[論文レビュー] Privacy-Preserving Contact Tracing: current solutions and open questions

Qiang Tang|arXiv (Cornell University)|Apr 14, 2020

COVID-19 Digital Contact Tracing参考文献 9被引用数 21

ひとこと要約

この論文は、COVID-19用のプライバシー保護型接触追跡ソリューションを分析し、その有用性、プライバシー、セキュリティのトレードオフを評価している。主な制限要因として、範囲が限定的であること、認証性が欠如していること、実装に関する詳細が不十分であることを見いだし、個人の権利と公衆衛生のニーズの両立を図る包括的でプライバシーに配慮した信頼性のある接触追跡システムを構築するための学際的研究アジェンダを提言している。

ABSTRACT

The COVID-19 pandemic has posed a unique challenge for the world to find solutions, ranging from vaccines to ICT solutions to slow down the virus spreading. Due to the highly contagious nature of the virus, social distancing is one fundamental measure which has already adopted by many countries. At the technical level, this prioritises contact tracing solutions, which can alert the users who have been in close contact with the infected persons and meanwhile allow heath authorities to take proper actions. In this paper, we examine several existing privacy-aware contact tracing solutions and analyse their (dis)advantages. At the end, we describe several major observations and outline an interdisciplinary research agenda towards more comprehensive and effective privacy-aware contact tracing solutions.

研究の動機と目的

• 呼吸器疾患（COVID-19を含む）のプライバシーに配慮した接触追跡ソリューションにおける、有用性、プライバシー、セキュリティのトレードオフを分析すること。
• 現在のシステムにおける深刻な欠陥、特に範囲が限定的であること、認証性が欠如していること、現実の制約下での実装が不切であることを見いだすこと。
• 公衆衛生当局、技術的設計者、エンドユーザーの間のギャップを埋めるために、役割、信頼関係、責任の所在を明確にすること。
• 技術的、法的、倫理的、社会的側面を統合する学際的研究アジェンダを構築する基盤を確立すること。
• 誠実な参加を促進するとともに、監視ツールとしての乱用を防ぐためのインcentiveメカニズムと信頼モデルを提言すること。

提案手法

• シンガポールのTraceTogether、Google/Appleの分散型DP-3T、Reichertら、Altuwaiyanら、Troncosoらの暗号プロトコルを含む主要な接触追跡ソリューションの比較分析を実施する。
• 実際の制約下での実装可能性を考慮し、有用性、プライバシーの保証、認証性、実装可能性の観点からソリューションを評価する。
• ユーザー、保健当局、バックエンドサーバー間の信頼関係を特定・モデル化し、セキュリティと責任の境界を定義する。
• 誠実な参加を促進し、悪意ある行動を抑止するため、DLTやブロックチェーンなどの分散型技術を統合することを提言する。
• 技術的設計を医療およびプライバシー法の法的・規制的要件と一致させるフレームワークを提示する。
• プライバシーと認証性の両方を考慮したエンドツーエンドのセキュリティモデリングの必要性を強調し、改ざんや監視の乱用を防止する。

実験結果

リサーチクエスチョン

• RQ1 既存のプライバシー保護型接触追跡ソリューションは、現実の展開において、プライバシー、有用性、認証性のバランスをどのようにとっているか？
• RQ2 プライバシーに配慮した接触追跡システムの広範な導入を妨げる主な技術的、法的、社会的障壁は何か？
• RQ3 ユーザー、保健当局、システム運用者間の信頼関係を形式的にモデル化し、悪用を防ぐにはどうすればよいか？
• RQ4 誠実な参加を促進し、悪意ある行動を抑止するためのインcentiveメカニズムを接触追跡システムに統合するにはどうすればよいか？
• RQ5 個人のリスク評価と公衆衛生監視の両方を支援するが、プライバシーを損なわないように接触追跡システムをどのように設計できるか？

主な発見

• 既存の接触追跡ソリューションは、間接的感染経路を無視していることが多く、強固なプライバシー保証があるものの、実用的効果は低下している。
• 現在のシステムの範囲は、主に個人のリスク評価に限定されており、保健当局や医療従事者のより広範な公衆衛生ニーズを無視している。
• 認証メカニズムの欠如により、ユーザーが位置情報や接近度データを偽造可能であり、システムの整合性を損なうおそれがあり、プライバシー侵害を引き起こす可能性がある。
• 多くの理論的ソリューションは、信頼できないバックエンドサーバーや保健当局の役割について十分な実装詳細を欠いており、現実の展開が不確かである。
• ステークホルダー間の信頼関係に合意がなく、責任の所在、データ解釈、システムガバナンスに曇りが生じている。
• 統合されたインcentiveメカニズムの欠如により、参加は主にオプトインモデルに依存しており、参加率の低さとシステムの有用性の低下を招いている。