[論文レビュー] Privately Connecting Mobility to Infectious Diseases via Applied Cryptography

Alexandros Bampoulidis, A. Bruni+4 more|arXiv (Cornell University)|May 5, 2020

Opportunistic and Delay-Tolerant Networks被引用数 4

ひとこと要約

本論文は、個々の個人の特定情報や感染状況を露呈させることなく、感染した個人のモバイル端末位置情報の安全でプライベートな集約を可能にするプライバシー保護プロトコルを提案する。同プロトコルは、同型暗号、ゼロ知識に類似したマスキング、および微分プライバシーを組み合わせ、最終的にのみ差分プライバシーを満たすヒートマップが公開されるように保証する。59ビットの統計的セキュリティを達成し、800万人の利用者を70分で処理できる。

ABSTRACT

Recent work has shown that cell phone mobility data has the unique potential to create accurate models for human mobility and consequently the spread of infected diseases. While prior studies have exclusively relied on a mobile network operator's subscribers' aggregated data in modelling disease dynamics, it may be preferable to contemplate aggregated mobility data of infected individuals only. Clearly, naively linking mobile phone data with health records would violate privacy by either allowing to track mobility patterns of infected individuals, leak information on who is infected, or both. This work aims to develop a solution that reports the aggregated mobile phone location data of infected individuals while still maintaining compliance with privacy expectations. To achieve privacy, we use homomorphic encryption, validation techniques derived from zero-knowledge proofs, and differential privacy. Our protocol's open-source implementation can process eight million subscribers in 70 minutes.

研究の動機と目的

• 感染した個人からの移動データを集約することで、低発症率状況下でも正確な感染症拡散モデルを構築すること。
• 集約プロセス中に個人の位置情報や感染状況が漏洩しないようにすること。
• 保健当局およびモバイルネットワーク事業者（MNO）が、最終的な差分プライバシーを満たすヒートマップ以外の情報を得られないようにすること。
• 不正な参加者が不正な入力や出力解析によってプライベートデータを推測しようとするのを防ぐ統計的セキュリティを維持すること。
• 実世界の公衆衛生監視に適した実用的でオープンソースの実装を提供すること。

提案手法

• 同型暗号を用いて、保健当局が感染した個人の暗号化された識別子を用いて、モバイルネットワーク事業者（MNO）の位置情報データの線形結合を安全に計算できるようにする。
• 二重マスキング技術を採用し、マスクのランダムな線形結合を用いることで、不正行為に対する統計的セキュリティを59ビットまで向上させ、偽造の成功確率を著しく低下させる。
• 出力に最終的なランダムマスクベクトルを適用することで、事前に特定の出力値が分かっている場合の漏洩を防止する。
• 最終的なヒートマップにラプラスノイズを追加することで微分プライバシーを統合し、任意の1人の感染者の存在・不在が統計的に区別できないようにする。
• 保健当局が患者IDを、MNOが位置データを入力とする二者間の安全計算プロトコルとして、すべてのプライバシー保護メカニズムを統合する。両者とも相手の入力を知ることなく、最終出力のみを取得する。
• 60ビットのモジュラスを用いた有限体上の安全な評価プロトコルを採用し、パフォーマンスとセキュリティのバランスを図る。パラメータは国家規模の実運用に適したように調整されている。

実験結果

リサーチクエスチョン

• RQ1 個々の位置情報や感染状況を露呈させることなく、感染した個人の移動データを集約したヒートマップを安全に計算できるか？
• RQ2 不正な参加者が入力の操作や出力解析によってプライベートデータを漏洩させないか？
• RQ3 実用的なヒートマップの有用性を保ちながら、統計的および微分プライバシーの水準はどの程度達成できるか？
• RQ4 本プロトコルは大規模なデータセット（例：800万人の利用者）を合理的な時間内に処理できるか？
• RQ5 低発症率の流行状況において、プライバシーの保証と最終ヒートマップの正確性のバランスをどのようにとれるか？

主な発見

• 安全計算を用いて、差分プライバシーを満たすヒートマップを、感染した個人の移動データから正確に計算可能であり、参加者全員が最終出力以外の情報を得られないことを保証した。
• 二重マスキングの導入により、統計的セキュリティが59ビットまで向上し、不正行為の成功確率が顕著に低下した。
• オープンソース実装により、800万人の利用者を70分で処理でき、実世界での展開に実用的であることを示した。
• 微分プライバシーの統合により、攻撃者が補助的情報を所有していても、個人の位置情報の再特定は不可能である。
• 特に低発症率状況下では、全人口の移動データが不正確になりがちな中、ヒートマップの疫学的モデリングにおける有用性を高い水準で維持した。
• 安全な解析により、参加者が「誠実だが好奇心の強い」状況、および「悪意ある」状況の両方に対しても、本システムは耐性があることが証明された。