[논문 리뷰] WeTrace -- A Privacy-preserving Mobile COVID-19 Tracing Approach and Application

A. De Carli, Muriel Figueredo Franco외 6명|arXiv (Cornell University)|2020. 04. 19.

Bluetooth and Wireless Communication Technologies참고 문헌 9인용 수 29

한 줄 요약

WeTrace는 블루투스 저전력(BLE)과 비대칭 암호화를 사용하여 개인 정보를 보호하는 모바일 노출 추적 시스템을 제안한다. 이는 안전하고 탈중앙화된 노출 기록을 가능하게 하며, 수신자가 메시지가 자신을 대상으로 한 것임을 확인할 수 있지만 발신자의 신원을 드러내지 않도록 한다. 이로 인해 탈식별화 공격과 브루트 포스 공격에 저항할 수 있으며, 사용자 개인정보를 보호하면서도 팬데믹 대응을 지원하는 완전히 분산형이고 오픈소스인 솔루션을 제공한다.

ABSTRACT

For the protection of people and society against harm and health threats -- especially for the COVID-19 pandemic -- a variety of different disciplines needs to be involved. The data collection of very basic and health-related data of individuals in today's highly mobile society does help to plan, protect, and identify next steps health authorities and governments can, shall, or need to plan for or even implement. Thus, every individual, every human, and every inhabitant of the world is the key player -- very different to many past crises'. And since the individual is involved -- all individuals -- his/her (a) health and (b) privacy shall be considered in a very carefully crafted balance, not overruling one aspect with another one or even prioritizing certain aspects. Privacy remains the key. Thus, the solution of the current pandemic's data collection can be based on a fully privacy-preserving application, which can be used by individuals on their mobile devices, such as smartphones, while maintaining at the same time their privacy. Additionally, respective data collected in such a fully distributed setting does help to confine the pandemic and can be achieved in a democratic and very open, but still and especially privacy-protecting world. Therefore, the WeTrace approach and application as described in this paper utilizes the Bluetooth Low Energy (BTE) communication channel, many modern mobile devices offer, where asymmetric cryptography is being applied to allows for the decyphering of a message for that destination it had been intended for. Since literally every other potential participant only listens to random data, even a brute force attack will not succeed. WeTrace and its Open Source implementation is the only known approach so far, which ensures that any receiver of a message knows that this is for him/her, but does not know who the original sender was.

연구 동기 및 목표

• 코로나19 팬데믹 기간 동안 개인 정보를 보호하면서도 공중보건 효과성에 손상이 가지 않는 노출 추적 솔루션을 개발하는 것.
• 모바일 탈중앙화 시스템에서 개인 건강 데이터 수집과 철저한 개인정보 보호 간의 균형을 맞추는 데 있어 핵심 과제를 해결하는 것.
• 공격자가 존재하더라도 수신자가 메시지의 진위를 확인할 수 있지만 발신자의 신원을 드러내지 않는 시스템을 설계하는 것.
• 중앙 집중식 데이터 저장소에 의존하지 않고 표준 모바일 기기에서 작동하는 완전히 분산형 오픈소스 애플리케이션을 구축하는 것.
• 암호 기법을 활용하여 탈식별화 공격, 특히 브루트 포스 공격에 저항할 수 있도록 보장하는 것.

제안 방법

• 근접성 탐지 목적을 위해 주로 블루투스 저전력(BLE)을 통신 채널로 사용한다.
• 비대칭 암호화를 적용하여 메시지를 암호화함으로써 오직 목적지 수신자만이 복호화할 수 있도록 하여 메시지 기밀성을 확보한다.
• 프로토콜을 설계하여 각 메시지 수신자가 자신을 대상으로 한 메시임을 확인할 수 있지만 발신자의 신원을 파악할 수 없도록 한다.
• 공격자가 메시지를 가로채더라도 암호화된 발신자 신원을 은폐함으로써 메시지와 발신자를 연결할 수 없도록 보장한다.
• 중앙 서버가 사용자 데이터나 로그를 저장하지 않는 완전히 분산형 아키텍처를 구현하여 데이터 국지성과 공격 표면을 최소화한다.
• 오픈소스 구현을 통해 시스템 설계 및 실행에 대한 투명성과 감사 가능성을 확보하고, 공동체 기반 신뢰를 구축한다.

실험 결과

연구 질문

• RQ1 중앙 집중식 데이터 수집에 의존하지 않고 탈중앙화되고 개인정보 보호가 보장된 방식으로 노출 추적을 어떻게 구현할 수 있는가?
• RQ2 어떤 암호 기법이 오직 목적지 수신자만이 메시지를 복호화할 수 있도록 하면서도 발신자 신원을 익명화할 수 있도록 보장할 수 있는가?
• RQ3 수신자가 메시지의 진위를 확인할 수는 있지만, 수동적인 도청이나 브루트 포스 공격 조건에서도 발신자 신원이 추적 불가능하도록 설계된 시스템을 만들 수 있는가?
• RQ4 어떻게 블루투스 저전력(BLE)을 효과적으로 근접성 탐지에 활용하면서도 강력한 개인정보 보호 보장을 확보할 수 있는가?
• RQ5 완전히 분산형이고 오픈소스인 모바일 애플리케이션은 공중보건 활용성과 강력한 사용자 개인정보 보호를 어느 정도까지 동시에 달성할 수 있는가?

주요 결과

• WeTrace는 수신자 신원은 검증 가능하지만 발신자 신원은 완전히 익명인 노출 추적 시스템을 성공적으로 구현하였다.
• BLE와 비대칭 암호화의 조합을 통해 가로채진 메시라도 원래 발신자와 연결지을 수 없도록 보장한다.
• 메시지가 특정 수신자를 위해 암호화되어 있어 타인은 복호화할 수 없고, 이로 인해 브루트 포스 공격에 저항할 수 있다.
• 아키텍처가 완전히 탈중앙화되어 있어 사용자 데이터의 저장 또는 처리를 위한 중앙 기관이 필요로 하지 않는다.
• 오픈소스 구현 덕분에 투명성과 감사 가능성이 확보되어 시스템의 개인정보 보호 보장을 신뢰할 수 있게 되었다.
• WeTrace는 현재까지 알려진 유일한 접근법으로, 수신자조차도 메시지의 발신자를 추적할 수 없도록 보장함으로써 노출 추적에서 종단 간 개인정보 보호를 달성한다.