[论文解读] Preliminary Analysis of Potential Harms in the Luca Tracing System

Theresa Stadler, Wouter Lueks+2 more|arXiv (Cornell University)|Mar 22, 2021

COVID-19 Digital Contact Tracing被引用 9

一句话总结

本文分析了 Luca 数字接触追踪系统可能带来的危害，该系统是疫情期间用于追踪人员在场所停留情况的集中式平台。研究发现，即使在未发生系统入侵的情况下，Luca 后端服务器也能通过伪名和元数据关联用户签到记录，实现对个体的重新识别，并对场所进行画像分析，这表明该系统因集中式信任机制和缺乏技术防护措施（仅依赖程序性控制），存在重大的隐私与监控风险。

ABSTRACT

In this document, we analyse the potential harms a large-scale deployment of the Luca system might cause to individuals, venues, and communities. The Luca system is a digital presence tracing system designed to provide health departments with the contact information necessary to alert individuals who have visited a location at the same time as a SARS-CoV-2-positive person. Multiple regional health departments in Germany have announced their plans to deploy the Luca system for the purpose of presence tracing. The system's developers suggest its use across various types of venues: from bars and restaurants to public and private events, such religious or political gatherings, weddings, and birthday parties. Recently, an extension to include schools and other educational facilities was discussed in public. Our analysis of the potential harms of the system is based on the publicly available Luca Security Concept which describes the system's security architecture and its planned protection mechanisms. The Security Concept furthermore provides a set of claims about the system's security and privacy properties. Besides an analysis of harms, our analysis includes a validation of these claims.

研究动机与目标

• 评估大规模部署 Luca 数字在场追踪系统可能带来的潜在危害。
• 评估其《安全概念》中关于安全与隐私的声明在技术上是否合理且可执行。
• 调查将信任集中于 Luca 后端服务器是否可能在未被察觉的情况下引发滥用或监控行为。
• 将数字集中式追踪与传统纸质记录方法的风险进行对比。
• 质疑在集中式系统中收集细粒度位置与接触数据的必要性与适度性。

提出的方法

• 以公开的 Luca 安全概念（2021 年 3 月 10 日）作为系统设计与声明的主要来源。
• 基于文档解读系统架构与数据流，假设采用最无害的实现方式，以避免高估风险。
• 识别攻击向量：Luca 后端服务器可利用元数据、伪名与 IP 地址推断并关联用户签到记录。
• 通过测试其在现实威胁模型下的表现，评估系统六个安全目标的有效性。
• 评估系统的隐私保障是否仅依赖对服务器运营商的信任，而非技术控制措施。
• 将集中式系统的风险与最小化数据收集与暴露的去中心化替代方案进行对比。

实验结果

研究问题

• RQ1 在不违反系统保护机制的前提下，Luca 后端服务器在多大程度上能够关联同一用户的不同签到记录？
• RQ2 在不完全信任服务器运营商的前提下，Luca 系统的安全目标能否实现？
• RQ3 在集中式系统中，实时场所画像与数据收集可能带来哪些隐私与监控风险？
• RQ4 与传统纸质记录方法相比，数字集中式追踪的数据滥用风险有何差异？
• RQ5 去中心化替代方案能否在最小化滥用与重新识别风险的同时，实现类似功能？

主要发现

• Luca 后端服务器能够实时获取场所的人员数量，包括到访与离开时间，可能用于对特定场所关联社区的监控。
• 服务器可利用 IP 地址与时间等元数据，以高概率关联同一用户的不同签到记录，即使不修改系统数据流。
• 系统中使用的伪名具有持久性，可与用户的 IP 地址或电话号码关联，从而实现重新识别，可能导致社会污名化。
• 系统安全目标仅在假设 Luca 后端服务器完全可信的前提下成立，因缺乏技术防护措施，无法防止滥用。
• 系统可基于阳性病例报告对场所进行风险等级排序，可能导致某些场所及其关联社区遭受社会污名化。
• 由于缺乏技术控制措施，服务器造成的任何损害（如数据外泄或强制行为变更）均可能在无察觉的情况下发生，从而破坏信任与参与意愿。