[論文レビュー] Tracking and Controlling the Spread of a Virus in a Privacy-Preserving Way

Didem Demirağ, Erman Ayday|arXiv (Cornell University)|Mar 29, 2020

Privacy-Preserving Technologies in Data参考文献 11被引用数 7

ひとこと要約

本稿では、スマートフォンに保存された物理的接触履歴と、診断済み患者のIDを保持する中央集積型データベースとの間で、安全なプライベートセットインタセクション（PSI）を用いた、プライバシー保護型接触追跡システムを提案する。この方式は、健康な者および感染済み者の両方の位置情報のプライバシーを保護し、患者の身元を他の者から隠蔽するとともに、健康当局に敏感なデータを暴露せずに、リスク警告メッセージを承認された者にのみ届けることを可能にする。

ABSTRACT

Today, tracking and controlling the spread of a virus is a crucial need for almost all countries. Doing this early would save millions of lives and help countries keep a stable economy. The easiest way to control the spread of a virus is to immediately inform the individuals who recently had close contact with the diagnosed patients. However, to achieve this, a centralized authority (e.g., a health authority) needs detailed location information from both healthy individuals and diagnosed patients. Thus, such an approach, although beneficial to control the spread of a virus, results in serious privacy concerns, and hence privacy-preserving solutions are required to solve this problem. Previous works on this topic either (i) compromise privacy (especially privacy of diagnosed patients) to have better efficiency or (ii) provide unscalable solutions. In this work, we propose a technique based on private set intersection between physical contact histories of individuals (that are recorded using smart phones) and a centralized database (run by a health authority) that keeps the identities of the positive diagnosed patients for the disease. Proposed solution protects the location privacy of both healthy individuals and diagnosed patients and it guarantees that the identities of the diagnosed patients remain hidden from other individuals. Notably, proposed scheme allows individuals to receive warning messages indicating their previous contacts with a positive diagnosed patient. Such warning messages will help them realize the risk and isolate themselves from other people. We make sure that the warning messages are only observed by the corresponding individuals and not by the health authority. We also implement the proposed scheme and show its efficiency and scalability via simulations.

研究の動機と目的

• 早期のウイルス拡散制御のためのタイムリーな接触追跡による、重要なニーズに対応する。
• 中央集積型接触追跡システムにおける、効果的な疫病制御とプライバシー侵害の間の葛藤を解決する。
• 他の個人および一般公衆から診断済み患者の身元を暴露から保護する。
• リスクがある者にのみ標的警告が届くように保証し、身元や接触情報が暴露されないようにする。
• パフォーマンスのボトルネックやプライバシーの妥協を回避する、スケーラブルで効率的なソリューションを設計する。

提案手法

• スマートフォンに保存された接触履歴と、診断済み患者の識別子を保持する中央集積型データベースとの間で、安全なプライベートセットインタセクション（PSI）プロトコルを活用して照合する。
• 暗号技術を用いて、ユーザーのスマートフォンに物理的接触ログをローカルに保存し、位置情報のプライバシーを保持する。
• 健康当局は、ユーザーの接触履歴と診断済み患者リストとの一致の有無のみを学習し、一致したユーザーの身元は学習しないように保証する。
• 接触履歴が診断済み患者の身元と一致する者にのみ警告メッセージを発行し、これらのメッセージは受信者以外に表示されないようにする。
• 暗号的プリミティブを用いて、健康当局が警告メッセージの内容を観測したり、特定のユーザーにリンク付けたりすることを防止する。
• シミュレーションを用いて方式を実装および評価し、大規模な人口における効率性と水平スケーラビリティを実証する。

実験結果

リサーチクエスチョン

• RQ1 接触追跡システムは、健康な者および診断済み患者の両方のプライバシーを保護しつつ、効果的な流行拡大警告を可能にすることができるか？
• RQ2 スケーラブルで効率的な方法で、患者の身元を他の個人および健康当局から隠蔽するにはどうすればよいか？
• RQ3 プライベートセットインタセクションをどれだけ安全に活用して、接触履歴を敏感なデータを暴露せずに照合できるか？
• RQ4 システムは、リスクのある接触がある者にのみ警告を届け、健康当局が警告を観測できないように保証できるか？
• RQ5 実際のシミュレーション条件下で、提案されたソリューションのパフォーマンスとスケーラビリティはどの程度か？

主な発見

• 提案された方式は、接触追跡の過程で、健康な者および診断済み患者の両方の位置情報のプライバシーを効果的に保護した。
• 診断済み患者の身元は、健康当局を除くすべての者から隠蔽され、健康当局自身も、接触した者の身元を学習しない。
• 警告メッセージは、診断済み患者と密接な接触があった者にのみ届けられ、受信者以外には表示されない。
• 健康当局は警告メッセージの内容を観測したり、それらを特定のユーザーにリンク付けたりできず、エンドツーエンドのプライバシーを確保した。
• シミュレーション結果から、システムは高い効率性と水平スケーラビリティを示し、大規模な展開を支援した。
• 中央集積型システムのプライバシー的欠陥を回避するとともに、従来のプライバシー保護型アプローチのスケーラビリティの限界も回避した。