facebook)則不大可能擁有身份。相反的，我預測它會分散開來，歸個人所有。

　　很多Web3創業公司已經開始追逐去中心化的身份，例如PhotoChromic，它將項目描述為通用數字身份，并利用不可替代令牌(NFT)將該身份存儲在區塊鏈上。

　　隨著我們的數字生活和現實生活開始逐漸融合，對去中心化身份的保護將變得越來越重要。試想您的數字身份在元宇宙中被竊取，然后被心懷不軌的人取而代之，進入數字銀行和出納員進行交流，那是多么糟糕的一件事。

　　2.保護元宇宙攻擊面

　　側向攻擊是一種用于安全行業的術語，用于描述惡意行為者擴展其訪問其他設備和通過網絡“移動”的行為。

　　雖然安全專業人員習慣于保護計算機網絡，但這些同樣的概念也需要擴展到數字體驗網絡的元宇宙中去。

　　在未來的元宇宙中，攻擊面(Fortinet將其定義為“所有未經授權用戶訪問系統并提取數據的所有可能攻擊點或攻擊介質的數量”)不僅包括數字體驗，還包括所有其他相關體驗。

　　明天你就可能會聽到惡意行為者從數字藝術博物館獲得權限后進行側向攻擊，便可以不費吹灰之力地進入私人會議室。

　　3.保護智能合約

　　我相信區塊鏈技術會成為解決元宇宙難題的關鍵部分，實現數據的去中心化和個人所有權。智能合約正在實現所有權與區塊鏈的交互。以太坊(Ethereum.org)將智能合同定義為：

　　“簡單運行在以太坊區塊鏈上的一個程序。它是代碼(功能)和數據(狀態)的集合，位于以太區塊鏈上的特定地址。”

　　智能合約的興起對安全專業人士提出了挑戰。首先，智能合約是由新編程語言寫的，其中最常見的是Solidity語言，它專門用于在以太坊區塊鏈上開發智能合約。

　　傳統的應用程序安全(APPSEC)專業人員在學習這些語言和它們的功能方面需要花費一些時間。目前這可能是一項艱巨的任務，因為區塊鏈當前的發展狀態是高度分散的，未來的市場份額贏家尚不清楚。這個GitHub由Chaincode Labs的研究人員Sergei Tikhomirov維護，截至本文撰寫時已列出61種主動區塊鏈編程語言。

　　為了支持這些智能合約審核，也需要開發新的工具。現有的應用程序開發安全程序利用靜態應用程序安全測試(SAST)和動態應用程序安全測試(DAST)工具來自動化這部分過程。

　　雖然有些開發者正在嘗試開發這些用于智能合約的工具，但這個領域仍有待開發和成熟。Pentestwiki.org列出了一些更成熟的工具，例如Slither。Chainlink還舉辦了一場精彩的網絡研討會，展示了智能合約安全審計的現狀。

　　4.元宇宙的治理、風險和合規性

　　治理、風險與合規性(GRC)是安全行業的一個標準，專注于安全風險管理、組織戰略以及遵守組織的內外部要求。合規審計、安全計劃領導、政策和程序制定以及法律等活動都屬于該標準。

　　隨著未來元宇宙的出現，我預測新的安全和數據隱私法律法規將開始形成。企業將不得不投入巨資，以跟上當前和未來的監管形勢，由于《通用數據保護條例》(GDPR)和《加利福尼亞消費者隱私法案》(CCPA)等數據保護法律的出現，許多組織已經在努力解決這個問題。

　　隨著時間的流逝，這些規則會變得更加重要，因為元宇宙把數字與人類身份相互聯系在一起，這是我們以前從未經歷過的。

　　此外，我預測，某些實體的組織結構將會向分布式、以貢獻為中心的模式轉變，這將給問責制帶來新的挑戰。去中心化自治組織(DAO)是基于區塊鏈技術的新興概念，Investopedia將其定義為：

　　“一種新形式的法律結構。由于沒有中央管理機構，DAO中的每個成員通常都有一個共同的目標，努力以實體的最佳利益為行動準則。通過加密貨幣愛好者和區塊鏈技術的普及，DAO被用于以自下而上的管理方式進行決策。”

　　作為DAO運營的組織，由于缺乏中心權力機構，因此在執行安全和數據保護方面會面臨新的挑戰。取而代之的是，權力分配給了共同決定組織行為的成員(令牌持有者)。

　　5.結論

　　元宇宙為我們提供了一個令人興奮的創新機遇，使我們能夠更好地理解數字世界的演化。而重要的是，網絡安全行業必須與創新步伐保持同步。

　　安全專業人員需要針對這些新興的安全挑戰進行針對性培訓，并且在技術的開發過程中也要考慮到安全性�；ヂ摼W安全行業將迎來一段瘋狂而激動人心的旅程。

　　原文鏈接：https://hackernoon.com/securing-the-metaverse-how-digitally-immersive-experiences-will-change-the-future-of-cybersecurity

　　譯者介紹

　　劉濤，51CTO社區編輯，某大型央企系統上線檢測管控負責人，主要職責為嚴格審核系統上線驗收所做的漏掃、滲透測試以及基線檢查等多項檢測工作，擁有多年網絡安全管理經驗，多年PHP及Web開發和防御經驗，Linux使用及管理經驗，擁有豐富的代碼審計、網絡安全測試和威脅挖掘經驗。精通Kali下SQL審計、SQLMAP自動化探測、XSS審計、Metasploit審計、CSRF審計、webshell審計、maltego審計等技術。