[论文解读] CoVista: A Unified View on Privacy Sensitive Mobile Contact Tracing Effort

David Culler, Prabal Dutta+7 more|arXiv (Cornell University)|May 27, 2020

COVID-19 Digital Contact Tracing参考文献 3被引用 6

一句话总结

CoVista 提出两项保护隐私的创新——'灯塔'（Lighthouses）将公共场所视为苹果-谷歌暴露通知（AGEN）协议中的隐私保护实体，以及'新冠共地'（Covid-Commons）实现跨应用和司法管辖区的国家规模、联邦制匿名暴露密钥共享。这些机制使公共卫生机构能够在不损害个人隐私或违反苹果和谷歌去中心化框架的前提下，追踪传播热点并支持人工接触者追踪。

ABSTRACT

Governments around the world have become increasingly frustrated with tech giants dictating public health policy. The software created by Apple and Google enables individuals to track their own potential exposure through collated exposure notifications. However, the same software prohibits location tracking, denying key information needed by public health officials for robust contract tracing. This information is needed to treat and isolate COVID-19 positive people, identify transmission hotspots, and protect against continued spread of infection. In this article, we present two simple ideas: the lighthouse and the covid-commons that address the needs of public health authorities while preserving the privacy-sensitive goals of the Apple and google exposure notification protocols.

研究动机与目标

• 解决苹果与谷歌的去中心化、以隐私为先的接触者追踪模型与公共卫生机构对空间和时间暴露数据以应对新冠疫情的需求之间的冲突。
• 使公共卫生官员能够在不损害个人隐私或依赖集中化数据收集的前提下，识别传播热点并支持人工接触者追踪。
• 通过允许可信组织在 AGEN 框架内部署和管理应用程序，恢复本地和社区层面的接触者追踪控制权。
• 通过共享的、保护隐私的数据交换后端，促进国家和区域接触者追踪系统之间的互操作性。
• 允许公共场所（如商店、公交车）使用与个人相同的保护隐私协议，匿名报告暴露风险。

提出的方法

• 通过为公共场所配备移动设备或低成本信标，使其能够像‘人’一样运作：使用蓝牙检测近距离接触并计算暴露风险，然后通过 AGEN 协议匿名共享该风险。
• 实施‘新冠共地’——一种联邦制、保护隐私的后端系统，用于跨司法管辖区和应用程序聚合与路由匿名诊断密钥（TEKs），实现跨区域暴露检测。
• 采用自愿参与的匿名密钥共享机制：当个人检测呈阳性时，由公共卫生专业人员授权将其中的匿名暴露密钥上传至共地，从而保护患者身份。
• 通过元数据标签实现公共卫生机构（PHAs）之间的密钥转发，使诊断密钥能主动路由至共地的相关区域实例。
• 允许个人订阅来自多个共地实例的诊断密钥下载，特别是其曾访问或可能访问的地区，从而扩大检测范围。
• 通过元数据区分诊断阶段（如疑似、可能、确诊），在风险评分中赋予不同权重，同时保持隐私。

实验结果

研究问题

• RQ1 公共卫生机构如何在不违反苹果-谷歌暴露通知（AGEN）协议隐私保护原则的前提下，获得疾病传播的可见性？
• RQ2 能否以保护用户隐私的方式将公共场所整合进 AGEN 框架，同时实现空间暴露追踪？
• RQ3 如何构建一个去中心化、可互操作的系统，实现在不集中敏感数据的前提下跨司法管辖区共享匿名暴露密钥？
• RQ4 哪些机制可确保个人和公共卫生机构能够安全、私密地在不同应用程序和行政边界之间共享暴露信息？
• RQ5 系统如何在保持隐私和计算可行性的同时，支持早期诊断阶段（如疑似或可能病例）？

主要发现

• 灯塔使公共场所能够使用与个人相同的保护隐私协议匿名报告暴露风险，使公共卫生机构能够在不损害访客隐私的前提下识别传播热点。
• 新冠共地实现了跨区域、跨应用的匿名诊断密钥共享，使在不同地区确诊的个人也能收到其在其他地区暴露的提醒。
• 该系统支持自愿参与的匿名密钥共享，公共卫生专业人员作为可信中介，确保数据完整性，同时不暴露患者身份或医疗信息。
• 共地可作为联邦式网状结构或集中式服务器实现，具备过滤和限制密钥下载范围的机制，以减少带宽和计算开销。
• 该协议通过元数据区分多种诊断阶段（如疑似、可能、确诊），支持加权风险评分，同时保护隐私。
• 通过将数据存储与应用程序部署解耦，该系统使本地组织（如原住民部落、大学）能够管理可信应用程序，从而恢复社区层面对接触者追踪的控制权。