[論文レビュー] A Critique of the Google Apple Exposure Notification (GAEN) Framework

Jaap-Henk Hoepman|arXiv (Cornell University)|Dec 9, 2020

COVID-19 Digital Contact Tracing被引用数 6

ひとこと要約

この論文は、Google Apple暴露通知（GAEN）フレームワークを批判しており、OSレベルに接触追跡を埋め込むことで、使用されていなくても潜在的な大規模監視能力を可能にし、国家の保健当局が実装を制御できなくなるおそれがあり、機能拡張や商業的利用のリスクが増大するとしている。これは、プライバシー保護設計の意図にもかかわらずである。

ABSTRACT

As a response to the COVID-19 pandemic digital contact tracing has been proposed as a tool to support the health authorities in their quest to determine who has been in close and sustained contact with a person infected by the coronavirus. In April 2020 Google and Apple released the Google Apple Exposure Notification (GAEN) framework, as a decentralised and more privacy friendly platform for contact tracing. The GAEN framework implements exposure notification mostly at the operating system layer, instead of fully at the app(lication) layer. In this paper we study the consequences of this approach. We argue that this creates a dormant functionality for mass surveillance at the operating system layer. We show how it does not technically prevent the health authorities from implementing a purely centralised form of contact tracing (even though that is the stated aim). We highlight that GAEN allows Google and Apple to dictate how contact tracing is (or rather isn't) implemented in practice by health authorities, and how it introduces the risk of function creep.

研究の動機と目的

• GAENフレームワークにおける接触追跡のアプリ層からオペレーティングシステム層への移行が及ぼす影響を分析すること。
• GAENが、国家保健当局が接触追跡システムを設計・展開する際の自律性をどのように損なうかを調査すること。
• 暴露通知システムが公衆衛生の範囲を超えて監視に再利用される可能性である機能拡張のリスクを評価すること。
• OSレベルのアクセスとGoogle/Appleによるフレームワーク管理が、商業的または国家監視の可能性を生じるかを評価すること。
• GoogleとAppleが公言するプライバシー保証に対して、技術的実装の欠如が顕在化している点を強調すること。

提案手法

• GAENフレームワークの技術的アーキテクチャ、特にOSレベル統合とBluetooth低レベルAPIへのアクセスを分析すること。
• 分散型（DP-3T）および集中型（PEPP-PT、TraceTogether）の接触追跡システムと比較することで、設計上のトレードオフを浮き彫りにすること。
• GoogleとAppleがAPIアクセスおよびアプリの許可リスト登録に関する単独の意思決定権を持つガートキーパーの役割を検討すること。
• 実世界の機能拡張事例（例：シンガポールやオーストラリアにおける法執行部門による接触追跡データへのアクセス）を評価すること。
• ビーコンベースの追跡やFacebookなどの既存プラットフォームとの統合を通じた暴露通知データの商業的潜在可能性を評価すること。
• GoogleとAppleのプライバシー約束を守るための検証可能な実装メカニズムが存在しないこと、信頼に依存するのみである点を強調すること。

実験結果

リサーチクエスチョン

• RQ1 GAENにおける接触追跡のOS層への移行が、国家保健当局とテック大手の間の力のバランスにどのように影響するか？
• RQ2 GAENフレームワークが、集中型接触追跡システムの実装を技術的に防ぐ程度はどの程度か？
• RQ3 暴露通知システムにおける機能拡張のリスクは何か？GAENはそれらをどのように促進または悪化させるか？
• RQ4 GAENのOSレベル統合が、潜在的かつ大規模な監視能力をどのように創出するか？
• RQ5 GoogleとAppleがGAENフレームワークへのアクセスを単独で制御することの、プライバシーと民主的監視に及ぼす影響は何か？

主な発見

• GAENフレームワークは、実際に使用されていなくても、オペレーティングシステムレベルで世界規模の大規模監視能力を潜在的に可能にする。
• 分散型設計の意図にもかかわらず、GAENは国家保健当局が集中型接触追跡システムを実装することを技術的に妨げない。
• GoogleとAppleは、どの政府アプリがGAENフレームワークを使用できるかを単独で決定する権限を保持しており、公衆衛生政策における国家主権を損なう。
• 実世界の展開事例では、すでに機能拡張が顕在化しており、例えばシンガポールの警察による接触追跡データへのアクセスや、オーストラリアの諜報機関によるCOVIDSafeアプリのデータ収集がその例である。
• フレームワークは商業的利用のリスクを高める。例えば、ターゲティング広告や位置追跡にビーコンベースの追跡を活用する可能性がある。
• GoogleとAppleがプライバシー約束を果たすかどうかを検証できる独立したメカニズムが存在せず、技術的実装ではなく信頼に依存するシステムとなっている。