[논문 리뷰] Target Privacy Threat Modeling for COVID-19 Exposure Notification Systems

Ananya Gangavarapu, Ellie Daw외 5명|arXiv (Cornell University)|2020. 09. 25.

Privacy-Preserving Technologies in Data참고 문헌 5인용 수 5

한 줄 요약

이 논문은 코로나19 노출 알림 시스템(ENS)을 위한 표적화된 프라이버시 위협 모델링(TPTM) 프레임워크를 제안한다. 기존 소프트웨어 중심 모델에서 벗어나 하드웨어, 인간 행동, 규정 준수 및 시스템 아키텍처를 통합하여 프라이버시 위협을 다룬다. 프레임워크는 공격자 역량을 식별하고, 특정 식별자에 위협을 매핑하며, 실행 가능한 완화 전략을 제공함으로써 ENS 구현을 위한 종합적이고 일관되며 프라이버시 중심의 위협 모델을 구현한다.

ABSTRACT

The adoption of digital contact tracing (DCT) technology during the COVID-19pandemic has shown multiple benefits, including helping to slow the spread of infectious disease and to improve the dissemination of accurate information. However, to support both ethical technology deployment and user adoption, privacy must be at the forefront. With the loss of privacy being a critical threat, thorough threat modeling will help us to strategize and protect privacy as digital contact tracing technologies advance. Various threat modeling frameworks exist today, such as LINDDUN, STRIDE, PASTA, and NIST, which focus on software system privacy, system security, application security, and data-centric risk, respectively. When applied to the exposure notification system (ENS) context, these models provide a thorough view of the software side but fall short in addressing the integrated nature of hardware, humans, regulations, and software involved in such systems. Our approach addresses ENSsas a whole and provides a model that addresses the privacy complexities of a multi-faceted solution. We define privacy principles, privacy threats, attacker capabilities, and a comprehensive threat model. Finally, we outline threat mitigation strategies that address the various threats defined in our model

연구 동기 및 목표

• 기존의 STRIDE, LINDDUN, PASTA, NIST 등의 위협 모델링 프레임워크가 노출 알림 시스템(ENS)의 전반적인 프라이버시 위협 범위를 포괄하지 못하는 한계를 해결하기 위해.
• 소프트웨어, 하드웨어, 인간 행동, 규정 준수의 통합적 특성을 반영한 통합형 공격자 중심의 프라이버시 위협 모델링 프레임워크를 개발하기 위해.
• 목표 상태 기반 접근 방식을 통해 위협 모델링 결과의 일관성, 완전성 및 최소한의 중복을 확보하고, 잘못된 경고와 간과된 위협을 최소화하기 위해.
• 공격자 역량 기반으로 프라이버시 위협을 정의하고, 이를 특정 프라이버시 식별자와 공격 벡터에 매핑하여 종합적인 프라이버시 위협 목록을 구성하기 위해.
• 각 위협에 대해 실행 가능한 표준화된 완화 전략을 제시하여 프라이버시 원칙 및 GDPR, ePrivacy 지침과 같은 규정 준수 기준과 일치시키기 위해.

제안 방법

• TPTM 프레임워크는 목표 상태 모델을 중심으로 구성되어 있으며, 원하는 프라이버시 보장 시스템 상태를 정의함으로써 위협 모델링의 일관성과 완전성을 확보한다.
• 공격자 중심 접근 방식을 사용하여 기술적 취약성 외에도 공격자 역량(예: 강요, 데이터 유추, 장치 해킹 등)에 기반해 위협을 분류한다.
• 프라이버시 위협을 특정 프라이버시 식별자(예: 위치, 장치 ID, 노출 기록)에 매핑하고, 정보 흐름도(IFD)와 데이터 흐름도(DFD)를 사용해 각 위협에 대한 공격 시나리오를 정의한다.
• 표준 용어어를 도입하고 위협 카테고리와 역량 간의 복잡한 다대다 관계를 단순화하여 명확성과 사용성을 향상시킨다.
• 각 위협에 대해 완화 전략을 매핑하며, 기술적 조치(예: 엔드 투 엔드 암호화, 차등 프라이버시, 보안 에이전드), 정책적 조치(예: 데이터 최소화, 사용자 동의), 아키텍처 패턴(예: 참조 아키텍처, 직무 분리)을 포함한다.
• 프레임워크는 ENS의 구체적인 표적 프라이버시 위협 모델을 수립하기 위해 적용되었으며, 사례 관리 및 근접성 추적 기능을 모두 포함하는 세부적인 위협-완화 매핑을 제공한다.

실험 결과

연구 질문

• RQ1 소프트웨어, 하드웨어, 인간 행동, 규정 준수를 통합하는 노출 알림 시스템(ENS)의 고유한 프라이버시 과제를 해결하기 위해 기존의 위협 모델링 프레임워크는 어떻게 개선될 수 있는가?
• RQ2 기존 소프트웨어 보안을 초월한 주요 프라이버시 위협은 무엇인가? 예를 들어 강요, 데이터 재식별, 규정 준수 미비 등.
• RQ3 거짓 긍정과 간과된 위협을 최소화하면서도 일관성 있고 반복 가능하며 종합적인 ENS 위협 모델링 프로세스를 어떻게 확립할 수 있는가?
• RQ4 ENS에서 가장 위험에 노출된 특정 프라이버시 식별자는 무엇이며, 공격자 역량은 어떻게系통적으로 분류하고 이러한 식별자에 매핑할 수 있는가?
• RQ5 ENS의 전반적인 프라이버시 위협 스펙트럼을 해결하기 위해 가장 효과적인 기술적, 조직적, 정책 기반의 완화 전략은 무엇인가?

주요 결과

• TPTM 프레임워크는 기존의 소프트웨어 중심 모델에서 놓치는 프라이버시 위협, 예를 들어 강요 공격 및 규정 준수 위험을 성공적으로 식별하고 분류한다.
• 명확히 정의된 목표 상태와 표준 용어어에 기반함으로써, 분석 수행자가 누구이든 일관된 위협 모델링 결과를 도출할 수 있다.
• Bluetooth 식별자를 통한 데이터 연결, 장치 지문 추적, 서버 해킹을 통한 비승인 데이터 접근과 같은 특정 위협은 차등 프라이버시 및 보안 에이전드와 같은 기술적 조치를 통해 공식적으로 매핑되고 완화된다.
• 엔드 투 엔드 암호화, 재생 방지용 HMAC, 검증 기능과 알림 기능의 분리 등 완화 전략은 공격 표면과 데이터 노출을 크게 줄인다.
• 데이터 최소화, 사용자 통제, 투명성 등의 원칙을 위협 모델링 과정에 통합함으로써, GDPR 및 ePrivacy 지침과 같은 주요 프라이버시 규정 준수를 지원한다.
• TPTM 프레임워크의 ENS 적용은 윤리적인 배포와 사용자 신뢰를 지원하는 종합적이고 실행 가능하며 감사 가능한 프라이버시 위협 모델을 도출한다.