[论文解读] CONTAIN: Privacy-oriented Contact Tracing Protocols for Epidemics

Arvin Hekmati, Gowri Ramachandran+1 more|arXiv (Cornell University)|Apr 10, 2020

COVID-19 Digital Contact Tracing参考文献 8被引用 19

一句话总结

CONTAIN 是一种保护隐私的基于蓝牙的接触追踪协议，可在不依赖 GPS、第三方服务器或基础设施的情况下，使用户检测是否曾与感染者近距离接触。它使用匿名加密消息或随机数生成技术，确保不存储任何个人身份信息，从而在模拟中实现 100% 用户隐私，同时有效识别出 60,000 个设备记录中的潜在暴露个体。

ABSTRACT

Pandemic and epidemic diseases such as CoVID-19, SARS-CoV2, and Ebola have spread to multiple countries and infected thousands of people. Such diseases spread mainly through person-to-person contacts. Health care authorities recommend contact tracing procedures to prevent the spread to a vast population. Although several mobile applications have been developed to trace contacts, they typically require collection of privacy-intrusive information such as GPS locations, and the logging of privacy-sensitive data on a third party server, or require additional infrastructure such as WiFi APs with known locations. In this paper, we introduce CONTAIN, a privacy-oriented mobile contact tracing application that does not rely on GPS or any other form of infrastructure-based location sensing, nor the continuous logging of any other personally identifiable information on a server. The goal of CONTAIN is to allow users to determine with complete privacy if they have been within a short distance, specifically, Bluetooth wireless range, of someone that is infected, and potentially also when. We identify and prove the privacy guarantees provided by our approach. Our simulation study utilizing an empirical trace dataset (Asturies) involving 100 mobile devices and around 60000 records shows that users can maximize their possibility of identifying if they were near an infected user by turning on the app during active times.

研究动机与目标

• 解决现有接触追踪系统存在的隐私风险，这些系统会收集 GPS 数据或依赖如 WiFi 接入点等基础设施。
• 设计一种去中心化、无需基础设施的接触追踪协议，以保护用户匿名性，防止身份或位置被追踪。
• 使用户能够私密地判断自己是否曾与感染者近距离接触，包括时间信息，同时不泄露个人数据。
• 评估不同激活策略（去中心化、集中式和随机）在最大化识别潜在暴露用户方面的效果。
• 通过确保用户自愿参与并最小化对集中式权威机构的信任，促进用户采纳。

提出的方法

• 该协议使用蓝牙在设备之间交换匿名加密消息，实现无需位置追踪的近距离检测。
• 提出两种协议：一种使用对称密钥加密，设备上传接收到的消息；另一种使用大随机数，设备上传发送的消息。
• 所有数据均本地存储在设备上；第三方服务器不会记录任何个人身份信息。
• 系统依赖时间同步的蓝牙交互来记录接触事件，仅当用户检测为阳性时才选择性共享接触数据。
• 模拟研究使用 Asturies 数据集，包含 100 个设备和约 60,000 条记录，以模拟现实世界中的移动性和接触模式。
• 评估三种激活策略：去中心化（用户在人流高峰时段开启蓝牙）、集中式（协调激活）和随机（非协调激活）。

实验结果

研究问题

• RQ1 能否设计一种接触追踪系统，不依赖 GPS、WiFi 接入点或集中式数据记录，同时仍能实现准确的近距离检测？
• RQ2 不同的用户激活策略（去中心化、集中式或随机）如何影响被识别出的潜在感染人数？
• RQ3 用户自愿参与行为在现实环境中对保护隐私的接触追踪有效性有多大影响？
• RQ4 两种所提协议在保护用户身份和接触历史方面提供了何种程度的隐私保障？
• RQ5 在高密度、高移动性和高交互频率的真实环境中，系统表现如何？

主要发现

• 去中心化激活策略（用户在人流高峰时段开启蓝牙）在识别潜在感染用户方面优于集中式和随机激活策略。
• 在传染概率为 2% 且初始有两名感染者的情况下，增加蓝牙活跃时间显著提升了对暴露个体的检测效果。
• 在包含 100 个设备和约 60,000 条记录的密集环境模拟中，即使传染率较低，也可能导致大规模传播，凸显了有效追踪的必要性。
• 对于非感染者，系统实现了 100% 的隐私保护，因为他们从不暴露身份、接触历史或位置信息。
• 两种协议——对称加密和基于随机数的协议——提供了双重隐私保障，具体取决于设备上传的是接收到的消息还是发送的消息。
• 结果表明，保护隐私的接触追踪在现实环境中既有效又可扩展，尤其当用户根据人群密度协调激活时效果更佳。