Secondo alcuni ricercatori della sicurezza i dati del DNA di un milione di americani, che sono stati finora utilizzati per catturare dei criminali, potrebbero essere a rischio e mettere in crisi la sicurezza nazionale.
di Antonio Regalado
I difetti della sicurezza nel servizio, chiamato GEDmatch, non solo rischiano di lasciare indifese le informazioni sulla salute genetica delle persone, ma potrebbero consentire a un avversario come la Cina o la Russia di creare un potente database biometrico utile per identificare quasi tutti gli americani da un campione di DNA.
GEDMatch, che raccoglie in crowdsourcing i profili del DNA, è stato creato da appassionati di genealogia per consentire alle persone di cercare parenti ed è gestito interamente da volontari. Tuttavia, la condivisione online dei dati sul DNA può creare rischi per la privacy che colpiscono tutti, anche le persone che non scelgono di condividere le proprie informazioni.
“Puoi sostituire il numero della carta di credito, ma non puoi sostituire il tuo genoma”, afferma Peter Ney, ricercatore esperto di informatica dell’Università di Washington.
Ney, insieme ai professori e ai ricercatori sulla sicurezza del DNA Luis Ceze e Tadayoshi Kohno, ha descritto in un rapporto pubblicato online come hanno sviluppato e testato un attacco al sistema utilizzando i dati del DNA caricati su GEDmatch.
Con profili di DNA appositamente progettati, come spiega Ney, sono stati in grado di eseguire ricerche che hanno permesso loro di indovinare più del 90 per cento dei dati sul DNA di altri utenti.
Il fondatore di GEDmatch, Curtis Rogers, ha confermato che i ricercatori lo hanno avvisato della minaccia durante l’estate.
“Siamo preoccupati per la privacy ed è positivo che vengano condotti studi come questo”, afferma Rogers. “Ma qualunque cosa si faccia, ci sarà sempre una potenziale invasione della privacy quando si sta lavorando sulla genealogia, in cui per eccellenza c’è un continuo scambio di informazioni”.
Razib Khan, un ricercatore di genomica che è responsabile dei contenuti scientifici presso Insitome, un servizio che ricava le informazioni dal DNA per i consumatori, ha definito la nuova ricerca sulla sicurezza una dimostrazione su larga scala di punti deboli già noti agli esperti.
Khan afferma di essere a conoscenza dei tentativi di sottrarre dati da GEDmatch, e ritiene che un attacco in grande stile per eliminare molti dei dati potrebbe già essersi verificato. “La mia ipotesi è che sia già avvenuto”, egli dice. “I governi stanno raccogliendo dati sulle persone e non si sa mai come possono usarli”.
Il crowdsourcing del DNA
Rogers ha avviato il servizio di genealogia come un sistema per le persone per caricare i risultati dei test del DNA da servizi come 23andMe e individuare i parenti tra gli altri utenti, confrontando i diversi DNA. Il database in crowdsourcing ora contiene 1,3 milioni di profili, anche se alcuni di questi sono dei duplicati.
Man mano che il sito è cresciuto, ha attirato l’attenzione dei reparti investigativi. Nel 2017, la polizia californiana ha annunciato di aver utilizzato il database, a insaputa di Rogers, per identificare un assassino noto come il killer del Golden State. L’operazione è stata condotta caricando i dati sul DNA raccolti sulla scena del crimine e confrontandoli con quelli degli utenti per identificare alcuni dei parenti del killer.
Da allora, dozzine di assassini e stupratori sono stati identificati usando GEDmatch. Ma è scoppiato anche un dibattito sulla privacy, in parte perché la polizia aveva cercato il DNA degli utenti a loro insaputa. In risposta, Rogers ha permesso agli utenti di partecipare o meno alle indagini della polizia o semplicemente eliminare i loro profili.
Ma ci si è iniziati a domandare se, con un database del DNA così esteso, non fosse possibile essere rintracciati a partire dai dati parentali, pur non avendo mai fatto un test del DNA.
Con circa un milione di profili nel database, la maggior parte degli americani ha cugini di secondo o terzo livello presenti nei dati, afferma Doc Edge, un ricercatore dell’Università della California, a Davis, che la settimana scorsa ha pubblicato un documento che mostra come i database di antenati potrebbero essere violati da un ricercatore esperto.
Ora il team dell’Università di Washington ha raccolto le prove di un nuovo attacco specifico su GEDmatch “di grandi dimensioni”, secondo Yaniv Erlich, capo scienziato di MyHeritage, un’altra azienda di genealogia del DNA.
