[论文解读] Assessing Disease Exposure Risk with Location Data: A Proposal for Cryptographic Preservation of Privacy

Alex Berke, Michiel A. Bakker+3 more|arXiv (Cornell University)|Mar 31, 2020

COVID-19 Digital Contact Tracing参考文献 16被引用 42

一句话总结

本论文提出一种基于GPS、隐私保护的接触追踪系统，利用数据脱敏、对时空点区间进行确定性哈希，以及私有集合交集协议来在不暴露私人位置历史的情况下识别暴露。

ABSTRACT

Governments and researchers around the world are implementing digital contact tracing solutions to stem the spread of infectious disease, namely COVID-19. Many of these solutions threaten individual rights and privacy. Our goal is to break past the false dichotomy of effective versus privacy-preserving contact tracing. We offer an alternative approach to assess and communicate users' risk of exposure to an infectious disease while preserving individual privacy. Our proposal uses recent GPS location histories, which are transformed and encrypted, and a private set intersection protocol to interface with a semi-trusted authority. There have been other recent proposals for privacy-preserving contact tracing, based on Bluetooth and decentralization, that could further eliminate the need for trust in authority. However, solutions with Bluetooth are currently limited to certain devices and contexts while decentralization adds complexity. The goal of this work is two-fold: we aim to propose a location-based system that is more privacy-preserving than what is currently being adopted by governments around the world, and that is also practical to implement with the immediacy needed to stem a viral outbreak.

研究动机与目标

• 打破数字化接触追踪中的隐私与有效性权衡。
• 提出一个基于位置的系统，在保护用户隐私的同时实现准确的暴露风险评估。
• 在不暴露个人位置历史的前提下，提供聚合的公共风险可视化和个性化的风险通知。

提出的方法

• 将GPS历史分割为离散的时空点区间，并映射到共享网格。
• 在数据离开设备之前，在设备上对点区间进行转换和加密。
• 使用半可信的权威来存储脱敏的载体数据，并启用一个私有集合交集协议来匹配哈希后的点区间。
• 在设备上基于与已确诊载体的匹配来评估用户暴露风险，并通知处于风险中的用户。
• 为公共卫生洞察提供风险区域的聚合热力图视图。

实验结果

研究问题

• RQ1 一个基于GPS的隐私保护系统是否能够在不暴露个人位置历史的前提下，准确识别与已确诊载体的接触点？
• RQ2 数据脱敏、确定性哈希和 PSI 的组合是否能够在暴发期间实现可行、可扩展的暴露风险通知？
• RQ3 聚合数据如何在不妥协个人隐私的前提下仍能为公共风险提供信息？

主要发现

• 通过衡量在与确诊载体共处的时间，可以实现概率风险评估。
• 对3D点区间进行哈希处理，使用户设备与中央服务器之间通过 PSI 进行隐私保护的匹配成为可能。
• 两种设备端数据脱敏方法（基于区域和点区间哈希）支持聚合隐私和接触追踪的用例。
• PSI 提供了一个隐私层，只有相交的数据会暴露给查询方，而不会暴露给服务器。
• 该设计包括区域数据存储、交换限制以及在d天后删除数据等保障措施，以降低隐私风险。