[논문 리뷰] Contact Tracing Mobile Apps for COVID-19: Privacy Considerations and Related Trade-offs

Hyunghoon Cho, Daphne Ippolito외 1명|Deep Blue (University of Michigan)|2020. 03. 25.

COVID-19 Digital Contact Tracing참고 문헌 27인용 수 379

한 줄 요약

본 논문은 COVID-19 접촉 추적 앱(특히 TraceTogether)의 프라이버시 영향과 세미-정직한(semi-honest) 모델 하에서 프라이버시 강화 증강 및 채택 전략을 제안한다.

ABSTRACT

Contact tracing is an essential tool for public health officials and local communities to fight the spread of novel diseases, such as for the COVID-19 pandemic. The Singaporean government just released a mobile phone app, TraceTogether, that is designed to assist health officials in tracking down exposures after an infected individual is identified. However, there are important privacy implications of the existence of such tracking apps. Here, we analyze some of those implications and discuss ways of ameliorating the privacy concerns without decreasing usefulness to public health. We hope in writing this document to ensure that privacy is a central feature of conversations surrounding mobile contact tracing apps and to encourage community efforts to develop alternative effective solutions with stronger privacy protection for the users. Importantly, though we discuss potential modifications, this document is not meant as a formal research paper, but instead is a response to some of the privacy characteristics of direct contact tracing apps like TraceTogether and an early-stage Request for Comments to the community. Date written: 2020-03-24 Minor correction: 2020-03-30

연구 동기 및 목표

• COVID-19 기간 동안 접촉 추적 앱에서 프라이버시를 핵심 기능으로 고무시키는 것을 목표로 한다.
• 실제 TraceTogether 설계와 그것의 프라이버시 함의를 분석한다.
• 프라이버시 강화 증강 및 시스템 아키텍처를 제안한다.
• 프라이버시를 보존하면서 신속하고 광범위한 채택을 유도하는 전략을 논의한다.

제안 방법

• 기존의 접촉 추적 접근 방식과 그 프라이버시 속성을 검토한다.
• 스누퍼로부터의 프라이버시, 접촉자으로부터의 프라이버시, 당국으로부터의 프라이버시의 세 가지 개념을 정의한다.
• 세미-정직한 모델 하에서 TraceTogether와 대안 아키텍처를 평가한다.
• 폴링(polling), mixing 서버, 공개 토큰 데이터베이스, 프라이빗 메시징을 포함한 프라이버시 강화 증강을 제안한다.
• 당국으로부터의 더 강한 프라이버시를 위한 암호학적 접근 방식(프라이빗 메시징 및 믹스 네트워크)을 개요 한다.

실험 결과

연구 질문

• RQ1 다양한 접촉 추적 설계가 스누퍼, 접촉자, 당국으로부터의 프라이버시를 어떻게 보호하거나 노출하는가?
• RQ2 공중 보건의 유용성을 유지하면서 사용자의 프라이버시를 향상시킬 수 있는 프라이버시 보존 증강은 무엇인가?
• RQ3 다양한 관할 구역에서 프라이버시 보장과 실제 배포의 균형을 가장 잘 맞추는 채택 전략은 무엇인가?

주요 결과

• TraceTogether는 접촉자로부터의 프라이버시는 보호하지만 당국과 스누퍼로부터의 프라이버시는 제한적으로만 보호한다.
• 폴링 기반 접근은 당국으로부터의 프라이버시를 부분적으로 개선할 수 있지만 연결(linkage)을 통한 위험이 여전히 누출된다; mixing 서버는 연결 공격에 대한 프라이버시를 강화한다.
• 공개 데이터베이스 및 스팸/노이즈 접근은 프라이버시와 효율성 또는 진단된 개인의 프라이버시 간의 트레이드오프를 가진다.
• 프라이빗 메시징 시스템과 믹스 네트워크는 당국으로부터의 입증 가능한 프라이버시를 제공할 수 있지만 더 높은 계산 및 아키텍처 비용이 따른다.
• 명확한 프라이버시 보장, 오픈 소스 감사, 문화적으로 적합한 배포 전략이 채택을 돕는다.