[论文解读] Anonymous Collocation Discovery:Taming the Coronavirus While Preserving Privacy

Ran Canetti, Ari Trachtenberg+1 more|arXiv (Cornell University)|Mar 31, 2020

Privacy-Preserving Technologies in Data被引用 10

一句话总结

本文提出了一种基于蓝牙的匿名聚集检测系统，可在不收集或存储个人数据或位置历史记录的情况下，识别感染者密切接触者。通过利用短距离通信并保护用户匿名性，该系统能够实现及时、隐私保护的暴露警报，且误报率较低，适用于大范围自愿参与的疫情应对。

ABSTRACT

Successful containment of the Coronavirus pandemic rests on the ability to quickly and reliably identify those who have been in close proximity to a contagious individual. Existing tools for doing so rely on the collection of exact location information of individuals over lengthy time periods, and combining this information with other personal information. This unprecedented encroachment on individual privacy at national scales has created an outcry and risks rejection of these tools. We propose an alternative: an extremely simple scheme for providing fine-grained and timely alerts to users who have been in the close vicinity of an infected individual. Crucially, this is done while preserving the anonymity of all individuals, and without collecting or storing any personal information or location history. Our approach is based on using short-range communication mechanisms, like Bluetooth, that are available in all modern cell phones. It can be deployed with very little infrastructure, and incurs a relatively low false-positive rate compared to other collocation methods. We also describe a number of extensions and tradeoffs. We believe that the privacy guarantees provided by the scheme will encourage quick and broad voluntary adoption. When combined with sufficient testing capacity and existing best practices from healthcare professionals, we hope that this may significantly reduce the infection rate.

研究动机与目标

• 解决集中式接触追踪系统因收集和存储个人位置数据而引发的日益严重的隐私侵犯问题。
• 开发一种去中心化、匿名的检测方法，用于识别感染者密切接触者，且不依赖GPS或长期位置追踪。
• 在确保不收集或存储任何个人信息或位置历史记录的前提下，实现及时且准确的暴露警报。
• 通过轻量级、基础设施最少的方法，提供强有力的隐私保障，促进广泛自愿参与。

提出的方法

• 利用所有现代智能手机均具备的短距离无线通信（如蓝牙）检测设备之间的接近性。
• 实施去中心化协议，设备定期交换匿名标识符以记录潜在的聚集事件。
• 仅在设备上本地存储临时、随机化的标识符，不建立用户位置或身份的中央数据库。
• 仅当用户检测为阳性时，才允许其将匿名标识符上传至中央服务器，使他人可检查是否暴露，而不会泄露身份。
• 使用密码学技术将标识符绑定至时间窗口，确保其无法与真实用户或位置关联。
• 通过应用信号强度和持续时间阈值，最大限度减少误报，以区分有意义的近距离接触与偶然接近。

实验结果

研究问题

• RQ1 是否能够设计一种接触追踪系统，在不损害用户隐私的前提下检测感染者的密切接触者？
• RQ2 仅使用短距离无线通信且无集中式数据存储，是否可行实现及时且准确的暴露警报？
• RQ3 如何在保障有效公共卫生干预的同时，维持用户匿名性？
• RQ4 在去中心化接触追踪中，隐私、准确性和系统部署复杂性之间存在何种权衡？
• RQ5 由于具备强有力的隐私保障，此类系统是否能够实现广泛的自愿参与？

主要发现

• 所提出的系统可在不收集或存储任何个人信息或位置历史记录的情况下，实现细粒度且及时的暴露警报。
• 通过依赖基于蓝牙的接近检测，与其它聚集检测方法相比，该系统实现了相对较低的误报率。
• 该方案可实现最小化基础设施部署，具有良好的可扩展性，适合快速进行国家或全球范围的推广。
• 强有力的隐私保障——确保无数据收集且无法关联至身份——可能显著提升公众信任度和自愿参与率。
• 在结合充分检测和公共卫生措施的前提下，该系统有潜力显著降低疫情暴发期间的感染率。