2017年08月22日
美國(guó)華盛頓大學(xué)的研究人員已經(jīng)發(fā)起一項(xiàng)實(shí)驗(yàn)，旨在展示如何在創(chuàng)造生物病毒之余，還能利用合成DNA實(shí)現(xiàn)可入侵計(jì)算機(jī)的病毒代碼。
DNA早已被用作數(shù)據(jù)存儲(chǔ)
脫氧核糖核酸（簡(jiǎn)稱(chēng)DNA，又稱(chēng)去氧核糖核酸）是最為古老的信息存儲(chǔ)方法之一。DNA是生物數(shù)據(jù)庫(kù)，它的主要功能就是存儲(chǔ)包含各種指令的生物信息。DNA有G(鳥(niǎo)嘌呤)、T(胸腺嘧啶)、A(腺嘌呤)、C(胞嘧啶)四種堿基，共同構(gòu)成了相互纏繞的雙鏈階梯狀的螺旋結(jié)構(gòu)。通過(guò)這四種堿基不同順序的編碼，存儲(chǔ)了生物所有的遺傳信息。
DNA由四種不同的“核苷酸”所組成，其通過(guò)多種方式加以組合，從而為沒(méi)的遺傳結(jié)果提供指導(dǎo)。這很像是一種二進(jìn)制機(jī)器代碼，其中包含0與1構(gòu)成的組合，用于定義計(jì)算機(jī)的程序執(zhí)行方式。事實(shí)上，這種類(lèi)比并非獨(dú)創(chuàng)，科學(xué)家們?cè)缫验_(kāi)始將數(shù)字化數(shù)據(jù)編碼成有機(jī)DNA。
2012年，美國(guó)哈佛大學(xué)的研究人員們利用DNA編寫(xiě)了一本完整的書(shū)籍。2013年，歐洲生物信息學(xué)研究所的研究人員們則以DNA形式編寫(xiě)了莎士比亞的十四行詩(shī)以及來(lái)自馬丁·路德·金博士《我有一個(gè)夢(mèng)想》演講中的數(shù)字照片與錄音。2016年，華盛頓大學(xué)的研究人員與微軟方面合作，共同在DNA中存儲(chǔ)了一段《OK Go》音樂(lè)視頻。盡管后者聽(tīng)起來(lái)無(wú)甚意義，但卻證明了技術(shù)正變得愈發(fā)強(qiáng)大且易于使用。盡管DNA不太可能取代傳統(tǒng)數(shù)字化存儲(chǔ)介質(zhì)，但其仍會(huì)在某些特定用例當(dāng)中發(fā)揮作用。換句話來(lái)說(shuō)，我們可以期待著未來(lái)某些領(lǐng)域?qū)㈩l繁進(jìn)行DNA信息解碼。而在信息處理時(shí)，惡意人士亦有可能通過(guò)獨(dú)特的方式從中獲利。
研究人員利用DNA入侵計(jì)算機(jī)設(shè)備
華盛頓大學(xué)的計(jì)算機(jī)科學(xué)教授正美河野（Tadayoshi Kohno）正在考慮這個(gè)問(wèn)題，他與他的團(tuán)隊(duì)設(shè)計(jì)了一項(xiàng)實(shí)驗(yàn)，旨在利用DNA進(jìn)行惡意病毒編碼——這種并不比并非面向人類(lèi)，而是專(zhuān)門(mén)針對(duì)計(jì)算機(jī)設(shè)備。盡管科學(xué)家們?cè)缫牙肈NA研究生物工程乃至有機(jī)材料，但也有部分項(xiàng)目要求利用計(jì)算機(jī)將DNA信息解碼為數(shù)字化格式——而這正是正美河野研究團(tuán)隊(duì)的關(guān)注重點(diǎn)。
研究人員在題為《計(jì)算機(jī)安全、隱私與DNA序列：利用合成DNA入侵計(jì)算機(jī)并實(shí)現(xiàn)隱私泄露，以及更多》的論文當(dāng)中指出，“合成DNA鏈，并通過(guò)排序及后處理將其生成為文件; 當(dāng)被作為輸入內(nèi)容添加至目標(biāo)程序中時(shí)，此文件即會(huì)產(chǎn)生用于遠(yuǎn)程控制的開(kāi)放套接字?！?/span>
