[논문 리뷰] Cyberbiosecurity: DNA Injection Attack in Synthetic Biology

Dor Farbiash, Rami Puzis|arXiv (Cornell University)|2020. 11. 28.

CRISPR and Genetic Engineering참고 문헌 46인용 수 5

한 줄 요약

이 논문은 악성 DNA를 현재의 합성 DNA 스크리닝 프rotocol을 회피하기 위해 추상화하여 제안하는 새로운 사이버생물학적 공격을 제시한다. 이 악성 DNA는 CRISPR-Cas9 유전자 편집을 통해 살아있는 세포에서 복호화되고 발현되어 물리적 접촉 없이 위험한 물질을 원격으로 생산하게 된다. 주요 기여는 HHS 지침을 회피하는 100%의 추상화된 서열을 탐지할 수 있는 유전자 편집 거리(Gene Edit Distance, GED) 스크리닝 방법으로, 기존 생체보안 프레임워크에 심각한 취약성을 드러낸다.

ABSTRACT

Today arbitrary synthetic DNA can be ordered online and delivered within several days. In order to regulate both intentional and unintentional generation of dangerous substances, most synthetic gene providers screen DNA orders. A weakness in the Screening Framework Guidance for Providers of Synthetic Double-Stranded DNA allows screening protocols based on this guidance to be circumvented using a generic obfuscation procedure inspired by early malware obfuscation techniques. Furthermore, accessibility and automation of the synthetic gene engineering workflow, combined with insufficient cybersecurity controls, allow malware to interfere with biological processes within the victim's lab, closing the loop with the possibility of an exploit written into a DNA molecule presented by Ney et al. in USENIX Security'17. Here we present an end-to-end cyberbiological attack, in which unwitting biologists may be tricked into generating dangerous substances within their labs. Consequently, despite common biosecurity assumptions, the attacker does not need to have physical contact with the generated substance. The most challenging part of the attack, decoding of the obfuscated DNA, is executed within living cells while using primitive biological operations commonly employed by biologists during in-vivo gene editing. This attack scenario underlines the need to harden the synthetic DNA supply chain with protections against cyberbiological threats. To address these threats we propose an improved screening protocol that takes into account in-vivo gene editing.

연구 동기 및 목표

• 악성 DNA가 생물학자 작업 흐름에 주입되어 위험한 물질의 생산을 유도하는 원격 사이버생물학적 공격을 시연한다.
• 악성 DNA 서열 스크리닝을 회피하기 위한 추상화 기법을 이용함으로써 HHS 스크리닝 프레임워크 가이드라인에 심각한 취약성을 드러낸다.
• 추상화된 악성 DNA 서열을 탐지할 수 있는 강화된 스크리닝 방법인 유전자 편집 거리(Gene Edit Distance, GED)를 제안한다.
• 소프트웨어 및 생물학적 프로토콜 수준에서 사이버보안 제어를 통합할 필요성을 강조한다.
• 인바이보 유전자 편집을 복호화 수단으로 고려할 수 있는 개선된 생체보안 스크리닝 기준을 주장한다.

제안 방법

• 악성 코드 추상화를 영감으로 삼은 유전자 추상화 기법을 사용하여, 패턴 매칭 스크리닝 도구를 회피할 수 있도록 염기 서열을 수정한다.
• 악성 DNA는 HHS 지침에 의해 감지되지 않도록 설계되었지만, 표준 CRISPR-Cas9 유전자 편집 프로토콜을 통해 살아있는 세포에서 복호화되고 발현될 수 있다.
• 제안된 유전자 편집 거리(Gene Edit Distance, GED) 메트릭은 유해한 서열로 변형하기 위해 필요한 최소한의 유전자 편집 작업(예: 삽입, 삭제, 치환) 수를 계산하여, 추상화된 위협을 탐지할 수 있도록 한다.
• 실세계의 추상화 패턴을 반영하기 위해 50개의 추상화된 DNA 서열로 구성된 벤치마크 데이터셋을 구축하였다.
• 일반적인 인바이보 편집 작업을 모델링하여 생물학적 타당성을 통합함으로써, 실제 실험실 워크플로우와 관련된 탐지 기능을 확보한다.
• 완화 전략으로 암호 보호된 디지털 보고서, 하드카피 품질 보고서, 보안 핵심 메타데이터가 포함된 물리적 튜브 라벨링, 생물학적 수준의 Cas9 억제를 포함한다.

실험 결과

연구 질문

• RQ1 악성 코드에서 영감을 얻은 추상화 기법을 사용하여, 후에 살아있는 세포에서 복호화되는 DNA 서열이 HHS 스크리닝 지침을 회피할 수 있는가?
• RQ2 표준 인바이보 유전자 편집을 통해 복호화되는 경우, 추상화된 DNA 서열이 HHS 스크리닝 프레임워크 가이드라인으로부터 얼마나 회피될 수 있는가?
• RQ3 기존 지침을 회피하는 추상화된 악성 DNA 서열을 효과적으로 탐지할 수 있는 새로운 스크리닝 메트릭인 유전자 편집 거리(Gene Edit Distance, GED)는 얼마나 효과적인가?
• RQ4 사이버와 생물학적 공격 표면의 통합은 물리적 접근 없이도 원격으로 종단 간 사이버생물학적 공격을 가능하게 하는가?
• RQ5 소프트웨어, 생체보안, 생물학적 프로토콜 수준에서 구현 가능한 실용적 보안 제어는 무엇인가?

주요 결과

• 벤치마크 데이터셋에 포함된 50개의 추상화된 DNA 샘플 중 16개는 HHS 스크리닝 프레임워크 가이드라인에 의해 감지되지 않았으며, 이는 심각한 탐지 갭을 시사한다.
• 유전자 편집 거리(Gene Edit Distance, GED) 방법은 모든 50개의 추상화된 DNA 샘플을 성공적으로 탐지하여, 악성 내용으로 복호화되는 서열을 탐지하는 데서 HHS 지침을 뛰어넘는 성능을 보였다.
• 공격 시나리오는 원격 공격자가 생물학자 작업 흐름에 악성 DNA를 주입하고, 최종 제품에 물리적 접근 없이도 인바이보에서 위험한 물질을 생산하게 할 수 있음을 보여준다.
• 이 연구는 공통적인 인바이보 유전자 편집 작업을 악용하는 추상화 기법에 대해 현재의 생체보안 스크리닝 프로토콜이 부적절하다는 것을 드러낸다.
• 암호 보호된 보고서, 하드카피 품질 보고서, 튜브 라벨링과 같은 제안된 완화 전략은 사이버생물학적 공격의 위험을 크게 감소시킬 수 있다.
• 연구는 생물학적 복호화 메커니즘을 고려한 사이버보안 인식 스크리닝 방법을 통해 합성 DNA 공급망을 강화할 급박한 필요성을 강조한다.