[論文レビュー] Assessing Disease Exposure Risk with Location Data: A Proposal for Cryptographic Preservation of Privacy

Alex Berke, Michiel A. Bakker+3 more|arXiv (Cornell University)|Mar 31, 2020

COVID-19 Digital Contact Tracing参考文献 16被引用数 42

ひとこと要約

本論文は、GPSベースでプライバシーを保護する接触追跡システムを、データの削除/検閲を用いたデータ整形、時空間ポイント間隔の決定論的ハッシュ、およびプライベートセット交差プロトコルを用いて、私的な場所履歴を開示することなく曝露を特定する。

ABSTRACT

Governments and researchers around the world are implementing digital contact tracing solutions to stem the spread of infectious disease, namely COVID-19. Many of these solutions threaten individual rights and privacy. Our goal is to break past the false dichotomy of effective versus privacy-preserving contact tracing. We offer an alternative approach to assess and communicate users' risk of exposure to an infectious disease while preserving individual privacy. Our proposal uses recent GPS location histories, which are transformed and encrypted, and a private set intersection protocol to interface with a semi-trusted authority. There have been other recent proposals for privacy-preserving contact tracing, based on Bluetooth and decentralization, that could further eliminate the need for trust in authority. However, solutions with Bluetooth are currently limited to certain devices and contexts while decentralization adds complexity. The goal of this work is two-fold: we aim to propose a location-based system that is more privacy-preserving than what is currently being adopted by governments around the world, and that is also practical to implement with the immediacy needed to stem a viral outbreak.

研究の動機と目的

• デジタル接触追跡におけるプライバシーと効果のトレードオフを打破する。
• ユーザープライバシーを保持しつつ正確な曝露リスク評価を可能にする、位置情報ベースのシステムを提案する。
• 個々の位置履歴を開示せずに、集約された公衆リスクの可視化と個別のリスク通知を可能にする。

提案手法

• GPS履歴を共有グリッドに対応する離散的な時空間ポイント間隔に分割する。
• データがデバイスを離れる前に、ポイント間隔をデバイス上で変換・暗号化する。
• 部分的に信頼された権威を用いて削除済みのキャリアデータを保存し、ハッシュ化されたポイント間隔の照合にはプライベートセット交差プロトコルを適用する。
• 診断されたキャリアとの一致に基づきデバイス上で曝露リスクを評価し、リスクのあるユーザーに通知する。
• 公衆衛生の洞察のためにリスク領域の集約ヒートマップを提供する。

実験結果

リサーチクエスチョン

• RQ1 GPSベースのプライバシー保護型システムは、個人の位置履歴を開示せずに診断済みキャリアとの接触点を正確に特定できるか？
• RQ2 データ削除、決定論的ハッシュ、PSIの組み合わせは、アウトブレイク時に実用的でスケーラブルな曝露リスク通知を可能にするか？
• RQ3 集計データが個人のプライバシーを侵害することなく公衆リスクをどう通知できるか？

主な発見

• 診断済みキャリアと共有する空間で過ごした時間を測定することで、確率的リスク評価が実現可能である。
• 3Dポイント間隔のハッシュ化により、ユーザー端末と中央サーバー間で PSI を介したプライバシー保護マッチが可能になる。
• デバイス上のデータ削除の2つのアプローチ（区域ベースと点間隔ハッシュ）は、集計プライバシーと接触追跡のユースケースを支援する。
• PSIは、照会ユーザーには交差するデータだけが開示され、サーバーには開示されないというプライバシーレイヤを提供する。
• 地域データ保存、交換制限、d日後のデータ削除などの安全策を設計に含め、プライバシーリスクを低減する。