[论文解读] Privacy-Preserving Contact Tracing: current solutions and open questions

Qiang Tang|arXiv (Cornell University)|Apr 14, 2020

COVID-19 Digital Contact Tracing参考文献 9被引用 21

一句话总结

本文分析了现有的用于COVID-19的隐私保护接触追踪解决方案，评估其在实用性、隐私性和安全性之间的权衡。识别出关键局限性，如应用范围狭窄、缺乏真实性保障以及实现细节不足，并提出一项跨学科研究议程，以构建更全面、尊重隐私且值得信赖的接触追踪系统，平衡个人权利与公共卫生需求。

ABSTRACT

The COVID-19 pandemic has posed a unique challenge for the world to find solutions, ranging from vaccines to ICT solutions to slow down the virus spreading. Due to the highly contagious nature of the virus, social distancing is one fundamental measure which has already adopted by many countries. At the technical level, this prioritises contact tracing solutions, which can alert the users who have been in close contact with the infected persons and meanwhile allow heath authorities to take proper actions. In this paper, we examine several existing privacy-aware contact tracing solutions and analyse their (dis)advantages. At the end, we describe several major observations and outline an interdisciplinary research agenda towards more comprehensive and effective privacy-aware contact tracing solutions.

研究动机与目标

• 分析针对呼吸道疾病（如COVID-19）的现有隐私感知接触追踪解决方案在实用性、隐私性和安全性方面的权衡。
• 识别当前系统中的关键缺陷，包括应用范围狭窄、缺乏真实性保障以及不切实际的部署假设。
• 通过明确各方角色、信任关系和责任归属，弥合公共卫生机构、技术设计者与终端用户之间的鸿沟。
• 为整合技术、法律、伦理和社会维度的接触追踪，建立一项跨学科研究议程的基础。
• 提出激励机制与信任模型，以促进诚实参与，同时防止其被滥用于监控目的。

提出的方法

• 对主要接触追踪解决方案进行对比分析，包括新加坡的TraceTogether、Google/Apple的去中心化DP-3T，以及Reichert等人、Altuwaiyan等人和Troncoso等人提出的密码学协议。
• 基于实用性、隐私保障、真实性以及在现实约束条件下的可部署性，评估各项解决方案。
• 识别并建模用户、卫生机构与后端服务器之间的信任关系，以界定安全边界与责任范围。
• 提出整合去中心化技术（如DLT或区块链）以激励诚实参与并遏制恶意行为。
• 提出一个框架，将技术设计与法律和监管要求对齐，尤其关注医疗与隐私法律。
• 强调需要端到端的安全建模，兼顾隐私与真实性，以防止操纵与监控滥用。

实验结果

研究问题

• RQ1 现有隐私保护接触追踪解决方案在现实部署中如何平衡隐私、实用性与真实性？
• RQ2 哪些关键技术、法律与社会障碍阻碍了隐私感知接触追踪系统的广泛采用？
• RQ3 如何对用户、卫生机构与系统运营商之间的信任关系进行形式化建模并加以保护，以防止滥用？
• RQ4 可在接触追踪系统中构建何种激励机制，以鼓励诚实参与并遏制恶意行为？
• RQ5 如何设计接触追踪系统，以同时支持个体风险评估与公共卫生监控，而不损害隐私？

主要发现

• 现有接触追踪解决方案通常忽略间接传播途径，尽管隐私保障较强，但其实际有效性仍受限。
• 当前系统的应用范围过于聚焦于个体风险评估，忽视了卫生机构与医务人员更广泛的公共卫生需求。
• 缺乏真实性机制使得用户可伪造位置或近距离数据，可能损害系统完整性并导致隐私泄露。
• 许多理论方案缺乏足够的实现细节，尤其在未信任的后端服务器与卫生机构角色方面，导致现实部署的不确定性。
• 利益相关方之间的信任关系尚未达成共识，导致责任归属、数据解读与系统治理方面存在模糊性。
• 缺乏集成的激励机制导致系统依赖于自愿参与模式，可能造成参与率低，从而降低系统实用性。