[論文レビュー] A note on blind contact tracing at scale with applications to the COVID-19 pandemic

Jack K. Fitzsimons, Atul Mantri+3 more|arXiv (Cornell University)|Apr 10, 2020

Privacy-Preserving Technologies in Data参考文献 11被引用数 4

ひとこと要約

本論文は、位置情報データに基づいて個人間の密接接触者を特定するが、個人のプライベートな位置履歴を露呈しないようにする、暗号的に安全でスケーラブルなフレームワークを提案する。安全な二当事者計算（2PC）を用い、Ishaiらの等価性テストプロトコルを適合させ、タイル化に基づく近接性チェックを適用することで、既存のクラウドインfrastrucureを用いて国家規模でプライベートかつ効率的かつプライバシー保護型の接触追跡を実現可能である。アイルランド、ポーランド、日本のような国々において、実用可能性が示された。

ABSTRACT

The current COVID-19 pandemic highlights the utility of contact tracing, when combined with case isolation and social distancing, as an important tool for mitigating the spread of a disease [1]. Contact tracing provides a mechanism of identifying individuals with a high likelihood of previous exposure to a contagious disease, allowing additional precautions to be put in place to prevent continued transmission. Here we consider a cryptographic approach to contact tracing based on secure two-party computation (2PC). We begin by considering the problem of comparing a set of location histories held by two parties to determine whether they have come within some threshold distance while at the same time maintaining the privacy of the location histories. We propose a solution to this problem using pre-shared keys, adapted from an equality testing protocol due to Ishai et al [2]. We discuss how this protocol can be used to maintain privacy within practical contact tracing scenarios, including both app-based approaches and approaches which leverage location history held by telecoms and internet service providers. We examine the efficiency of this approach and show that existing infrastructure is sufficient to support anonymised contact tracing at a national level.

研究の動機と目的

• 新型コロナウイルス感染症の流行期における大規模接触追跡におけるプライバシー懸念を解決し、機密情報を露呈せずに位置情報データの安全な比較を可能にすること。
• スマートフォンアプリのインストールを必要とせず、GPS、基地局トライアングレーション、Bluetoothといった多様なデータソースを統合できる、スケーラブルで暗号的に安全なソリューションを開発すること。
• 本プロトコルが、既存のクラウドコンピューティングリソースを用いて効率的に実装可能であり、国家レベルでの展開を可能にすることを示すこと。
• 政府と通信・ITプロバイダーとの協働を可能にするために、データ機密性を保持したまま位置データベースのプライベート比較を可能にすること。
• 位置履歴および一致の正確なタイムスタンプをすべて隠ぺいする、実用的で情報理論的に安全な近接性テストフレームワークを提供すること。

提案手法

• プロトコルは、Ishaiらの完全に安全な2PC等価性プロトコルを適合させ、事前に共有された鍵を用いて、プライベートな近接性テストを一連の安全な等価性テストに還元する。
• 地球の表面をグリッドセルにタイル化することで、位置データを離散化し、所定の距離以内の近接性を効率的かつプライベートに比較可能にする。
• 正確な一致タイムスタンプを隠ぺいし再識別を防ぐために、時間の量子化を20分間隔で実施する。
• WGS84楕円体モデルに基づく緯度経度変換定数を用いて、位置座標をキロメートル単位にスケーリングし、正確な距離計算を可能にする。
• 仮想プライベートクラウドとファイアウォールを活用して機密データを隔離するように、クラウドコンテナ上で並列に実行されるように設計されている。
• 実装は、軽量なPythonライブラリと、要請に応じて公開可能な鍵生成サービスを支援する。

実験結果

リサーチクエスチョン

• RQ1 安全な二当事者計算を用いて、個人のプライベートな位置履歴を露呈せずに密接接触者を特定できるか？
• RQ2 既存のクラウドインfrastrucureと暗号技術を用いて、国家規模でのプライベートな近接性テストを実装可能か？
• RQ3 GPS、基地局、Bluetoothといった複数の地理的位置情報ソースを、統合された接触追跡フレームワークに安全に統合できるか？
• RQ4 異なる規模の人口に適用した場合、通信およびストレージのオーバーヘッドはどの程度か？
• RQ5 プロトコルは、位置データのプライバシーに加え、一致のタイムスタンプおよびデータアクセスパターンのプライバシーを保持できるか？

主な発見

• 情報理論的に安全なセキュリティを達成し、最適な通信複雑度を実現することで、近接性チェック中に機密データの漏洩が一切ないことを保証する。
• アイルランド（人口480万人）のような小国では、2週間分の追跡ウィンドウに対して、約610TBの鍵と850TBの通信オーバーヘッドが必要となる。
• 日本（人口1億3390万人）のような大規模国では、鍵サイズは約1万1000TB、通信オーバーヘッドは1万6000TBに達するが、いずれも現代のクラウドインfrastrucureの範囲内である。
• Oracle Cloud や AWS などのプラットフォームで最大100 Gb/sの通信レートが利用可能であるため、クラウドインスタンスに並列化することで、スケーラブルかつ効率的である。
• 通信プロバイダーおよびGPSログなど、多様なソースからの履歴データをサポートし、リアルタイムのアプリベースのデータ収集を必要とせずに接触追跡を可能にする。
• 軽量なPythonライブラリと鍵生成サービスは、公開されており、展開およびコミュニティ利用を促進し、実世界での採用を容易にする。