[論文レビュー] Privacy Guidelines for Contact Tracing Applications

Manish Shukla, Rajan M. A+3 more|arXiv (Cornell University)|Apr 28, 2020

COVID-19 Digital Contact Tracing参考文献 15被引用数 21

ひとこと要約

本論文は、COVID-19のような感染症の流行時における公衆衛生のニーズとユーザーのデータ保護の両立を図るため、接触追跡アプリケーション向け包括的なプライバシー指針を提言する。開発者、政府、企業といったステークホルダーごとに特化した推奨事項を提示し、分散型データ処理、エンド・ツー・エンド暗号化、透明性、使いやすさを強調することで、信頼性と大規模な採用を確保する。

ABSTRACT

Contact tracing is a very powerful method to implement and enforce social distancing to avoid spreading of infectious diseases. The traditional approach of contact tracing is time consuming, manpower intensive, dangerous and prone to error due to fatigue or lack of skill. Due to this there is an emergence of mobile based applications for contact tracing. These applications primarily utilize a combination of GPS based absolute location and Bluetooth based relative location remitted from user's smartphone to infer various insights. These applications have eased the task of contact tracing; however, they also have severe implication on user's privacy, for example, mass surveillance, personal information leakage and additionally revealing the behavioral patterns of the user. This impact on user's privacy leads to trust deficit in these applications, and hence defeats their purpose. In this work we discuss the various scenarios which a contact tracing application should be able to handle. We highlight the privacy handling of some of the prominent contact tracing applications. Additionally, we describe the various threat actors who can disrupt its working, or misuse end user's data, or hamper its mass adoption. Finally, we present privacy guidelines for contact tracing applications from different stakeholder's perspective. To best of our knowledge, this is the first generic work which provides privacy guidelines for contact tracing applications.

研究の動機と目的

• 感染症の流行時におけるモバイル接触追跡アプリケーションにおける増大するプライバシー懸念に応える。
• 監視、データ漏洩、行動パターンの露呈といった、ユーザーのプライバシーを脅かす脅威を特定する。
• 開発者、政府、企業といったステークホルダーごとに実行可能なプライバシー指針を提供する。
• 公衆衛生の有効性と強固なデータ保護、ユーザーの信頼の両立を図ることで、大規模な採用を確保する。
• 安全で透明性があり、プライバシーを尊重する接触追跡システムの枠組みを確立する。

提案手法

• シンガポールのTraceTogether、イスラエルのアプリなど、代表的な接触追跡アプリケーションのプライバシー対策を分析し、強みと弱みを特定する。
• 開発者、政府、企業をカバーするマルチステークホルダーフレームワークを提言する。
• 中央集権的なデータストレージを最小限に抑えるために、分散型アーキテクチャの導入を提唱する。
• プライベートセットインターセクションやブルームフィルタなどのプライバシー保護技術を活用した安全な計算手法の利用を推奨する。
• エンド・ツー・エンド暗号化、データ匿名化、およびユーザー端末上での機密データの安全なローカル保存を強調する。
• アプリケーションのソースコードをオープンソース化し、コンパイル済みバイナリをソースコードと照合可能な仕組みを導入することで、透明性を確保し、バックドアの防止を図る。

実験結果

リサーチクエスチョン

• RQ1 接触追跡アプリケーションは、感染拡大の抑止に効果的である一方で、ユーザーのプライバシーをどのように保護できるか？
• RQ2 接触追跡システムにおける中央集権的データ収集が引き起こす主なプライバシー脅威は何か？
• RQ3 リスクスコアリングアルゴリズムの透明性と説明可能性は、ユーザーの信頼と採用率をどのように向上させるか？
• RQ4 第三者や国家機関による接触追跡データの悪用を防ぐために、技術的・政策的措置として何が有効か？
• RQ5 高齢者や低学歴層を含む多様なユーザー層を考慮した使いやすさの最適化は、プライバシーを損なわずに行えるか？

主な発見

• 本論文は、接触追跡アプリケーションにおける中央集権的データ収集が、大規模な監視やデータ漏洩といった深刻なプライバシーリスクを引き起こすと特定した。
• データを端末上にローカルに保存し、匿名化されたリスクスコアのみを共有する分散型アーキテクチャは、プライバシーへの影響を顕著に低減する。
• アプリケーションのソースコードをオープンソース化し、コンパイル済みバイナリをソースコードと照合可能にする仕組みは、信頼性を高め、第三者による監査を可能にする。
• 要因レベルの分解が可能な明確で説明可能なリスクスコアの提供は、ユーザーのシステム理解と受容性を向上させる。
• 場所ブラックリスト（例：自宅、職場）といった機能の導入により、ユーザーがデータ露出を制御でき、使いやすさが向上する。
• 感染経路データの自動削除（隔離期間後）といった適切なデータ保持ポリシーは、長期的なプライバシー侵害を防ぐのに有効である。