[論文レビュー] Computer Security Risks of Distant Relative Matching in Consumer Genetic Databases

Peter Ney, Luís Ceze+1 more|arXiv (Cornell University)|Oct 5, 2018

Genomic variations and chromosomal abnormalities参考文献 3被引用数 9

ひとこと要約

この論文は、消費者遺伝学的データベースにおける遠隔相関マッチングに起因する深刻なコンピュータセキュリティリスクを特定し、特に偽造または改ざんされた遺伝的プロファイルが法執行機関を誤導し、詐欺や脅迫を可能にする脅威を明らかにしている。本論文は、遺伝子型データの暗号的デジタル署名と強化された本人確認を提案し、悪用を防ぐ。特に、犯罪捜査などの高リスクな応用が進む中で、第三者遺伝サービスにおけるより強固なセキュリティ慣行の必要性を強調している。

ABSTRACT

Consumer genetic testing has become immensely popular in recent years and has lead to the creation of large scale genetic databases containing millions of dense autosomal genotype profiles. One of the most used features offered by genetic databases is the ability to find distant relatives using a technique called relative matching (or DNA matching). Recently, novel uses of relative matching were discovered that combined matching results with genealogical information to solve criminal cold cases. New estimates suggest that relative matching, combined with simple demographic information, could be used to re-identify a significant percentage of US Caucasian individuals. In this work we attempt to systematize computer security and privacy risks from relative matching and describe new security problems that can occur if an attacker uploads manipulated or forged genetic profiles. For example, forged profiles can be used by criminals to misdirect investigations, con-artists to defraud victims, or political operatives to blackmail opponents. We discuss solutions to mitigate these threats, including existing proposals to use digital signatures, and encourage the consumer genetics community to consider the broader security implications of relative matching now that it is becoming so prominent.

研究の動機と目的

• 消費者遺伝学的データベースにおける相関マッチングに起因する新たなコンピュータセキュリティ脅威を分析すること、特に法執行機関の捜査に使用される場合の脅威を対象とする。
• 悪意ある攻撃者が、第三者遺伝サービスにおける弱い認証およびアクセス制御を悪用して、相関マッチング結果を操作する方法を同定すること。
• デジタル署名や本人確認といった技術的・政策的解決策を提案し、偽造または改ざんされた遺伝的プロファイルのリスクを軽減すること。
• 消費者遺伝学コミュニティが、これらのデータベースが法的・鑑識的意義を帯びる中で、より強固なソフトウェアセキュリティ慣行を採用するよう促すこと。

提案手法

• ゴールデンステートキラー事件を含む実世界の事例を分析し、第三者遺伝学的データベースにおける攻撃表面を同定する。
• 偽の遺伝子型データのアップロード、特権アクセスの侵害、メタデータの改ざんといった攻撃ベクトルをモデル化し、相関マッチング結果を操作する手段を検討する。
• 正当なDTCサービスからの出所を保証するため、生の遺伝子型データファイルにデジタル署名を導入する。
• 遺伝子型測定装置自体が、デバイスID、タイムスタンプ、サンプル出所を含む暗号的証明（アテステーション）を用いてデータに署名することを提言する。
• アカウント所有者のエンドツーエンド本人確認を推奨し、プロファイルを検証済み身分にリンクさせることで、スプーフィングやサービス拒否攻撃のリスクを低減する。
• 特に、攻撃の圧力が低く、非営利的なサービスではあるが、定期的なペネトレーションテスト、安全な認証、パッチ管理といったソフトウェアセキュリティベストプラクティスの採用を促進する。

実験結果

リサーチクエスチョン

• RQ1 消費者遺伝学的データベースにおける遠隔相関マッチングに関連する主なコンピュータセキュリティリスクは何か？
• RQ2 攻撃者は、偽造または改ざんされた遺伝的プロファイルを用いて、どのように相関マッチング結果を操作できるか？
• RQ3 第三者遺伝サービスにおける不正または悪意あるプロファイルアップロードを防ぐための技術的制御は何か？
• RQ4 デジタル署名と本人確認は、遺伝データベースの鑑識的・捜査的応用における悪用リスクをどのように低減できるか？
• RQ5 法執行機関のための重要なインfraストラクチャとして進化する中で、第三者遺伝サービスが採用すべきセキュリティ慣行は何か？

主な発見

• 消費者遺伝学的データベースにおける相関マッチングは、攻撃者が偽のプロファイルをアップロードすることで、被疑者と誤って関連づけることにより、犯罪捜査を誤導するリスクを有する。
• 犯罪者や政治的工作員が、架空の家族関係を捏造することで、個人を脅迫または詐欺の対象にすることが可能になる。
• 法執行機関の捜査にGEDMatchのような第三者サービスを用いることは、こうしたプラットフォームがしばしば厳密なセキュリティ制御や認証メカニズムを欠いているため、リスクを増大させる。
• 生の遺伝子型データファイルにデジタル署名を導入することで、偽のプロファイルのアップロードを防ぎ、データが正当なDTCサービスから出たものであることを保証できる。
• アカウント所有者の本人確認を実施し、それらをプロファイルデータにリンクさせることで、スプーフィングやサービス拒否攻撃のリスクが低下する。
• 遺伝データベースの被覆人口が増加するにつれ、再識別可能性が高まるため、高リスクな応用においては、より強固なセキュリティおよび認証措置が不可欠となる。