Het beschermen van gebruikers, bedrijven en overheidsinstanties is een van de prioriteiten van informatiebeveiliging, maar dat is slechts het topje van de ijsberg. Er zijn veel kritiekere omgevingen die grote schade kunnen oplopen als ze worden gekraakt, en een groep onderzoekers van de Universiteit van Washington heeft dat op een bijzondere manier aangetoond: door malware te coderen in een DNA-monster dat de sequencer kan aanvallen en op de achtergrond de controle over de computer kan overnemen.
Laten we ons een toekomst voorstellen waarin een DNA-monster gevaarlijk is, niet vanuit biologisch oogpunt, maar vanuit digitaal oogpunt. In het verleden hebben we voorbeelden gezien van DNA als opslagmedium, en met een dichtheid van 215 petabytes per gram zou het een definitieve oplossing kunnen worden voor koude back-ups en WORM-platforms. Het omvormen van DNA tot een 'harde schijf' is echter een traag en duur proces, twee voorwaarden die de markt van nature afwijst. Het is waarschijnlijk dat de technologie nog enkele jaren nodig heeft om beide punten te optimaliseren, maar er is nog een ander aspect om rekening mee te houden: de beveiliging. Als een geïnfecteerde USB-stick de controle over een computer kan overnemen, wat weerhoudt DNA er dan van om hetzelfde te doen...?
Volgens een team van onderzoekers van de Universiteit van Washington is het antwoord niets... zolang de aanvaller tegen de situatie is opgewassen. In losse termen concentreerde hun werk zich op het coderen van een bufferoverflow-exploit in een DNA-monster met een lengte van 176 basen (2 bits per base, 44 bytes in totaal), maar de 'ontspanning' eindigt daar. De taak was veel complexer en geavanceerder dan ze aanvankelijk dachten, omdat ze naast het behoud van de integriteit van de code ook bepaalde fysieke beperkingen van DNA moesten respecteren. De stabiliteit vereist een juiste verhouding van A-T- en G-C-paren, dus de code moest worden aangepast aan zijn 'verpakking' om het zo maar te zeggen.
Het project heeft nu twee kanttekeningen die we niet kunnen negeren. Ten eerste vertoonde slechts 37,4 procent van de reads een functioneel codevoorbeeld, dus de malware heeft geen redundantie of weerstand tegen sequentiefouten. Ten tweede vereiste de proof of concept het creëren van een kwetsbaarheid in de open source software (fqzcomp), wat als 'vals spelen' zou kunnen worden opgevat. Toch wisten de onderzoekers te bevestigen dat er beveiligingsrisico's bestaan, al is het op de zeer lange termijn. Als DNA-sequencing grip krijgt en huishoudelijk wordt, hebben we wellicht extra bescherming nodig.
