[论文解读] Privacy Guidelines for Contact Tracing Applications

Manish Shukla, Rajan M. A+3 more|arXiv (Cornell University)|Apr 28, 2020

COVID-19 Digital Contact Tracing参考文献 15被引用 21

一句话总结

本文提出了全面的隐私指南，用于接触追踪应用程序，以在公共卫生需求与用户数据保护之间取得平衡。指南针对开发人员、政府和企业等利益相关方提出具体建议，强调去中心化数据处理、端到端加密、透明度和可用性，以确保在新冠肺炎等传染病爆发期间建立信任并实现大规模采用。

ABSTRACT

Contact tracing is a very powerful method to implement and enforce social distancing to avoid spreading of infectious diseases. The traditional approach of contact tracing is time consuming, manpower intensive, dangerous and prone to error due to fatigue or lack of skill. Due to this there is an emergence of mobile based applications for contact tracing. These applications primarily utilize a combination of GPS based absolute location and Bluetooth based relative location remitted from user's smartphone to infer various insights. These applications have eased the task of contact tracing; however, they also have severe implication on user's privacy, for example, mass surveillance, personal information leakage and additionally revealing the behavioral patterns of the user. This impact on user's privacy leads to trust deficit in these applications, and hence defeats their purpose. In this work we discuss the various scenarios which a contact tracing application should be able to handle. We highlight the privacy handling of some of the prominent contact tracing applications. Additionally, we describe the various threat actors who can disrupt its working, or misuse end user's data, or hamper its mass adoption. Finally, we present privacy guidelines for contact tracing applications from different stakeholder's perspective. To best of our knowledge, this is the first generic work which provides privacy guidelines for contact tracing applications.

研究动机与目标

• 解决传染病爆发期间移动接触追踪应用程序日益增长的隐私担忧。
• 识别对用户隐私构成威胁的因素，包括监控、数据泄露和行为模式暴露。
• 为开发人员、政府和企业提供可操作的、利益相关方特定的隐私指南。
• 通过平衡公共卫生效用与强有力的数据保护及用户信任，确保大规模采用。
• 建立安全、透明且保护隐私的接触追踪系统框架。

提出的方法

• 分析知名接触追踪应用程序（如新加坡的TraceTogether、以色列的APP）中的隐私控制机制，识别其优势与不足。
• 提出涵盖开发人员、政府和企业的多利益相关方隐私框架。
• 倡导采用去中心化数据架构，以最小化集中式数据存储并降低安全漏洞风险。
• 建议使用隐私保护技术（如私有集合交集和布隆过滤器）实现安全计算。
• 强调端到端加密、数据匿名化以及在用户设备上安全本地存储敏感数据。
• 呼吁开源应用程序代码并验证编译二进制文件与源代码的一致性，以确保透明性并防止后门存在。

实验结果

研究问题

• RQ1 如何在有效遏制疾病传播的同时，保护接触追踪应用程序中的用户隐私？
• RQ2 集中式数据收集在接触追踪系统中对隐私构成哪些主要威胁？
• RQ3 风险评分算法的透明度与可解释性如何提升用户信任与采用率？
• RQ4 哪些技术和政策措施可防止第三方或国家行为体滥用接触追踪数据？
• RQ5 如何在不损害隐私的前提下，优化不同人群（包括老年人和低文化程度用户）的可用性？

主要发现

• 本文指出，接触追踪应用程序中的集中式数据收集方式存在重大隐私风险，包括大规模监控和数据泄露。
• 去中心化架构（即数据本地存储于设备上，仅共享匿名化风险评分）可显著降低隐私暴露风险。
• 开源应用程序代码并验证编译后的二进制文件与源代码的一致性，可增强信任并支持第三方审计。
• 提供清晰、可解释的风险评分，并附带各因素的分解说明，可提升用户对系统的理解与接受度。
• 引入如位置黑名单功能（例如家庭、办公室）可使用户自主控制数据暴露范围，提升可用性。
• 实施合理的数据保留政策（如在隔离期结束后自动删除感染者接触记录）有助于防止长期隐私侵犯。