[論文レビュー] Anonymous Collocation Discovery: Harnessing Privacy to Tame the Coronavirus

Ran Canetti, Trachtenberg, Ari+1 more|arXiv (Cornell University)|Mar 30, 2020

Internet Traffic Analysis and Secure E-voting参考文献 12被引用数 28

ひとこと要約

本論文は、COVID-19パンデミック期における感染済み個体との密接接触を検出するために、Bluetoothベースの匿名トークンを用いた分散型でプライバシーを守るモバイルシステムを提案する。中央集権的な位置情報や身元データの保存を回避することで、ユーザーの匿名性を損なわず、最小限のプライバシーリスクで迅速なアラートを提供し、中央機関への信頼を必要とせずに、迅速な検査や隔離措置を可能にする。

ABSTRACT

Successful containment of the Coronavirus pandemic rests on the ability to quickly and reliably identify those who have been in close proximity to a contagious individual. Existing tools for doing so rely on the collection of exact location information of individuals over lengthy time periods, and combining this information with other personal information. This unprecedented encroachment on individual privacy at national scales has created an outcry and risks rejection of these tools. We propose an alternative: an extremely simple scheme for providing fine-grained and timely alerts to users who have been in the close vicinity of an infected individual. Crucially, this is done while preserving the anonymity of all individuals, and without collecting or storing any personal information or location history. Our approach is based on using short-range communication mechanisms, like Bluetooth, that are available in all modern cell phones. It can be deployed with very little infrastructure, and incurs a relatively low false-positive rate compared to other collocation methods. We also describe a number of extensions and tradeoffs. We believe that the privacy guarantees provided by the scheme will encourage quick and broad voluntary adoption. When combined with sufficient testing capacity and existing best practices from healthcare professionals, we hope that this may significantly reduce the infection rate.

研究の動機と目的

• 個人の詳細な位置履歴を収集・相関させる中央集権型接触追跡システムに伴うプライバシー懸念を解決すること。
• 個人情報を保存せず、ユーザーが自発的にアクティブ化する分散型システムを設計し、感染済み個体との接触の可能性についてタイムリーに通知すること。
• 強い匿名性を保証し、中央機関やインfraストラクチャへの信頼を最小限に抑えることで、広範な一般の利用を促進すること。
• 匿名的で検証可能な近接検出を通じて、標的型の検査や隔離措置などの効果的な公衆衛生対策を支援すること。
• 最小限のインfraストラクチャで展開可能でありながら、誤検出率が低く、スプーフィングやリプレイ攻撃に対して耐性を持つこと。

提案手法

• 本システムは、近接するデバイス間で匿名的で時間制限付きのトークンを交換する短距離Bluetooth通信を用いることで、ユーザーの身元や位置情報のプライバシーを保護する。
• 各ユーザーのデバイスは、受信したトークンのローカルデータベースを保持し、暗号的にハッシュ化され、一意で一時的な識別子にリンクされる。
• 感染済みユーザーは、安全で認証されたチャネルを通じて、14日間有効なトークンを公開レジストリにアップロードする。
• ユーザーは、プライベート情報取得（PIR）またはプライベートセットインターセクション（PSI）を用いて、定期的にレジストリを照会し、自身が受信したトークンのいずれかが感染済み個体のものと一致するかを確認する。
• リプレイ攻撃を防止し、トークンの真正性を保証するために、ゼロ知識証明や時刻・場所に基づくハッシュ検証などの暗号 Primitive を採用する。
• プライベートな公開・購読メカニズムにより、ユーザーは全レジストリをダウンロードせずに、暴露の通知を受け取ることができ、効率性とプライバシーが向上する。

実験結果

リサーチクエスチョン

• RQ1 中央集権的なデータ収集がなく、個人データや位置履歴を保存しない分散型でプライバシーを守るシステムが、感染済み個体との密接接触を検出できるか。
• RQ2 スプーフィングやリプレイ攻撃に対して耐性を持ちつつ、感染済み個体に近接したユーザーに対して匿名的でタイムリーなアラートをどのように届けることができるか。
• RQ3 PIR や PSI といった暗号技術を用いることで、ユーザーの身元や保有するトークンをレジストリサーバーに露呈せずに、公開レジストリへのプライベートアクセスをどの程度実現できるか。
• RQ4 ユーザーの匿名性を保ちつつ、暴露トークンの真正性と新鮮さ（新鮮さ）を保証するためのメカニズムは何か。
• RQ5 中央集権的なデータ収集が存在しないにもかかわらず、どのようにして広範な自発的採用を達成できるか。

主な発見

• 提案されたシステムは、Bluetoothと最小限のインfraストラクチャのみで、個人情報や位置履歴を保存せず、匿名的で分散型の接触追跡を実現する。
• トークンの時刻および場所に基づくハッシュ化により、リプレイ攻撃を防止し、機密データを保持せずにトークンの新鮮さを保証する。
• プライベート情報取得（PIR）およびプライベートセットインターセクション（PSI）により、ユーザーは自身の身元や保有するトークンをレジストリサーバーに明かさずに、暴露の有無を照会できる。
• 他の接触検出手法と比較して、誤検出率が低く抑えられ、信頼性とユーザーの信頼を高める。
• 本スキームは、シンプルで拡張可能かつアップグレード可能な設計となっており、14日間のデータ有効期限により、「ハードフォーク」によるプライバシー改善や機能強化が可能である。
• 本システムのプライバシー保証と中央集権的データ収集の不在は、高水準の自発的採用を促進すると予想され、これは効果的なパンデミック抑制にとって不可欠である。