[論文レビュー] Preliminary Analysis of Potential Harms in the Luca Tracing System

Theresa Stadler, Wouter Lueks+2 more|arXiv (Cornell University)|Mar 22, 2021

COVID-19 Digital Contact Tracing被引用数 9

ひとこと要約

この論文は、パンデミック期における施設訪問の追跡を目的とした中央集権型プラットフォームである Luca デジタル接触追跡システムの潜在的被害を分析している。本研究では、Luca バックエンドサーバーがユーザーのチェックインを関連付けることができ、偽名とメタデータを用いて個人を再識別可能であり、施設のプロファイリングも可能であることが明らかになった。これは、システムの侵害がなくても、中央集権的な信頼体制と技術的セキュリティ対策の欠如（手順的対策に限定）により、深刻なプライバシーと監視リスクを引き起こすものである。

ABSTRACT

In this document, we analyse the potential harms a large-scale deployment of the Luca system might cause to individuals, venues, and communities. The Luca system is a digital presence tracing system designed to provide health departments with the contact information necessary to alert individuals who have visited a location at the same time as a SARS-CoV-2-positive person. Multiple regional health departments in Germany have announced their plans to deploy the Luca system for the purpose of presence tracing. The system's developers suggest its use across various types of venues: from bars and restaurants to public and private events, such religious or political gatherings, weddings, and birthday parties. Recently, an extension to include schools and other educational facilities was discussed in public. Our analysis of the potential harms of the system is based on the publicly available Luca Security Concept which describes the system's security architecture and its planned protection mechanisms. The Security Concept furthermore provides a set of claims about the system's security and privacy properties. Besides an analysis of harms, our analysis includes a validation of these claims.

研究の動機と目的

• Luca デジタル存在追跡システムを大規模に展開する際の潜在的被害を評価すること。
• システムのセキュリティ・コンセプトに記載されたセキュリティおよびプライバシー主張が技術的に妥当で実行可能かどうかを評価すること。
• Luca バックエンドサーバーに信頼が集中していることにより、監視や乱用が検出されずに可能になるかどうかを調査すること。
• デジタルで中央集権的な追跡と従来の紙ベースの方法とのリスクを比較すること。
• 中央集権型システムにおいて、細かく粒度の高い位置情報と接触データを収集することの割合的妥当性を疑問視すること。

提案手法

• システム設計と主張の主な出典として、公開済みの Luca セキュリティコンセプト（2021年3月10日）を分析した。
• リスクの過剰評価を避けるために、最小悪影響の実装を仮定し、ドキュメントに基づいてシステムアーキテクチャとデータフローを解釈した。
• IPアドレスやタイミングなどのメタデータ、および偽名を用いて、Luca バックエンドサーバーがユーザーのチェックインを推定して関連付ける可能性のある攻撃ベクトルを同定した。
• 現実的な脅威モデル下で、システムの6つのセキュリティ目的が成立するかをテストした。
• システムのプライバシー保証が、技術的制御ではなくサーバー運用者への信頼に依存しているかどうかを評価した。
• データ収集と露出を最小限に抑える分散型代替案と比較して、中央集権型システムのリスクを検証した。

実験結果

リサーチクエスチョン

• RQ1 Luca バックエンドサーバーは、システム保護を侵害せずに、同じユーザーのチェックイン記録をどの程度まで関連付けることができるか？
• RQ2 サーバー運用者への完全な信頼がなければ、Luca システムのセキュリティ目的は達成可能か？
• RQ3 中央集権型システムにおけるリアルタイムの施設プロファイリングとデータ収集に関連するプライバシーと監視リスクは何か？
• RQ4 デジタルで中央集権的な追跡と従来の紙ベースの方法とでは、データ悪用のリスクにどのような差があるか？
• RQ5 分散型代替案は、乱用や再識別のリスクを最小限に抑えながら、同様の機能を達成できるか？

主な発見

• Luca バックエンドサーバーは、到着および退去時刻を含むリアルタイムの施設の混雑状況を把握でき、特定の施設に関連するコミュニティの監視を可能にする可能性がある。
• IPアドレスやタイミングなどのメタデータを用いて、システムのフローを変更せずに、同じユーザーの訪問記録を高い確率で関連付けることができる。
• 本システムで使用される偽名は恒久的であり、ユーザーのIPアドレスや電話番号と関連付け可能であるため、再識別が可能となり、社会的差別やレッテル貼りのリスクを伴う。
• システムのセキュリティ目的は、Luca バックエンドサーバーが完全に信頼できるという仮定にのみ成立しており、悪用を防ぐ技術的セキュリティ対策が存在しない。
• 陽性事例の報告に基づいて施設のリスク順位付けが可能であり、特定の場所およびその関連コミュニティに対する社会的レッテル貼りを引き起こす可能性がある。
• 技術的制御の欠如により、サーバーによるいかなる悪用（データ漏洩や強制的な行動変容など）も検出されず、信頼性と参加意欲を損なうおそれがある。