[논문 리뷰] Privately Connecting Mobility to Infectious Diseases via Applied Cryptography

Alexandros Bampoulidis, A. Bruni외 4명|arXiv (Cornell University)|2020. 05. 05.

Opportunistic and Delay-Tolerant Networks인용 수 4

한 줄 요약

이 논문은 감염자로부터의 모바일 폰 위치 데이터를 안전하고 비공식적으로 집계하여 전염병 모델링을 향상시키되, 개인의 신원이나 감염 상태를 폭 lộ하지 않는 프라이버시 보장 프로토콜을 제안한다. 히든 메모리 암호화, 제로 지식 기반 마스킹, 차등 프라이버시를 조합하여 유일하게 차등 프라이버시가 보장된 열화상도만 공개되도록 보장하며, 통계 보안 수준은 59비트에 도달하고 800만 명의 사용자 데이터를 70분 내로 처리한다.

ABSTRACT

Recent work has shown that cell phone mobility data has the unique potential to create accurate models for human mobility and consequently the spread of infected diseases. While prior studies have exclusively relied on a mobile network operator's subscribers' aggregated data in modelling disease dynamics, it may be preferable to contemplate aggregated mobility data of infected individuals only. Clearly, naively linking mobile phone data with health records would violate privacy by either allowing to track mobility patterns of infected individuals, leak information on who is infected, or both. This work aims to develop a solution that reports the aggregated mobile phone location data of infected individuals while still maintaining compliance with privacy expectations. To achieve privacy, we use homomorphic encryption, validation techniques derived from zero-knowledge proofs, and differential privacy. Our protocol's open-source implementation can process eight million subscribers in 70 minutes.

연구 동기 및 목표

• 감염자들로부터의 이동 데이터 집계를 통해 전염병 확산 모델링의 정확도를 높이고, 유병률이 낮은 상황에서의 예측 성능을 향상시키기 위해.
• 집계 과정에서 개인의 위치 데이터나 감염 상태가 泄露되지 않도록 방지하기 위해.
• 보건 당국이나 모바일 네트워크 운영자도 최종 차등 프라이버시가 보장된 열화상도를 초과하여 정보를 알 수 없도록 보장하기 위해.
• 사기 행위를 통해 비공개 데이터를 유추하려는 악성 당사자에 대비한 통계 보안을 유지하기 위해.
• 실제 공중 보건 감시에 적용 가능한 실용적이고 오픈소스 구현을 제공하기 위해.

제안 방법

• 감염자들의 암호화된 식별자를 사용하여 보건 당국이 히든 메모리 암호화를 통해 모바일 네트워크 운영자(MNO)의 위치 데이터에 대한 선형 조합을 안전하게 계산할 수 있도록 한다.
• 사기 행위에 대비한 59비트 통계 보안을 확보하기 위해 무작위 선형 조합 기반의 이중 마스킹 기법을 적용한다.
• 출력에 최종 무작위 마스킹 벡터를 적용하여, 일부 개별 출력 값이 사전에 알려져 있을 경우의 泄露를 방지한다.
• 최종 열화상도에 라플라스 노이즈를 추가하여 차등 프라이버시를 통합함으로써, 어떤 한 명의 감염자 존재 여부도 통계적으로 구분할 수 없도록 보장한다.
• 보건 당국이 환자 식별자, MNO가 위치 데이터를 입력하는 양자리 안전 계산 프로토콜을 통합하여, 양 당사자가 상대방의 입력을 알 수 없도록 한다.
• 성능과 보안의 균형을 위해 60비트 모듈러스를 사용하는 유한체 위에서의 안전 평가 프로토콜을 사용하며, 국가 수준의 실용적 사용에 최적화된 파라미터를 설정한다.

실험 결과

연구 질문

• RQ1 개인의 위치나 감염 상태를 폭 lộ하지 않고 감염자들의 집계된 이동 데이터 열화상도를 안전하게 계산할 수 있는가?
• RQ2 악성 당사자가 입력 조작이나 출력 분석을 통해 비공개 데이터를 유추할 수 있는가를 방지하는 방법은 무엇인가?
• RQ3 실용적인 열화상도의 유용성을 유지하면서도 통계적 및 차등 프라이버시 수준을 어느 정도 확보할 수 있는가?
• RQ4 대규모 데이터셋(예: 800만 명)을 합리적인 시간 내에 효율적으로 처리할 수 있는가?
• RQ5 유병률이 낮은 전염병 상황에서, 정확도를 유지하면서도 프라이버시 보장을 균형 있게 확보할 수 있는가?

주요 결과

• 안전한 계산을 통해 감염자들의 이동 데이터 집계 열화상도를 차등 프라이버시가 보장된 방식으로 성공적으로 계산하였으며, 어느 당사자도 최종 출력 이외의 정보를 알 수 없도록 보장하였다.
• 이중 마스킹 기법을 통해 통계 보안 수준을 59비트로 높여 사기 행위 성공 확률을 크게 감소시켰다.
• 오픈소스 구현체는 800만 명의 사용자를 70분 내로 처리하여 실생활 적용 가능성의 실현 가능성을 입증하였다.
• 차등 프라이버시 통합으로 인해, 공격자가 보조 지식을 갖고 있더라도 개인의 위치 정보를 재식별할 수 없음을 보장하였다.
• 특히 유병률이 낮은 상황에서 인구 전체 이동 데이터의 정확도가 떨어질 수 있는 상황에서, 열화상도의 유용성이 높게 유지됨을 확인하였다.
• 보안 분석을 통해 보건 당국이나 MNO가 정직하지만 호기심 많은 경우 또는 악성 행동을 하는 경우에도 모두 시스템이 저항력이 있음을 입증하였다.