[論文レビュー] Target Privacy Threat Modeling for COVID-19 Exposure Notification Systems

Ananya Gangavarapu, Ellie Daw+5 more|arXiv (Cornell University)|Sep 25, 2020

Privacy-Preserving Technologies in Data参考文献 5被引用数 5

ひとこと要約

本論文は、COVID-19の接触通知システム（ENS）に特化した標的指向型プライバシー脅威モデリング（TPTM）フレームワークを提案する。従来のソフトウェア中心のモデルにとどまらず、ハードウェア、人的行動、規制、システムアーキテクチャを統合することで、プライバシー脅威を包括的に扱う。フレームワークは攻撃者の能力を特定し、プライバシー脅威を特定の識別子にマッピングし、実行可能な緩和戦略を提供する。その結果、ENSの展開に適した包括的で一貫性があり、プライバシーを設計段階から考慮した脅威モデルが得られる。

ABSTRACT

The adoption of digital contact tracing (DCT) technology during the COVID-19pandemic has shown multiple benefits, including helping to slow the spread of infectious disease and to improve the dissemination of accurate information. However, to support both ethical technology deployment and user adoption, privacy must be at the forefront. With the loss of privacy being a critical threat, thorough threat modeling will help us to strategize and protect privacy as digital contact tracing technologies advance. Various threat modeling frameworks exist today, such as LINDDUN, STRIDE, PASTA, and NIST, which focus on software system privacy, system security, application security, and data-centric risk, respectively. When applied to the exposure notification system (ENS) context, these models provide a thorough view of the software side but fall short in addressing the integrated nature of hardware, humans, regulations, and software involved in such systems. Our approach addresses ENSsas a whole and provides a model that addresses the privacy complexities of a multi-faceted solution. We define privacy principles, privacy threats, attacker capabilities, and a comprehensive threat model. Finally, we outline threat mitigation strategies that address the various threats defined in our model

研究の動機と目的

• STRIDE、LINDDUN、PASTA、NISTといった既存の脅威モデリングフレームワークが、接触通知システム（ENS）におけるプライバシー脅威の全範囲を捉えていないという限界を是正すること。
• ENSエコシステムにおけるハードウェア、ソフトウェア、人的行動、規制準拠の統合的性質を反映した、一元的で攻撃者中心のプライバシー脅威モデリングフレームワークの開発。
• 誤検出や見落としを低減するターゲット状態駆動アプローチにより、一貫性があり、網羅的で最小限の重複を含む脅威モデリングの成果を実現すること。
• 攻撃者能力に基づいてプライバシー脅威を定義し、それらをENSにおける特定のプライバシー識別子と攻撃ベクトルにマッピングする包括的なプライバシー脅威のセットを定義すること。
• GDPRやePrivacy指令などのプライバシー原則および規制基準に整合した、各脅威に対する実行可能で標準化された緩和戦略を提供すること。

提案手法

• TPTMフレームワークは、望ましいプライバシー保護を実現するシステム状態を定義するターゲット状態モデルに基づき構築されており、脅威モデリングにおける一貫性と網羅性を保証する。
• 攻撃者中心のアプローチを採用し、技術的脆弱性だけでなく、攻撃者の能力（例：脅し、データ推論、デバイス改ざん）に基づいて脅威を分類する。
• プライバシー脅威を特定のプライバシー識別子（例：位置情報、デバイスID、接触ログ）にマッピングし、情報フローダイアグラム（IFD）およびデータフローダイアグラム（DFD）を用いて各々の攻撃シナリオを定義する。
• 標準化された用語を導入し、脅威カテゴリと能力の複雑な多対多関係を簡素化することで、明確性と使いやすさを向上させる。
• 各脅威に対して緩和戦略をマッピングし、技術的対策（例：エンドツーエンド暗号化、微分散度、セキュア・エンclave）、ポリシー的対策（例：データ最小限化、ユーザー同意）、アーキテクチャパターン（例：参照アーキテクチャ、責任分担）を含む。
• フレームワークを適用して、ケース管理および近接追跡の両コンponentをカバーする、具体的な「ターゲットプライバシー脅威モデル」を構築する。

実験結果

リサーチクエスチョン

• RQ1 ソフトウェア、ハードウェア、人的行動、規制制約を統合する接触通知システムが抱える独自のプライバシー課題に対応するため、既存の脅威モデリングフレームワーク（例：STRIDE、LINDDUN、PASTA、NIST）はどのように拡張可能か？
• RQ2 従来のソフトウェアセキュリティを越えて、例えば脅し、再識別、規制不適合といった、ENSにおける主要なプライバシー脅威は何か？
• RQ3 誤検出や見落としを最小限に抑えるために、一貫性があり、再現可能で網羅的なENS向けの脅威モデリングプロセスをどのように確立できるか？
• RQ4 ENSにおいて最も危険にさらされる具体的なプライバシー識別子は何か？ また、攻撃者能力を体系的に分類し、それらをこれらの識別子にマッピングする方法は何か？
• RQ5 ENSにおけるプライバシー脅威の全範囲に対処するにあたり、最も効果的な技術的、組織的、政策的緩和戦略は何か？

主な発見

• TPTMフレームワークは、従来のソフトウェア中心のモデルが見逃す、脅し攻撃や規制準拠リスクを含むENSにおけるプライバシー脅威を的確に特定・分類している。
• 明確に定義されたターゲット状態と標準化された用語に依存するため、分析を実施する人物にかかわらず、一貫した脅威モデリングの結果が得られる。
• Bluetooth識別子によるデータ連携、デバイスフィンガープrint、改ざんされたサーバーを通じた不正なデータアクセスといった具体的な脅威が、微分散度やセキュア・エンclaveなどの技術的対策により正式にマッピングされ、緩和されている。
• エンドツーエンド暗号化、リプレイ保護のためのHMAC、検証と接触通知の分離といった緩和戦略により、攻撃面積とデータ露出が顕著に低減されている。
• データ最小限化、ユーザー制御、透明性といった原則を脅威モデリングプロセスに組み込むことで、GDPRやePrivacy指令などの主要なプライバシー規制への準拠を支援する。
• TPTMフレームワークをENSに適用することで、包括的で実行可能かつ監査可能なプライバシー脅威モデルが得られ、デジタル接触追跡システムにおける倫理的導入とユーザー信頼を支える。