2017年08月22日
美國華盛頓大學(xué)的研究人員已經(jīng)發(fā)起一項實驗，旨在展示如何在創(chuàng)造生物病毒之余，還能利用合成DNA實現(xiàn)可入侵計算機(jī)的病毒代碼。
DNA早已被用作數(shù)據(jù)存儲
脫氧核糖核酸（簡稱DNA，又稱去氧核糖核酸）是最為古老的信息存儲方法之一。DNA是生物數(shù)據(jù)庫，它的主要功能就是存儲包含各種指令的生物信息。DNA有G(鳥嘌呤)、T(胸腺嘧啶)、A(腺嘌呤)、C(胞嘧啶)四種堿基，共同構(gòu)成了相互纏繞的雙鏈階梯狀的螺旋結(jié)構(gòu)。通過這四種堿基不同順序的編碼，存儲了生物所有的遺傳信息。
DNA由四種不同的“核苷酸”所組成，其通過多種方式加以組合，從而為沒的遺傳結(jié)果提供指導(dǎo)。這很像是一種二進(jìn)制機(jī)器代碼，其中包含0與1構(gòu)成的組合，用于定義計算機(jī)的程序執(zhí)行方式。事實上，這種類比并非獨創(chuàng)，科學(xué)家們早已開始將數(shù)字化數(shù)據(jù)編碼成有機(jī)DNA。
2012年，美國哈佛大學(xué)的研究人員們利用DNA編寫了一本完整的書籍。2013年，歐洲生物信息學(xué)研究所的研究人員們則以DNA形式編寫了莎士比亞的十四行詩以及來自馬丁·路德·金博士《我有一個夢想》演講中的數(shù)字照片與錄音。2016年，華盛頓大學(xué)的研究人員與微軟方面合作，共同在DNA中存儲了一段《OK Go》音樂視頻。盡管后者聽起來無甚意義，但卻證明了技術(shù)正變得愈發(fā)強(qiáng)大且易于使用。盡管DNA不太可能取代傳統(tǒng)數(shù)字化存儲介質(zhì)，但其仍會在某些特定用例當(dāng)中發(fā)揮作用。換句話來說，我們可以期待著未來某些領(lǐng)域?qū)㈩l繁進(jìn)行DNA信息解碼。而在信息處理時，惡意人士亦有可能通過獨特的方式從中獲利。
研究人員利用DNA入侵計算機(jī)設(shè)備
華盛頓大學(xué)的計算機(jī)科學(xué)教授正美河野（Tadayoshi Kohno）正在考慮這個問題，他與他的團(tuán)隊設(shè)計了一項實驗，旨在利用DNA進(jìn)行惡意病毒編碼——這種并不比并非面向人類，而是專門針對計算機(jī)設(shè)備。盡管科學(xué)家們早已利用DNA研究生物工程乃至有機(jī)材料，但也有部分項目要求利用計算機(jī)將DNA信息解碼為數(shù)字化格式——而這正是正美河野研究團(tuán)隊的關(guān)注重點。
研究人員在題為《計算機(jī)安全、隱私與DNA序列：利用合成DNA入侵計算機(jī)并實現(xiàn)隱私泄露，以及更多》的論文當(dāng)中指出，“合成DNA鏈，并通過排序及后處理將其生成為文件; 當(dāng)被作為輸入內(nèi)容添加至目標(biāo)程序中時，此文件即會產(chǎn)生用于遠(yuǎn)程控制的開放套接字。”
該研究團(tuán)隊坦言，他們創(chuàng)造出了“最佳環(huán)境”以測試自己的理論。他們更改了fqzcomp DNA壓縮器的源代碼，從而添加一個易受緩沖區(qū)溢出攻擊影響的固定數(shù)據(jù)緩沖區(qū)。他們的下一步舉措是將緩沖區(qū)溢出數(shù)據(jù)編碼至合成DNA當(dāng)中。將數(shù)字化信息編碼為僅擁有有限物理組合數(shù)量的四種核苷酸形式確實頗具挑戰(zhàn)。不過經(jīng)過多次迭代，該團(tuán)隊最終拿出了可行的方案，并將成果發(fā)送至集成DNA技術(shù)公司進(jìn)行合成。
在從該合成服務(wù)公司收到容納有DNA的小瓶后，研究團(tuán)隊們即獲得了能夠用于入侵計算機(jī)程序的DNA樣本，且可隨時進(jìn)行測試。他們利用包含漏洞的fqzcomp壓縮器進(jìn)行DNA樣本排序，并最終獲得了37%的攻擊成本率——緩沖區(qū)溢出確實對計算機(jī)系統(tǒng)造成了損害，并可能導(dǎo)致授權(quán)惡意人士執(zhí)行未經(jīng)授權(quán)的訪問。
Peter Ney（右）
計算機(jī)安全與隱私研究實驗室博士生
卡爾·科切（中）
計算機(jī)安全與隱私研究實驗室研究科學(xué)家
Lee Organick（左）
分子信息系統(tǒng)實驗室博士生
這種攻擊手段是否可行？
《連線》雜志報道稱，“攻擊活動的成功率約為37%，這是因為排序程序的并行處理機(jī)制能夠會破壞編碼內(nèi)容或者在將代碼寫入物理對象時對其進(jìn)行逆向解碼。（一條DNA可以從任一方向進(jìn)行測序，但代碼則只能通過特定方向?qū)崿F(xiàn)讀取。研究人員們在其論文中提到，未來的攻擊代碼升級版本可能會被設(shè)計為回文形式。）
這種攻擊手段是否可行？具體答案取決于多種因素。惡意人士必須入侵DNA測序與分析階段所使用的軟件，正如本次研究人員們所采取的方式。或者，他們必須在目前正在使用的軟件當(dāng)中找到可資利用的漏洞（當(dāng)然，這樣的漏洞也許早晚會被發(fā)現(xiàn)）。另外，惡意一方還必須瞄準(zhǔn)目標(biāo)以獲取特制的惡意DNA樣本，或者發(fā)現(xiàn)那些無需修改已知樣本即可利用的漏洞。著眼于未來，惡意人士也許能夠利用多種方式利用DNA，但就目前而言此類機(jī)制相當(dāng)復(fù)雜，且成功幾率不高。當(dāng)然，惡意人士可以立足于明確的經(jīng)濟(jì)動機(jī)或者投入大量時間以將這些攻擊轉(zhuǎn)化為現(xiàn)實。只要存在這種可能性，我們就需要考慮到由此帶來的潛在風(fēng)險。
正美河野解釋稱，“我們意識到，如果惡意人士掌握了計算機(jī)正在處理的數(shù)據(jù)，則可能奪取到該設(shè)備的控制權(quán)。這意味著在考慮生物學(xué)計算系統(tǒng)的安全性，除了網(wǎng)絡(luò)連接、U盤以及鍵盤用戶之外，還需要考慮到DNA當(dāng)中存儲的信息。這是一種類別完全不同，但卻真實存在的威脅因素?！?/span>
相關(guān)論文下載：http://t.cn/R9DVqfc
江蘇國駿信息科技有限公司在信息網(wǎng)絡(luò)安全、運維平臺建設(shè)、動漫設(shè)計、軟件研發(fā)、數(shù)據(jù)中心領(lǐng)域具備十多年的行業(yè)沉淀。公司遵循信息安全整體性的IATF模型，從“人員素養(yǎng)”、“制度流程”、“技術(shù)產(chǎn)品”三個視角提供全面、可信的方案，業(yè)務(wù)涵蓋咨詢、評估、規(guī)劃、管控、建設(shè)、培訓(xùn)等。