[论文解读] Adding Location and Global Context to the Google/Apple Exposure Notification Bluetooth API

Ramesh Raskar, Abhishek Singh+2 more|arXiv (Cornell University)|Jul 1, 2020

Bluetooth and Wireless Communication Technologies参考文献 6被引用 9

一句话总结

本文提出了一种保护用户隐私的方法，将GPS位置和全局上下文信息集成到Google/Apple暴露通知（GAEN）蓝牙API中，使暴露通知能够包含时空上下文，同时不损害用户隐私。该方法引入基于对称加密的BLE有效载荷扩展，仅在发生暴露后，健康设备才能解密模糊化的GPS位置，从而在遵守GAEN隐私设计原则的前提下提升接触追踪的准确性。

ABSTRACT

Contact tracing requires a strong understanding of the context of a user, and location with other sensory data could provide a context for any infection encounter. Although Bluetooth technology gives a good insight into the proximity aspect of an encounter, it does not provide any location context related to it which helps to make better decisions. Using the ideas presented in this paper, one shall be able to obtain this valuable information that could address the problem of false-positive and false-negative to a certain extent. All of this within the purview of Google/Apple Exposure Notification (GAEN) specification, while preserving complete user privacy. There are four ways of propagating context between any two users. Two such methods allow private location logging, without revealing the location history within an app. The other two are encryption-based methods. The first encryption method is a variant of Apple's FindMy protocol, that allows nearby Apple devices to capture the GPS location of a lost Apple device. The second encryption is a minor modification of the existing GAEN protocol so that global context is available to a healthy phone only when it is exposed - this is a better option comparatively. It will still be the role of Public Health smartphone app to decide, on how to use the location-time context, to build a full-fledged contact tracing and public health solution. Lastly, we highlight the benefits and potential privacy issues with each of these context propagation methods proposed here.

研究动机与目标

• 解决当前基于GAEN的接触追踪缺乏位置和时间上下文的问题，从而限制了用户准确评估暴露风险的能力。
• 通过提供包括位置、时间及环境因素在内的暴露上下文，使公共卫生官员和个体能够做出更明智的决策。
• 通过确保位置数据仅在暴露后由附近设备访问，并采用加密与模糊化处理，严格保护用户隐私。
• 提出一种向GAEN协议后向兼容的扩展机制，不改变现有上传机制，也无需修改核心API。
• 通过整合运动状态、方向和多径信息等上下文数据，降低基于蓝牙的暴露检测中的误报和漏报。

提出的方法

• 扩展GAEN BLE有效载荷，包含加密的、量化（模糊化）的GPS位置，与DailyKey和ConsentSecret拼接。
• 使用基于DailyKey || ConsentSecret派生的对称密钥加密模糊化GPS，确保仅邻近设备可解密。
• 应用位置模糊化（例如100米至1公里分辨率），在保留上下文实用性的同时防止精确追踪。
• 引入一种协议，感染者仅上传DailyKey和ConsentSecret，使健康设备在匹配暴露后重建RPI并解密上下文。
• 依赖现有GAEN基础设施，无需额外应用或后台位置日志记录，确保符合隐私规范。
• 仅在本地且安全地进行逆地理编码，避免通过应用直接调用外部API导致数据泄露。

实验结果

研究问题

• RQ1 如何在不违反隐私设计原则的前提下，将位置和全局上下文信息集成到GAEN蓝牙协议中？
• RQ2 哪些技术与密码学机制可确保仅暴露设备能访问上下文信息，同时保护非邻近用户？
• RQ3 模糊化且加密的GPS数据能否提升暴露通知的准确性，并减少基于蓝牙的接触追踪中的误报与漏报？
• RQ4 如何动态管理并更新位置共享的同意，而无需暴露原始位置历史记录？
• RQ5 所提出方案必须防范哪些威胁模型与攻击向量（例如实时攻击、事后处理攻击、分布式多实体攻击）？

主要发现

• 所提方法可在不修改GAEN上传协议的前提下，使暴露通知包含位置与时间上下文，同时保持对隐私标准的合规性。
• 模糊化GPS（量化至100米至1公里）在防止精确追踪的同时，足以提供有意义的上下文信息，降低隐私风险。
• 仅曾与感染者接触的设备才能解密加密的上下文信息，确保非邻近用户无法访问位置数据。
• 该方案通过ConsentSecret支持动态同意更新，允许用户针对每个DailyKey更改其同意偏好，且可每日或更频繁更新。
• 由于强加密和最小化数据暴露，该方法对实时攻击、事后处理攻击及分布式多方攻击均具有抗性。
• 该方法避免依赖第三方应用或持久化位置日志记录，降低了采用门槛并提升了隐私保护水平。