[论文解读] Target Privacy Threat Modeling for COVID-19 Exposure Notification Systems

Ananya Gangavarapu, Ellie Daw+5 more|arXiv (Cornell University)|Sep 25, 2020

Privacy-Preserving Technologies in Data参考文献 5被引用 5

一句话总结

本文提出了一种针对COVID-19暴露通知系统（ENS）的针对性隐私威胁建模（TPTM）框架，通过整合硬件、人类行为、法规和系统架构，超越传统以软件为中心的建模方法，全面应对隐私威胁。该框架识别攻击者能力，将隐私威胁映射到特定标识符，并提供可操作的缓解策略，从而构建出全面、一致且符合隐私优先设计原则的ENS威胁模型。

ABSTRACT

The adoption of digital contact tracing (DCT) technology during the COVID-19pandemic has shown multiple benefits, including helping to slow the spread of infectious disease and to improve the dissemination of accurate information. However, to support both ethical technology deployment and user adoption, privacy must be at the forefront. With the loss of privacy being a critical threat, thorough threat modeling will help us to strategize and protect privacy as digital contact tracing technologies advance. Various threat modeling frameworks exist today, such as LINDDUN, STRIDE, PASTA, and NIST, which focus on software system privacy, system security, application security, and data-centric risk, respectively. When applied to the exposure notification system (ENS) context, these models provide a thorough view of the software side but fall short in addressing the integrated nature of hardware, humans, regulations, and software involved in such systems. Our approach addresses ENSsas a whole and provides a model that addresses the privacy complexities of a multi-faceted solution. We define privacy principles, privacy threats, attacker capabilities, and a comprehensive threat model. Finally, we outline threat mitigation strategies that address the various threats defined in our model

研究动机与目标

• 解决现有威胁建模框架（如STRIDE、LINDDUN、PASTA和NIST）在捕捉暴露通知系统（ENS）中隐私威胁全貌方面的局限性。
• 开发一种统一的、以攻击者为中心的隐私威胁建模框架，充分考虑ENS生态系统中硬件、软件、人类行为和合规性要求的集成特性。
• 通过目标状态驱动的方法，确保威胁建模结果的一致性、全面性且冗余最少，从而减少误报和遗漏的威胁。
• 基于攻击者能力定义一组全面的隐私威胁，并将其映射到ENS中的特定隐私标识符和攻击向量。
• 为每项识别出的威胁提供可操作的、标准化的缓解策略，与隐私原则及GDPR和电子隐私指令等法规标准保持一致。

提出的方法

• TPTM框架围绕目标状态模型构建，明确定义期望的隐私保护系统状态，确保威胁建模的一致性与完整性。
• 采用以攻击者为中心的方法，根据攻击者能力（如胁迫、数据推断、设备控制）对威胁进行分类，而不仅依赖于技术漏洞。
• 将隐私威胁映射到特定的隐私标识符（如位置、设备ID、暴露日志），并为每类威胁定义攻击场景，使用信息流图（IFD）和数据流图（DFD）。
• 引入标准化术语，并简化威胁类别与能力之间复杂的多对多关系，以提升清晰度与可用性。
• 为每项威胁映射缓解策略，包括技术控制（如端到端加密、差分隐私、安全飞地）、策略控制（如数据最小化、用户同意）以及架构模式（如参考架构、职责分离）。
• 将该框架应用于构建具体的ENS目标隐私威胁模型，涵盖病例管理与近距离追踪两个组件，提供详细的威胁-缓解映射关系。

实验结果

研究问题

• RQ1 如何增强现有威胁建模框架，以应对整合了软件、硬件、人类行为和法规约束的暴露通知系统所面临的独特隐私挑战？
• RQ2 在ENS中存在哪些超越传统软件安全的隐私威胁，例如胁迫攻击、数据重新识别和法规不合规？
• RQ3 如何为ENS建立一种一致、可重复且全面的威胁建模流程，以最小化误报和遗漏的威胁？
• RQ4 在ENS中哪些特定隐私标识符最易受攻击？如何系统性地对攻击者能力进行分类并映射到这些标识符？
• RQ5 在应对ENS中全谱隐私威胁时，哪些技术、组织和政策类缓解策略最为有效？

主要发现

• TPTM框架成功识别并分类了传统以软件为中心的模型所忽略的ENS隐私威胁，包括胁迫攻击和法规合规风险。
• 由于依赖于明确定义的目标状态和标准化术语，该框架确保了无论由谁执行分析，威胁建模结果均保持一致。
• 具体威胁如通过蓝牙标识符进行的数据关联、设备指纹识别，以及通过被攻破的服务器进行的未授权数据访问，均被正式映射并借助差分隐私和安全飞地等技术控制手段加以缓解。
• 缓解策略如端到端加密、HMAC防重放保护，以及将验证与暴露通知功能分离，显著减少了攻击面和数据暴露风险。
• 通过在威胁建模过程中嵌入数据最小化、用户控制和透明度等原则，该框架支持符合GDPR和电子隐私指令等关键隐私法规。
• 将TPTM框架应用于ENS，可生成全面、可操作且可审计的隐私威胁模型，支持数字接触追踪系统的伦理部署，并增强用户信任。