[논문 리뷰] Adding Location and Global Context to the Google/Apple Exposure Notification Bluetooth API

Ramesh Raskar, Abhishek Singh외 2명|arXiv (Cornell University)|2020. 07. 01.

Bluetooth and Wireless Communication Technologies참고 문헌 6인용 수 9

한 줄 요약

이 논문은 Google/Apple 노출 통보(GAEN) 블루투스 API에 GPS 위치와 글로벌 컨텍스트를 개인정보 보호 기반으로 통합하는 방법을 제안한다. 이는 노출 알림에 시공간적 맥락을 포함시키되, 사용자 개인정보를 유출하지 않도록 한다. 대칭 암호화 기반의 BLE 페이로드 확장을 도입하여 건강한 기기들이 노출 발생 시에만 흐릿하게 처리된 GPS 위치를 복호화할 수 있도록 하여, 접촉 추적 정확도를 햖을 뿐만 아니라 GAEN의 개인정보 보호 설계 원칙을 유지한다.

ABSTRACT

Contact tracing requires a strong understanding of the context of a user, and location with other sensory data could provide a context for any infection encounter. Although Bluetooth technology gives a good insight into the proximity aspect of an encounter, it does not provide any location context related to it which helps to make better decisions. Using the ideas presented in this paper, one shall be able to obtain this valuable information that could address the problem of false-positive and false-negative to a certain extent. All of this within the purview of Google/Apple Exposure Notification (GAEN) specification, while preserving complete user privacy. There are four ways of propagating context between any two users. Two such methods allow private location logging, without revealing the location history within an app. The other two are encryption-based methods. The first encryption method is a variant of Apple's FindMy protocol, that allows nearby Apple devices to capture the GPS location of a lost Apple device. The second encryption is a minor modification of the existing GAEN protocol so that global context is available to a healthy phone only when it is exposed - this is a better option comparatively. It will still be the role of Public Health smartphone app to decide, on how to use the location-time context, to build a full-fledged contact tracing and public health solution. Lastly, we highlight the benefits and potential privacy issues with each of these context propagation methods proposed here.

연구 동기 및 목표

• 현재 GAEN 기반의 접촉 추적에서 위치 및 시간 맥락의 부족으로 사용자가 노출 위험을 정확히 평가할 수 없는 문제를 해결하기 위해.
• 위치, 시간, 환경적 요인 등의 노출 맥락을 제공하여 공중보건 관계자와 개인이 더 나은 의사결정을 내릴 수 있도록 하기 위해.
• 위치 데이터가 노출 이후에만 근처 기기에서 접근 가능하도록 하여 사용자 개인정보를 철저히 보호하기 위해, 위치 데이터가 비밀로 유지되도록 암호화하고 흐릿하게 처리하기 위해.
• 기존 업로드 메커니즘을 변경하거나 핵심 API를 수정하지 않는, 후행 호환성 있는 GAEN 프로토콜 확장을 제안하기 위해.
• 운동 상태, 방향, 다중경로 정보와 같은 맥락 정보를 통합하여 블루투스 기반의 노출 탐지에서의 오진 및 탈락을 줄이기 위해.

제안 방법

• GAEN BLE 페이로드를 확장하여 암호화된 양자화된(흐릿하게 처리된) GPS 위치를 DailyKey와 ConsentSecret과 연결하여 포함시킨다.
• DailyKey || ConsentSecret에서 파생된 대칭 키 암호화를 사용하여 흐릿하게 처리된 GPS를 암호화함으로써, 오직 근접한 기기들만 복호화할 수 있도록 보장한다.
• 정밀한 추적을 방지하면서도 맥락적 유용성을 유지하기 위해 위치 흐림 처리(예: 100m–1km 해상도)를 적용한다.
• 감염자 사용자가 업로드하는 것은 DailyKey와 ConsentSecret 뿐이며, 이로 인해 건강한 기기들이 RPI를 재구성하고 노출가능성에 따라 맥락을 복호화할 수 있도록 하는 프로토콜을 도입한다.
• 기존 GAEN 인fra구조에 의존하며, 보조 앱이나 백그라운드 위치 기록 기능이 필요 없어, 개인정보 보호 사양을 유지한다.
• 역지오코딩은 국소적이고 안전하게만 수행되어 앱에서 외부 API 호출을 직접 하지 않아 유출을 방지한다.

실험 결과

연구 질문

• RQ1 개인정보 보호 설계 원칙을 위반하지 않으면서도 GAEN 블루투스 프로토콜에 위치 및 글로벌 컨텍스트를 어떻게 통합할 수 있는가?
• RQ2 노출된 기기들만 맥락을 공유할 수 있도록 하면서도 비근접 사용자들을 보호하기 위한 기술적 및 암호화 메커니즘은 무엇인가?
• RQ3 흐릿하게 처리되고 암호화된 GPS 데이터가 블루투스 기반 접촉 추적의 정확도를 향상시키고 오진/탈락을 줄일 수 있는가?
• RQ4 원시 위치 기록을 폭 lộ하지 않고도 위치 공유에 대한 동의를 어떻게 동적으로 관리하고 업데이트할 수 있는가?
• RQ5 제안된 체계가 방어해야 할 위협 모델 및 공격 벡터(예: 실시간 공격, 후처리 공격, 분산 다중 당사자 공격)는 무엇인가?

주요 결과

• 제안된 방법은 GAEN 업로드 프로토콜를 변경하지 않으면서도 노출 알림에 위치 및 시간 맥락을 포함시킬 수 있어 개인정보 보호 기준을 유지한다.
• 100m–1km 해상도로 양자화된 흐릿한 GPS는 정밀 추적을 방지하면서도 의미 있는 맥락을 제공하여 개인정보 위험을 줄인다.
• 노출된 사용자와 접촉한 기기들만 암호화된 맥락을 복호화할 수 있어, 비노출 기기들은 위치 데이터에 접근할 수 없다.
• ConsentSecret를 통해 동적 동의 업데이트를 지원하여 사용자가 매일 또는 더 자주 DailyKey당 동의 설정을 변경할 수 있다.
• 강력한 암호화와 최소한의 데이터 노출 덕분에 실시간, 후처리, 분산 다중 당사자 공격에 모두 강건하다.
• 보조 앱이나 지속적인 위치 기록에 의존하지 않아 도입 장벽을 낮추고 개인정보 보호를 향상시킨다.