[論文レビュー] CoVista: A Unified View on Privacy Sensitive Mobile Contact Tracing Effort

David Culler, Prabal Dutta+7 more|arXiv (Cornell University)|May 27, 2020

COVID-19 Digital Contact Tracing参考文献 3被引用数 6

ひとこと要約

CoVistaは、プライバシー保護を重視する2つのイノベーションを提案する—「Lighthouses」はApple-Googleの暴露通知（AGEN）プロトコルにおいて、公共の場所をプライバシー保護されたエンティティとして扱うものであり、『Covid-Commons』は、アプリや管轄区域を越えて匿名の暴露鍵を連携可能にする分散型の共有メカニズムである。これにより、公衆衛生当局は、個人のプライバシーを損なわず、AppleとGoogleの分散型フレームワークに反しない形で、感染拡大の热点を特定し、手動による接触者追跡を支援できる。

ABSTRACT

Governments around the world have become increasingly frustrated with tech giants dictating public health policy. The software created by Apple and Google enables individuals to track their own potential exposure through collated exposure notifications. However, the same software prohibits location tracking, denying key information needed by public health officials for robust contract tracing. This information is needed to treat and isolate COVID-19 positive people, identify transmission hotspots, and protect against continued spread of infection. In this article, we present two simple ideas: the lighthouse and the covid-commons that address the needs of public health authorities while preserving the privacy-sensitive goals of the Apple and google exposure notification protocols.

研究の動機と目的

• AppleとGoogleの分散型でプライバシー最優先の接触追跡モデルと、COVID-19の対策のために空間的・時間的暴露データを必要とする公衆衛生当局との間の矛盾を解消すること。
• 個人のプライバシーを損なわず、中央集権的なデータ収集に依存せずに、公衆衛生当局が感染拡大の热点を特定し、手動による接触者追跡を支援できること。
• 信頼できる組織がAGENフレームワーク内でアプリを展開・管理できるようにすることで、接触追跡における地方的・コミュニティレベルの権限を回復すること。
• 共通のプライバシー保護型データ交換バックエンドを通じて、国境や地域を越えた接触追跡システムの相互運用性を実現すること。
• 店舗やバスなどの公共の場所が、個人と同様のプライバシー保護プロトコルを使用して、暴露リスクを匿名で報告できること。

提案手法

• 公共の場所にモバイル端末や低コストのビーコンを設置し、Bluetoothを用いて近接を検知し、暴露リスクを計算した上で、AGENプロトコルを介してそのリスクを匿名で共有することで、公共の場所を「人」と同様に扱う。
• 『Covid-Commons』—アプリや管轄区域を越えて匿名の診断鍵（TEKs）を集約・ルーティングする分散型でプライバシー保護型のバックエンドを実装し、国境を越えた暴露検出を可能にする。
• オプトインによる匿名鍵共有を採用：個人が陽性と判明した場合、公衆衛生専門家が本人の匿名暴露鍵をCommonsにアップロードすることを承認し、患者の身元を保護する。
• メタデータタグを用いて公衆衛生当局（PHAs）間での鍵転送を可能にし、診断鍵を関連する地域のCommonsインスタンスに事前にルーティングできるようにする。
• 個人が複数のCommonsインスタンスからの診断鍵のダウンロードを購読可能にすることで、訪問した地域や訪問予定の地域における暴露検出範囲を拡大できる。
• 診断ステージ（例：疑わしい、おそらく、確定）の複数段階をサポートするため、メタデータで鍵を区別し、リスクスコアリングに重みを付けるが、プライバシーを維持する。

実験結果

リサーチクエスチョン

• RQ1 Apple-Googleの暴露通知（AGEN）プロトコルのプライバシー保護原則に反することなく、公衆衛生当局が感染拡大の状況を可視化するにはどうすればよいか？
• RQ2 公共の場所をAGENフレームワークに統合する方法は何か？ これにより、ユーザーのプライバシーを損なわず、空間的暴露追跡が可能になるか？
• RQ3 中央集権的な機密データの集積を避けながら、匿名の暴露鍵を国境や地域を越えて分散型で共有可能な、相互運用性のあるシステムを構築するにはどうすればよいか？
• RQ4 個人および公衆衛生当局が、異なるアプリや行政境界を越えて、安全かつプライベートに暴露情報を共有するためのメカニズムは何か？
• RQ5 疑わしい症例やおそらくの症例といった初期段階の診断をサポートするには、どのようにすればプライバシーと計算の実行可能性を両立できるか？

主な発見

• Lighthousesにより、公共の場所が個人と同様のプライバシー保護プロトコルを使用して暴露リスクを匿名で報告できるため、利用者のプライバシーを損なわず、公衆衛生当局が感染拡大の热点を特定できる。
• Covid-Commonsにより、アプリや管轄区域を越えて匿名の診断鍵を共有可能となり、移動した人々が異なる地域で診断された場合でも、暴露を通知できる。
• システムは、公衆衛生専門家が信頼できる仲介者として機能するオプトイン型の匿名鍵共有を採用しており、データの整合性を保ちながらも、患者の身元や医療情報を暴露しない。
• Commonsは、フェデレーテッドメッシュまたは集中型サーバーとして実装可能であり、鍵のダウンロードをフィルタリング・スコープ制限することで帯域幅と計算負荷を削減するメカニズムを備える。
• メタデータによる鍵の区別により、診断ステージ（疑わしい、おそらく、確定）の複数段階をサポートし、プライバシーを維持したまま重み付きリスクスコアリングが可能になる。
• データストレージとアプリの展開を分離することで、地域組織（例：先住民集落、大学）が信頼できるアプリを管理できるようになり、接触追跡におけるコミュニティレベルのコントロールを回復できる。