[论文解读] A Critique of the Google Apple Exposure Notification (GAEN) Framework

Jaap-Henk Hoepman|arXiv (Cornell University)|Dec 9, 2020

COVID-19 Digital Contact Tracing被引用 6

一句话总结

本文批判了谷歌苹果暴露通知（GAEN）框架，认为通过在操作系统层面嵌入接触追踪，该框架虽旨在保护隐私，却实际上为长期潜伏的集体监控能力铺平了道路，削弱了各国卫生部门对系统实施的控制权，并增加了功能蔓延和商业滥用的风险。

ABSTRACT

As a response to the COVID-19 pandemic digital contact tracing has been proposed as a tool to support the health authorities in their quest to determine who has been in close and sustained contact with a person infected by the coronavirus. In April 2020 Google and Apple released the Google Apple Exposure Notification (GAEN) framework, as a decentralised and more privacy friendly platform for contact tracing. The GAEN framework implements exposure notification mostly at the operating system layer, instead of fully at the app(lication) layer. In this paper we study the consequences of this approach. We argue that this creates a dormant functionality for mass surveillance at the operating system layer. We show how it does not technically prevent the health authorities from implementing a purely centralised form of contact tracing (even though that is the stated aim). We highlight that GAEN allows Google and Apple to dictate how contact tracing is (or rather isn't) implemented in practice by health authorities, and how it introduces the risk of function creep.

研究动机与目标

• 分析在GAEN框架中将接触追踪从应用层移至操作系统层所带来的影响。
• 研究GAEN如何削弱各国卫生部门在设计和部署接触追踪系统方面的自主权。
• 评估功能蔓延的风险，即暴露通知系统被用于公共卫生以外的监控目的。
• 评估由于操作系统层面的访问权限以及谷歌和苹果对框架的控制，可能引发的商业或国家层面监控的可能性。
• 强调尽管谷歌和苹果已作出隐私承诺，但缺乏技术手段来强制执行这些承诺。

提出的方法

• 分析GAEN框架的技术架构，特别是其在操作系统层面的集成方式以及对蓝牙低级API的访问。
• 将GAEN模式与去中心化（DP-3T）和中心化（PEPP-PT、TraceTogether）接触追踪系统进行比较，以突出其设计权衡。
• 考察谷歌和苹果作为关键控制方的角色，其对API访问权限和应用上架的单方面决定权。
• 评估现有接触追踪系统中功能蔓延的实际案例，例如新加坡警方对接触追踪数据的访问以及澳大利亚情报机构收集COVIDSafe应用数据的情况。
• 评估通过信标追踪和与现有平台（如Facebook）集成，暴露通知数据可能带来的商业潜力。
• 强调缺乏可验证的隐私承诺执行机制，系统完全依赖对谷歌和苹果的信任，而非技术强制手段。

实验结果

研究问题

• RQ1 在GAEN框架中将接触追踪移至操作系统层面，如何改变国家卫生部门与科技巨头之间的权力平衡？
• RQ2 GAEN框架在技术上在多大程度上能够阻止集中式接触追踪系统的实施？
• RQ3 暴露通知系统中功能蔓延的风险是什么？GAEN如何促成或加剧这些风险？
• RQ4 GAEN在操作系统层面的集成如何产生潜在的大规模监控能力？
• RQ5 谷歌和苹果对GAEN框架访问权限的单方面控制，对隐私保护和民主监督产生了何种影响？

主要发现

• GAEN框架即使未被主动使用，也能在操作系统层面实现潜在的全球性大规模监控能力。
• 尽管其设计初衷是去中心化，但GAEN在技术上并未阻止卫生部门实施集中式接触追踪系统。
• 谷歌和苹果保有单方面决定哪些政府应用可使用GAEN框架的权力，从而削弱了国家在公共卫生政策上的主权。
• 功能蔓延现象已在实际部署中显现，例如新加坡警方对接触追踪数据的访问，以及澳大利亚情报机构从COVIDSafe应用中收集数据。
• 该框架增加了商业滥用的风险，例如利用信标追踪进行精准广告投放或位置监控。
• 缺乏独立的验证机制来确保谷歌和苹果履行其隐私承诺，使得整个系统完全依赖信任而非技术强制。