[论文解读] Short Paper: Privacy Comparison of Contact Tracing Mobile Applications for COVID-19

Mohamed‐Lamine Messai, Hamida Seba|arXiv (Cornell University)|Oct 7, 2020

COVID-19 Digital Contact Tracing参考文献 7被引用 4

一句话总结

本文評估並比較了主要COVID-19接觸追蹤行動應用程式在隱私方面的特性，專注於基於藍牙與GPS的系統。分析指出，設計選擇（特別是集中式與分散式架構）對使用者隱私有顯著影響，結論為：採用強化匿名化與資料刪除機制的分散式、開放原始碼模型，其隱私保護優於缺乏或弱化隱私保障的集中式或依賴GPS的系統。

ABSTRACT

With the COVID-19 pandemic, quarantines took place across the globe. In the aim of stopping or slowing the progression of the COVID-19 contamination, many countries have deployed a contact tracing system to notify persons that be in contact with a COVID-positive person. The contact tracing system is implemented in a mobile application and leverages technologies such as Bluetooth to trace interactions between persons. This paper discusses different smart-phone applications based on contact tracing system from privacy point of view.

研究动机与目标

• 分析並比較在COVID-19大流行期間部署的各種接觸追蹤行動應用程式中固有的隱私風險。
• 識別這些應用程式中主要的隱私威脅來源，包括衛生主管機關、惡意開發者、感染者與駭客。
• 評估不同技術設計（特別是集中式與分散式架構）對使用者隱私的影響。
• 評估匿名化、原始碼透明度與資料保留政策在增強或削弱隱私方面的作用。

提出的方法

• 本研究對8款主要接觸追蹤應用程式進行比較分析，包括TraceTogether、Aarogya Setu、AC19、StopCovid、Stopp Corona、Covid-Watch、PACT與DP-3T。
• 根據預先定義的隱私標準評估應用程式：使用藍牙或GPS、是否需要可信伺服器、是否支援偽造聲稱、匿名化技術、原始碼開放程度與資料摧毀政策。
• 分析的威脅向量包括衛生主管機關的去匿名化、惡意開發者的監視，以及駭客造成的資料外洩。
• 本文將系統分類為集中式（伺服器依賴）與分散式（點對點）模型，並評估其各自的隱私權衡。
• 針對各項關鍵隱私維度對每款應用程式進行評分，包括是否使用隨機識別碼、是否將資料儲存在伺服器上，或是否在指定時間後刪除資料。
• 比較採用表格形式，將每款應用程式對應至其隱私相關特性，以實現設計選擇之間的直接對照。

实验结果

研究问题

• RQ1 集中式與分散式接觸追蹤架構在對使用者的隱私影響上有何差異？
• RQ2 匿名化技術與開放原始碼狀態在多大程度上可降低接觸追蹤應用程式的隱私風險？
• RQ3 衛生主管機關、惡意開發者、感染者與駭客在這些系統中所構成的主要隱私威脅為何？
• RQ4 基於GPS與基於藍牙的系統在隱私外洩與使用者追蹤潛力方面有何比較？
• RQ5 資料保留與刪除在最小化長期隱私暴露方面扮演何種角色？

主要发现

• 如Aarogya Setu與AC19等集中式應用程式，因依賴可信伺服器且使用GPS或未加密資料，導致中央化資料儲存與缺乏匿名化，因而帶來更高的隱私風險。
• 如PACT與Covid-Watch等分散式系統，無需中央伺服器且使用匿名識別碼，顯著降低大規模監視與資料外洩的風險。
• 如TraceTogether與Stopp Corona等開放原始碼應用程式展現出更高的可信度與透明度，降低開發者隱藏追蹤機制的風險。
• 實施強化匿名化並在指定時間後刪除資料之應用程式（如StopCovid與Stopp Corona），其隱私保障優於未具備此類政策者。
• 在AC19與Aarogya Setu等應用程式中使用GPS會增加隱私外洩與電池消耗，使其不適合長期、大規模部署。
• 即使在具備匿名化的系統中，使用者仍可能透過收到通知推斷感染狀態，顯示接觸追蹤模型本身存在不可避免的隱私損失。