該研究團(tuán)隊(duì)坦言，他們創(chuàng)造出了“最佳環(huán)境”以測(cè)試自己的理論。他們更改了fqzcomp DNA壓縮器的源代碼，從而添加一個(gè)易受緩沖區(qū)溢出攻擊影響的固定數(shù)據(jù)緩沖區(qū)。他們的下一步舉措是將緩沖區(qū)溢出數(shù)據(jù)編碼至合成DNA當(dāng)中。將數(shù)字化信息編碼為僅擁有有限物理組合數(shù)量的四種核苷酸形式確實(shí)頗具挑戰(zhàn)。不過(guò)經(jīng)過(guò)多次迭代，該團(tuán)隊(duì)最終拿出了可行的方案，并將成果發(fā)送至集成DNA技術(shù)公司進(jìn)行合成。
在從該合成服務(wù)公司收到容納有DNA的小瓶后，研究團(tuán)隊(duì)們即獲得了能夠用于入侵計(jì)算機(jī)程序的DNA樣本，且可隨時(shí)進(jìn)行測(cè)試。他們利用包含漏洞的fqzcomp壓縮器進(jìn)行DNA樣本排序，并最終獲得了37%的攻擊成本率——緩沖區(qū)溢出確實(shí)對(duì)計(jì)算機(jī)系統(tǒng)造成了損害，并可能導(dǎo)致授權(quán)惡意人士執(zhí)行未經(jīng)授權(quán)的訪問(wèn)。
Peter Ney（右）
計(jì)算機(jī)安全與隱私研究實(shí)驗(yàn)室博士生
卡爾·科切（中）
計(jì)算機(jī)安全與隱私研究實(shí)驗(yàn)室研究科學(xué)家
Lee Organick（左）
分子信息系統(tǒng)實(shí)驗(yàn)室博士生
這種攻擊手段是否可行？
《連線》雜志報(bào)道稱(chēng)，“攻擊活動(dòng)的成功率約為37%，這是因?yàn)榕判虺绦虻牟⑿刑幚頇C(jī)制能夠會(huì)破壞編碼內(nèi)容或者在將代碼寫(xiě)入物理對(duì)象時(shí)對(duì)其進(jìn)行逆向解碼。（一條DNA可以從任一方向進(jìn)行測(cè)序，但代碼則只能通過(guò)特定方向?qū)崿F(xiàn)讀取。研究人員們?cè)谄湔撐闹刑岬?，未?lái)的攻擊代碼升級(jí)版本可能會(huì)被設(shè)計(jì)為回文形式。）
這種攻擊手段是否可行？具體答案取決于多種因素。惡意人士必須入侵DNA測(cè)序與分析階段所使用的軟件，正如本次研究人員們所采取的方式?；蛘?，他們必須在目前正在使用的軟件當(dāng)中找到可資利用的漏洞（當(dāng)然，這樣的漏洞也許早晚會(huì)被發(fā)現(xiàn)）。另外，惡意一方還必須瞄準(zhǔn)目標(biāo)以獲取特制的惡意DNA樣本，或者發(fā)現(xiàn)那些無(wú)需修改已知樣本即可利用的漏洞。著眼于未來(lái)，惡意人士也許能夠利用多種方式利用DNA，但就目前而言此類(lèi)機(jī)制相當(dāng)復(fù)雜，且成功幾率不高。當(dāng)然，惡意人士可以立足于明確的經(jīng)濟(jì)動(dòng)機(jī)或者投入大量時(shí)間以將這些攻擊轉(zhuǎn)化為現(xiàn)實(shí)。只要存在這種可能性，我們就需要考慮到由此帶來(lái)的潛在風(fēng)險(xiǎn)。
正美河野解釋稱(chēng)，“我們意識(shí)到，如果惡意人士掌握了計(jì)算機(jī)正在處理的數(shù)據(jù)，則可能奪取到該設(shè)備的控制權(quán)。這意味著在考慮生物學(xué)計(jì)算系統(tǒng)的安全性，除了網(wǎng)絡(luò)連接、U盤(pán)以及鍵盤(pán)用戶之外，還需要考慮到DNA當(dāng)中存儲(chǔ)的信息。這是一種類(lèi)別完全不同，但卻真實(shí)存在的威脅因素?！?/span>
相關(guān)論文下載：http://t.cn/R9DVqfc
江蘇國(guó)駿信息科技有限公司在信息網(wǎng)絡(luò)安全、運(yùn)維平臺(tái)建設(shè)、動(dòng)漫設(shè)計(jì)、軟件研發(fā)、數(shù)據(jù)中心領(lǐng)域具備十多年的行業(yè)沉淀。公司遵循信息安全整體性的IATF模型，從“人員素養(yǎng)”、“制度流程”、“技術(shù)產(chǎn)品”三個(gè)視角提供全面、可信的方案，業(yè)務(wù)涵蓋咨詢(xún)、評(píng)估、規(guī)劃、管控、建設(shè)、培訓(xùn)等。