[논문 리뷰] Anonymous Collocation Discovery: Harnessing Privacy to Tame the Coronavirus

Ran Canetti, Trachtenberg, Ari외 1명|arXiv (Cornell University)|2020. 03. 30.

Internet Traffic Analysis and Secure E-voting참고 문헌 12인용 수 28

한 줄 요약

이 논문은 코로나19 팬데믹 기간 동안 감염자와의 밀접한 접촉을 탐지하기 위해 블루투스 기반 익명 토큰을 사용하는 탈중앙화되고 프라이버시를 보장하는 모바일 시스템을 제안한다. 위치 또는 신원 데이터를 중앙 집중식으로 저장하지 않음으로써, 사용자 익명성을 훼손하지 않으면서도 최소한의 프라이버시 위험으로 즉각적인 익명 알림을 가능하게 하여, 중앙 기관에 대한 신뢰가 필요 없이 빠른 검사 및 격리 결정을 지원한다.

ABSTRACT

Successful containment of the Coronavirus pandemic rests on the ability to quickly and reliably identify those who have been in close proximity to a contagious individual. Existing tools for doing so rely on the collection of exact location information of individuals over lengthy time periods, and combining this information with other personal information. This unprecedented encroachment on individual privacy at national scales has created an outcry and risks rejection of these tools. We propose an alternative: an extremely simple scheme for providing fine-grained and timely alerts to users who have been in the close vicinity of an infected individual. Crucially, this is done while preserving the anonymity of all individuals, and without collecting or storing any personal information or location history. Our approach is based on using short-range communication mechanisms, like Bluetooth, that are available in all modern cell phones. It can be deployed with very little infrastructure, and incurs a relatively low false-positive rate compared to other collocation methods. We also describe a number of extensions and tradeoffs. We believe that the privacy guarantees provided by the scheme will encourage quick and broad voluntary adoption. When combined with sufficient testing capacity and existing best practices from healthcare professionals, we hope that this may significantly reduce the infection rate.

연구 동기 및 목표

• 개인의 상세한 위치 기록을 수집하고 연관 짓는 중앙 집중식 접촉 추적 시스템과 관련된 프라이버시 우려를 해결하기 위해.
• 개인 정보를 저장하지 않고도 감염자와의 노출 가능성을 즉각 알릴 수 있는 탈중앙화되고 사용자 활성화형 시스템을 설계하기 위해.
• 어떤 중앙 기관이나 인프라에 대한 신뢰도 최소화하면서도 광범위한 대중의 도입을 보장하기 위해.
• 익명적이고 검증 가능한 근접도 탐지 기능을 통해 타겟팅된 검사 및 격리와 같은 효과적인 공중보건 조치를 지원하기 위해.
• 최소한의 인프라로도 구현 가능하면서도 낮은 가짜 양성률과 스푸핑 또는 재생 공격에 대한 저항성을 유지하기 위해.

제안 방법

• 시스템은 근접한 기기 간에 익명적이며 시간 제한이 있는 토큰을 교환하기 위해 근거리 블루투스 통신을 사용하여 사용자 신원 및 위치 프라이버시를 유지한다.
• 각 사용자의 기기는 수신한 토큰의 로컬 데이터베이스를 보관하며, 이는 암호학적 해시를 통해 고유하고 일시적인 식별자와 연결된다.
• 감염자인 사용자는 안전하고 인증된 채널을 통해 자신의 토큰을 공개 레지스트리에 업로드하며, 유효 기간은 14일로 제한되어 데이터의 최신성 확보한다.
• 사용자는 개인 정보 검색(PIR) 또는 개인 집합 교차(PSI)를 사용하여 레지스트리의 내용을 주기적으로 확인하여 자신의 수신 토큰 중 감염자 토큰과 일치하는 것이 있는지 검증한다.
• 재생 공격 방지를 및 토큰의 진위성 확보를 위해 영지식 증명 및 시간 또는 위치 기반 해시 검증과 같은 암호학적 원리를 적용한다.
• 사용자가 전체 레지스트리의 데이터를 다운로드하지 않고도 노출 알림을 받을 수 있도록 하는 비공개 게시-구독 메커니즘이 구현되어 효율성과 프라이버시를 향상시킨다.

실험 결과

연구 질문

• RQ1 중앙 집중식 데이터 저장 없이 개인 정보나 위치 기록을 저장하지 않고도 감염자와의 밀접한 접촉을 탐지할 수 있는 탈중앙화되고 프라이버시를 보장하는 시스템이 가능한가?
• RQ2 스푸핑 및 재생 공격에 저항할 수 있도록 하면서도, 감염자와의 근접 접촉이 있었던 사용자에게 익명적이고 즉각적인 알림을 어떻게 제공할 수 있는가?
• RQ3 PIR 및 PSI와 같은 암호학적 기법을 통해 사용자 신원을 드러내지 않고도 공개 레지스트리의 노출 토큰에 비공개로 접근할 수 있는 정도는 어느 정도인가?
• RQ4 사용자 익명성을 유지하면서도 노출 토큰의 진위성과 최신성을 확보하기 위한 메커니즘은 무엇인가?
• RQ5 중앙 집중식 데이터 수집이 없음에도 불구하고 시스템이 광범위한 자율적 도입을 이끌 수 있는 이유는 무엇인가?

주요 결과

• 제안된 시스템은 블루투스와 최소한의 인프라만으로 개인 정보나 위치 기록을 저장하지 않고도 익명적이고 탈중앙화된 접촉 추적을 가능하게 한다.
• 토큰의 시간 및 위치 기반 해시를 통해 재생 공격를 방지하고, 민감한 데이터를 유지하지 않으면서도 토큰의 최신성을 확보한다.
• 개인 정보 검색(PIR)과 개인 집합 교차(PSI)를 통해 사용자는 자신의 신원이나 보유한 토큰 정보를 레지스트리 서버에 드러내지 않고도 노출 여부를 확인할 수 있다.
• 기타 근접도 탐지 방법에 비해 낮은 가짜 양성률을 기록하여 신뢰성과 사용자 신뢰를 향상시킨다.
• 시스템은 단순하고 확장 가능하며 업그레이드 가능한 구조로 설계되어 있으며, 14일의 데이터 수명 주기를 통해 프라이버시나 기능 향상을 위한 '하드 포크' 업데이트가 가능하다.
• 시스템의 프라이버시 보장 및 중앙 집중식 데이터 수집이 없는 점은 높은 자율적 도입을 이끌 것으로 기대되며, 이는 효과적인 팬데믹 통제에 필수적이다.