[论文解读] Contact Tracing Mobile Apps for COVID-19: Privacy Considerations and Related Trade-offs

Hyunghoon Cho, Daphne Ippolito+1 more|Deep Blue (University of Michigan)|Mar 25, 2020

COVID-19 Digital Contact Tracing参考文献 27被引用 379

一句话总结

本文分析 COVID-19 联系追踪应用（尤以 TraceTogether 为例）的隐私影响，并在半诚实模型下提出增强隐私的改进和采用策略。

ABSTRACT

Contact tracing is an essential tool for public health officials and local communities to fight the spread of novel diseases, such as for the COVID-19 pandemic. The Singaporean government just released a mobile phone app, TraceTogether, that is designed to assist health officials in tracking down exposures after an infected individual is identified. However, there are important privacy implications of the existence of such tracking apps. Here, we analyze some of those implications and discuss ways of ameliorating the privacy concerns without decreasing usefulness to public health. We hope in writing this document to ensure that privacy is a central feature of conversations surrounding mobile contact tracing apps and to encourage community efforts to develop alternative effective solutions with stronger privacy protection for the users. Importantly, though we discuss potential modifications, this document is not meant as a formal research paper, but instead is a response to some of the privacy characteristics of direct contact tracing apps like TraceTogether and an early-stage Request for Comments to the community. Date written: 2020-03-24 Minor correction: 2020-03-30

研究动机与目标

• 在 COVID-19 期间推动隐私成为联系追踪应用的核心特性。
• 分析真实世界中的 TraceTogether 设计及其隐私影响。
• 提出增强隐私的改进和系统架构。
• 讨论在保护隐私的同时促进快速、广泛采用的策略。

提出的方法

• 回顾现有的联系追踪方法及其隐私属性。
• 定义三种隐私概念：来自窃听者、来自联系人、以及来自当局。
• 在半诚实模型下评估 TraceTogether 与替代架构。
• 提出包括 polling、mixing servers、公开令牌数据库和私有消息传递在内的隐私增强改进。
• 概述对当局具有更强隐私保护的加密方法（私有消息传递与混合网络）

实验结果

研究问题

• RQ1 不同的联系追踪设计如何保护或暴露来自窃听者、联系人和当局的隐私？
• RQ2 哪些隐私保护增强可以在保持公共卫生有效性的同时提升用户隐私？
• RQ3 哪些采用策略在隐私保障与在不同司法辖区的实际部署之间实现最佳平衡？

主要发现

• TraceTogether 在来自联系人方面保护隐私，但对来自当局和来自窃听者的隐私保护有限。
• 基于轮询的方法在一定程度上提升了来自当局的隐私，但仍通过关联暴露风险；混合服务器加强了对关联攻击的隐私保护。
• 公开数据库和垃圾邮件/噪声方法在隐私与效率或被诊断个体隐私之间存在权衡。
• 私有消息传递系统和混合网络可以为来自当局提供可证明的隐私，代价是更高的计算和架构成本。
• 采用受到明确隐私保障、开源审计和符合当地文化的部署策略的帮助。