I ricercatori hanno sfruttato il modo in cui funziona il motore di confronto genetico di GEDmatch per inferire i dati sul DNA di altre persone. “Questi ricercatori sono passati per la porta d’ingresso, senza violare alcuna regola”, afferma Erlich. “Si tratta di un metodo che non è illegale per quanto ne sappiamo”.
Quando un utente cerca i parenti, il programma confronta migliaia di marcatori di DNA (chiamati SNP) raccolti dal genoma dell’utente con quelli di altri nel database. Più alta è la corrispondenza, più il legame con quella persona è stretto. Un genitore e un figlio, per esempio, condivideranno metà del loro DNA.
Per testare il suo sistema di hackeraggio, Ney ha caricato file DNA di “attacco” appositamente progettati, che ha poi confrontato con i profili target da lui creati e ha scoperto che con una dozzina di file di attacco poteva dedurre quasi tutti gli attuali marcatori di DNA del profilo target, anche se questi erano destinati a essere privati.
Un rischio per la sicurezza nazionale
Lo stesso attacco non funzionerebbe su altri siti di genealogia, come 23andMe, perché non consentono il caricamento di dati. Altri, come MyHeritage, consentono i caricamenti ma non forniscono agli utenti informazioni sui possibili incroci. “Il problema con GEDmatch è che il browser è troppo efficiente e lavora troppo in profondità”, afferma Erlich. “Se fossi in loro, lo rimuoverei, lo tarerei di nuovo, quindi lo rimetterei”.
Secondo Erlich, la vulnerabilità ha serie implicazioni per la sicurezza nazionale. Se un’agenzia di controspionaggio straniera entrasse in possesso di un milione di profili di DNA americani, quel paese potrebbe usare la genealogia genetica per identificare la vera identità di spie o diplomatici americani, localizzare i loro parenti o scoprire dati genetici compromettenti come quelli relativi a figli illegittimi. Dal momento che altri paesi non dispongono di tali database da sottrarre agli Stati Uniti, il rischio non sarebbe simmetrico.
“Si potrebbero conseguire capacità superiori a quelle dell’FBI e sfruttarle nel modo voluto”, afferma Erlich. “Con i dati grezzi si potrebbero scoprire algoritmi ancora più efficaci per identificare spie o fare politiche di controllo genetico”.
Inoltre, dice Ney, i malintenzionati potrebbero creare account falsi e fingere di essere i parenti scomparsi da tempo di qualcuno.
Ney afferma di aver detto a GEDmatch delle vulnerabilità a luglio, ma non è convinto che la piccola azienda sia in grado di risolvere i problemi. Inizialmente, il suo team ha fissato una scadenza per settembre per dare una risposta, ma Ney afferma di non aver pubblicato il suo rapporto per più di un mese quando ha notato che il sito non aveva ancora trovato soluzioni.
Solo un mese fa, hanno apportato una piccola modifica al loro algoritmo che impedisce l’attacco più significativo che abbiamo sviluppato”, afferma Ney. “Ci chiediamo se queste correzioni sono in grado di contrastare un avversario determinato. Potrebbe trattarsi solo di una patch temporanea”.
GEDMatch è una piccola impresa della Florida il cui obiettivo è la genealogia e l’educazione, non i profitti, afferma Rogers. Ha riconosciuto che il suo team di cinque volontari a tempo parziale non ha le risorse per assumere consulenti di sicurezza.
Rogers, che non è un programmatore di computer, non ha fornito dettagli sulle correzioni implementate da GEDmatch. “Ho lasciato che il personale tecnico ci lavorasse sopra”, ha detto in un’intervista. In seguito ha inviato un’email per dire che il sito “stava lavorando attivamente per aggiungere ulteriori misure di sicurezza in base ai problemi segnalati”.
Ney afferma di non credere che il sito di genealogia sia sicuro. “Quanto impegno è necessario per proteggere un sito Web di grandi dimensioni con oltre un milione di dati genetici? Penso che sia difficile da fare per chiunque”, egli afferma. “Mi chiedo se un sistema basato sul volontariato puoi mai avere la forza di gestirlo”.
Ney non crede inoltre che gli amministratori di GEDmatch abbiano modo di sapere se i dati sul DNA sono già stati sottratti, dal momento che un attacco potrebbe passare inosservato. “Il peggior attacco”, conclude Ney, “è quello di cui non ti rendi nemmeno conto”.
(rp)
