[논문 리뷰] Tracking and Controlling the Spread of a Virus in a Privacy-Preserving Way

Didem Demirağ, Erman Ayday|arXiv (Cornell University)|2020. 03. 29.

Privacy-Preserving Technologies in Data참고 문헌 11인용 수 7

한 줄 요약

이 논문은 스마트폰에 저장된 신체적 접촉 이력과 진단 환자의 신원을 담은 중앙집중식 데이터베이스 간에 안전한 비공개 집합 교차(PSI)를 사용하여 개인정보 보호를 위한 접촉 추적 시스템을 제안한다. 이 방법은 건강한 사람과 감염자 모두의 위치 개인정보를 보호하며, 환자의 신원을 다른 이들에게 노출하지 않도록 보장하고, 민감한 데이터를 보건 당국에 노출시키지 않은 채 위험 경고 메시지를 수신할 수 있는 자격이 있는 사람만 경고를 받을 수 있도록 한다.

ABSTRACT

Today, tracking and controlling the spread of a virus is a crucial need for almost all countries. Doing this early would save millions of lives and help countries keep a stable economy. The easiest way to control the spread of a virus is to immediately inform the individuals who recently had close contact with the diagnosed patients. However, to achieve this, a centralized authority (e.g., a health authority) needs detailed location information from both healthy individuals and diagnosed patients. Thus, such an approach, although beneficial to control the spread of a virus, results in serious privacy concerns, and hence privacy-preserving solutions are required to solve this problem. Previous works on this topic either (i) compromise privacy (especially privacy of diagnosed patients) to have better efficiency or (ii) provide unscalable solutions. In this work, we propose a technique based on private set intersection between physical contact histories of individuals (that are recorded using smart phones) and a centralized database (run by a health authority) that keeps the identities of the positive diagnosed patients for the disease. Proposed solution protects the location privacy of both healthy individuals and diagnosed patients and it guarantees that the identities of the diagnosed patients remain hidden from other individuals. Notably, proposed scheme allows individuals to receive warning messages indicating their previous contacts with a positive diagnosed patient. Such warning messages will help them realize the risk and isolate themselves from other people. We make sure that the warning messages are only observed by the corresponding individuals and not by the health authority. We also implement the proposed scheme and show its efficiency and scalability via simulations.

연구 동기 및 목표

• 시기적절한 접촉 추적을 통해 바이러스 확산 조기 통제의 필수적인 필요성을 해결한다.
• 중앙집중식 접촉 추적 시스템에서 효과적인 유행병 통제와 개인정보 침해 사이의 갈등을 해결한다.
• 다른 개인들과 대중으로부터 진단 환자의 신원을 노출하지 않도록 보호한다.
• 위험에 노출된 개인에게만 타겟 경고를 제공하고, 그들의 신원이나 연락처 정보를 드러내지 않도록 보장한다.
• 성능 병목 현상이나 이전 접근 방식의 개인정보 유출 문제를 피하는 확장 가능하고 효율적인 솔루션을 설계한다.

제안 방법

• 스마트폰에 저장된 접촉 이력와 진단 환자의 식별자 목록을 담은 중앙집중식 데이터베이스 간에 안전한 비공개 집합 교차(PSI) 프로토콜을 활용하여 비교한다.
• 암호 기법을 사용하여 사용자 스마트폰에 물리적 접촉 로그를 로컬로 저장함으로써 위치 개인정보를 유지한다.
• 보건 당국은 사용자의 접촉 이력와 진단 환자 목록 간에 일치 여부만을 알게 되며, 일치하는 사용자의 신원은 알 수 없다.
• 진단 환자의 신원과 일치하는 접촉 이력이 있는 사람에게만 경고 메시지를 발송하고, 이 메시지는 수신자 외에는 볼 수 없도록 한다.
• 암호 기반 원리를 사용하여 보건 당국이 경고 메시지의 내용을 관찰하거나 특정 사용자와 연결 짓는 것을 방지한다.
• 시뮬레이션을 통해 시스템을 구현하고 평가하여 대규모 인구에서의 효율성과 수평적 확장성을 입증한다.

실험 결과

연구 질문

• RQ1 접촉 추적 시스템은 건강한 사람과 진단 환자 모두의 개인정보를 보호하면서도 효과적인 유행병 경고를 가능하게 할 수 있는가?
• RQ2 다양한 개인들과 보건 당국으로부터 진단 환자의 신원을 확장 가능하고 효율적인 방식으로 숨길 수 있는가?
• RQ3 비공개 집합 교차(PSI)를 얼마나 잘 활용하여 민감한 데이터를 드러내지 않고도 접촉 이력을 안전하게 매칭시킬 수 있는가?
• RQ4 시스템은 위험한 접촉이 있었던 사람에게만 경고를 보내며, 경고 내용이 보건 당국에 노출되지 않도록 보장할 수 있는가?
• RQ5 실제 시뮬레이션 조건 하에서 제안된 솔루션의 성능과 확장성은 어느 정도인가?

주요 결과

• 제안된 방식은 접촉 추적 과정에서 건강한 사람과 진단 환자 모두의 위치 개인정보를 성공적으로 보호한다.
• 진단 환자의 신원은 보건 당국 외에는 누구에게도 노출되지 않으며, 보건 당국 역시 접촉한 사람들의 신원을 알 수 없다.
• 경고 메시지는 진단 환자와 밀접한 접촉이 있었던 사람에게만 전달되며, 수신자 외에는 볼 수 없다.
• 보건 당국은 경고 메시지의 내용을 관찰하거나 특정 사용자와 연결 짓는 것을 불가능하게 하여 종단 간 개인정보 보호를 보장한다.
• 시뮬레이션 결과에 따르면 시스템은 높은 효율성과 수평적 확장성을 입증하여 대규모 배포에 적합하다.
• 중앙집중식 시스템의 개인정보 유출 문제를 피하고 이전의 개인정보 보호 접근 방식의 확장성 한계를 극복한다.