[論文レビュー] Vetting Security and Privacy of Global COVID-19 Contact Tracing Applications

Ruoxi Sun, Wei Wang+4 more|arXiv (Cornell University)|Jun 18, 2020

COVID-19 Digital Contact Tracing参考文献 23被引用数 34

ひとこと要約

この論文は、COVID-19の接触追跡アプリ34種をセキュリティおよびプライバシーの観点から評価し、設計およびデータ管理における深刻な欠陥を特定した。本稿では、分散型データ保存と最小限のユーザー位置情報の暴露によりプライバシーを強化する、施設アクセスに基づく接触追跡システムであるVenueTraceを提案する。これにより、既存のモデルに対する安全でプライバシーを尊重する代替手段が提供される。

ABSTRACT

The rapid spread of COVID-19 has made traditional manual contact tracing to identify potential persons in close physical proximity to an known infected person challenging. Hence, a number of public health authorities have experimented with automated contact tracing apps. While the global deployment of contact tracing apps aims to protect the health of citizens, these apps have raised security and privacy concerns. In this paper, we assess the security and privacy of 34 exemplar contact tracing apps using three methodologies: (i) evaluate the design paradigms and the privacy protections provided; (ii) static analysis to discover potential vulnerabilities and data flows to identify potential leaks of private data; and (iii) evaluate the robustness of privacy protection approaches. Based on the results, we propose a venue-access-based contact tracing solution, VenueTrace, which preserves user privacy while enabling proximity contact tracing. We hope that our systematic assessment results and concrete recommendations can contribute to the development and deployment of applications against COVID-19 and help governments and application development industry build secure and privacy-preserving contract tracing applications.

研究の動機と目的

• COVID-19パンデミック期に展開された34のグローバル接触追跡アプリのセキュリティおよびプライバシーを評価すること。
• 体系的な分析を通じて、既存アプリの設計上の欠陥および潜在的脆弱性を同定すること。
• 機密性の高いユーザーデータの露出を最小限に抑えるプライバシー保護型接触追跡ソリューションを開発すること。
• 政府および開発者による安全で信頼性のある接触追跡システムの構築を支援する、実行可能な提言を提供すること。

提案手法

• 34の接触追跡アプリの設計パラダイムを分析し、そのプライバシー保護メカニズムを評価すること。
• 静的コード解析を実施し、潜在的な脆弱性およびデータ漏洩リスクを特定すること。
• 分散型IDやローカルデータ保存などのプライバシー保護技術の堅牢性を評価すること。
• 特定の場所および時間窓に限定してデータ収集を行う、施設アクセスベースのシステムであるVenueTraceの設計。
• ユーザーのデータがデバイス上に留まり、中央集権的に保存されない、分散型アーキテクチャの実装。
• 脅威モデリングおよび脅威表面解析を通じて、VenueTraceのプライバシー保証を検証すること。

実験結果

リサーチクエスチョン

• RQ1 既存のグローバル接触追跡アプリに一般的に見られるセキュリティおよびプライバシー上の脆弱性は何か？
• RQ2 現在の設計パラダイムは、ユーザーの身元および位置情報データを保護するのにどの程度効果的か？
• RQ3 施設アクセスベースのモデルは、データ漏洩リスクを低減しつつ、接触追跡の有効性を維持できるか？
• RQ4 分散型接触追跡システムにおいて、ユーザーのプライバシーを最大限に保護するための技術的およびアーキテクチャ的選択肢は何か？
• RQ5 プライバシー保護型接触追跡は、どのように体系的に評価され、改善できるか？

主な発見

• 分析対象の34アプリすべてに、設計または実装上の重大なプライバシーまたはセキュリティ上の欠陥が確認された。
• 多くのアプリが、GPS座標やデバイス識別子などの機密データを中央サーバーに送信しており、データ漏洩のリスクが高まっている。
• ユーザーのプライバシーに対するリスクが高く、攻撃表面も拡大するという既知の懸念にもかかわらず、中央集権型データ保存モデルが広く採用されている。
• 静的解析により、不適切なデータ送信や不適切なアクセス制御といった複数の脆弱性が特定された。
• VenueTraceは、場所固有のアクセスログに限定してデータ収集を行い、ユーザーのデバイス上にデータを保存することで、強固なプライバシー保証を実現した。
• VenueTraceは、連続的な位置追跡を回避し、データ露出を最小限に抑えることで、脅威表面を低減した。