[論文レビュー] CONTAIN: Privacy-oriented Contact Tracing Protocols for Epidemics

Arvin Hekmati, Gowri Ramachandran+1 more|arXiv (Cornell University)|Apr 10, 2020

COVID-19 Digital Contact Tracing参考文献 8被引用数 19

ひとこと要約

CONTAIN は、GPS や第三者サーバー、インフラストラクチャに依存せずに、感染した人物との接近を検出できるプライバシー保護型のブルートゥースベースの接触追跡プロトコルです。個人を特定できる情報が記録されないよう、匿名の暗号化メッセージまたは乱数生成を用いて、100% のユーザーのプライバシーを確保しています。60,000 台のデバイス記録を用いたシミュレーションでは、感染リスクがある人物を効果的に同定しています。

ABSTRACT

Pandemic and epidemic diseases such as CoVID-19, SARS-CoV2, and Ebola have spread to multiple countries and infected thousands of people. Such diseases spread mainly through person-to-person contacts. Health care authorities recommend contact tracing procedures to prevent the spread to a vast population. Although several mobile applications have been developed to trace contacts, they typically require collection of privacy-intrusive information such as GPS locations, and the logging of privacy-sensitive data on a third party server, or require additional infrastructure such as WiFi APs with known locations. In this paper, we introduce CONTAIN, a privacy-oriented mobile contact tracing application that does not rely on GPS or any other form of infrastructure-based location sensing, nor the continuous logging of any other personally identifiable information on a server. The goal of CONTAIN is to allow users to determine with complete privacy if they have been within a short distance, specifically, Bluetooth wireless range, of someone that is infected, and potentially also when. We identify and prove the privacy guarantees provided by our approach. Our simulation study utilizing an empirical trace dataset (Asturies) involving 100 mobile devices and around 60000 records shows that users can maximize their possibility of identifying if they were near an infected user by turning on the app during active times.

研究の動機と目的

• GPS データの収集や WiFi アクセスポイントなどのインフラストラクチャに依存する既存の接触追跡システムがもたらすプライバシーのリスクに対処すること。
• ユーザーの匿名性を保ち、アイデンティティや位置情報の追跡を防ぐ、分散型でインフラストラクチャフリーな接触追跡プロトコルを設計すること。
• ユーザーが感染した人物との密接な接触（時刻を含む）があったかどうかを、個人データを暴露せずにプライベートに特定できること。
• 分散型、中央集権型、ランダムなアクティベーション戦略の3つが、潜在的に感染したユーザーを最大限に同定するのに与える影響を評価すること。
• 参加の意思をユーザーが明示的に示す仕組みと中央集権的機関への信頼を最小限に抑えることで、ユーザーの参加を促進すること。

提案手法

• プロトコルはブルートゥースを用いて、デバイス間で匿名で暗号化されたメッセージを交換することで、位置追跡なしに接近状況を検出します。
• 2 種類のプロトコルを提案：対称鍵暗号化を用いるもの（デバイスが受信したメッセージをアップロード）と、大きな乱数を用いるもの（デバイスが送信したメッセージをアップロード）。
• すべてのデータはデバイスのローカルに保存され、第三者サーバーには個人を特定できる情報はログされません。
• システムは時刻同期されたブルートゥース相互作用に依存して出会いを記録し、ユーザーが陽性と判明した場合にのみ、出会いデータの共有に同意する仕組みです。
• シミュレーション研究では、100 台のデバイスと約 60,000 件の記録を含む Asturies データセットを用いて、現実世界の移動行動と接触パターンをモデル化しています。
• 3 つのアクティベーション戦略を評価：分散型（混雑時刻にブルートゥースをオンにする）、中央集権型（調整されたアクティベーション）、ランダム型（非調整のアクティベーション）。

実験結果

リサーチクエスチョン

• RQ1 GPS や WiFi アクセスポイント、中央集権的なデータログに依存せずに、正確な接近検出が可能な接触追跡システムを設計できるか？
• RQ2 分散型、中央集権型、ランダムなユーザーのアクティベーション戦略の違いが、潜在的に感染した人物を同定する数に与える影響は何か？
• RQ3 ユーザーの参加意思（オプトイン行動）が、現実世界の状況におけるプライバシー保護型接触追跡の有効性にどの程度影響を及えるか？
• RQ4 2 つの提案されたプロトコルが、ユーザーのアイデンティティや接触履歴を保護するという点で、どのようなプライバシー保証を提供するか？
• RQ5 高密度で移動が活発で、相互作用頻度が高い現実世界の環境において、このシステムはどの程度のパフォーマンスを示すか？

主な発見

• ユーザーが混雑時刻にブルートゥースをオンにする分散型アクティベーション戦略が、中央集権型およびランダムアクティベーションを上回り、潜在的に感染したユーザーをより効果的に同定する。
• 感染確率が 2% で、初期に 2 名の感染者がいる状況で、ブルートゥースの有効時間数を増やすことで、感染リスクがある人物の同定率が著しく向上する。
• 100 台のデバイスと約 60,000 件の記録を用いたシミュレーションでは、密度の高い環境で、たとえ感染率が低くても広範な感染拡大が生じうることを示しており、効果的な追跡の必要性を強調している。
• 非感染者ユーザーに対しては、アイデンティティ、接触履歴、位置情報が一切露呈しないため、100% のプライバシーが確保されている。
• 対称鍵暗号化と乱数ベースのプロトコルの 2 つが、デバイスが受信したメッセージをアップロードするか、送信したメッセージをアップロードするかに応じて、二重のプライバシー保証を提供する。
• 結果から、ユーザーが混雑度に応じてアクティベーションを調整する場合、プライバシー保護型接触追跡は現実世界の環境でも効果的かつスケーラブルである可能性が示唆される。