Adding Location and Global Context to the Google/Apple Exposure Notification Bluetooth API
接触者追踪需要对用户的背景有很强的理解，而位置与其他感官数据可以为任何感染事件提供背景。虽然蓝牙技术可以很好地洞察相遇的接近程度，但它并不提供与之相关的任何位置上下文，这有助于做出更好的决策。利用本文提出的思想，人们将能够获得这些有价值的信息，可以在一定程度上解决假阳性和假阴性的问题。所有这一切都在谷歌/苹果曝光通知（GAEN）规范的范围内，同时保护完整的用户隐私。在任意两个用户之间传播上下文有四种方式。其中两种方法允许私人位置记录，而不会泄露应用程序中的位置历史记录。另外两种方法是基于警告的方法。第一种加密方法是苹果FindMy协议的变体，允许附近的苹果设备捕获丢失的苹果设备的GPS位置。第二种加密是对现有GAEN协议的微小修改，以便只有在暴露时才能对健康手机提供全局上下文-这是一个比较好的选择。公共卫生智能手机应用程序的作用仍然是决定如何使用位置-时间背景，以建立一个全面的接触者追踪和公共卫生解决方案。最后，我们强调了这里提出的这些上下文传播方法的好处和潜在的隐私问题。
2020-07-25 cs.CR cs.CY
Automated Security Analysis of Exposure Notification Systems
我们提出了第一个正式的分析和比较的两个最广泛部署的曝光通知系统，罗伯特和谷歌和苹果的曝光通知（GAEN）框架的安全性。ROBERT是集中式暴露通知方法中最受欢迎的一部分，其中风险评分由中央服务器计算。相比之下，GAEN遵循分散的方法，用户的手机计算风险。集中式和分散式系统的相对优点已被证明是一个有争议的问题。以前的大多数分析都集中在这些系统的隐私影响上，我们是第一个正式的分析，以评估部署系统的安全性-没有错误的风险警报。我们模拟了法国部署的ROBERT和部署最广泛的GAEN变体，德国的Corona-Warn-App。我们隔离了这些系统防止错误警报的精确条件。我们准确地确定对手如何通过网络和蓝牙嗅探、数据库泄漏或电话、后端系统和卫生当局的妥协来破坏系统。我们还调查了DP3T协议的原始规范的安全性，以确定所提出的方案和其最终部署之间的差距。我们总共发现了27种攻击模式，其中包括许多区分集中式和分散式方法的攻击，以及对区分所有三种协议的授权程序的攻击。我们的研究结果表明，ROBERT的集中式设计更容易受到机会主义和高资源攻击者试图执行大规模通知攻击。
2022-10-02 cs.CR
DESIRE: A Third Way for a European Exposure Notification System Leveraging the best of centralized and decentralized systems
本文介绍了ROBERT协议的演变，该协议将其大部分操作分散在移动设备上。BASTRRE基于与ROBERT相同的架构，但实现了重大的隐私改进。特别是，它引入了私人邂逅令牌的概念，这是秘密和加密生成的，以编码遭遇。在蓝牙协议中，在蓝牙接口上广播的临时标识符由移动设备生成，从而向用户提供更多关于公开哪些标识符的控制。服务器的作用仅仅是将诊断用户生成的PET与请求用户提供的PET进行匹配。它存储最少的匿名数据。最后，存储在服务器上的所有数据都使用存储在移动设备上的密钥进行加密，以防止服务器上的数据泄露。所有这些修改都提高了该方案对恶意用户和权威机构的隐私性。然而，与ROBERT的第一个版本一样，风险评分和通知仍然由卫生当局的服务器管理和控制，这提供了高鲁棒性，灵活性和有效性。
2020-08-04 cs.CR
Blockchain Meets COVID-19: A Framework for Contact Information Sharing and Risk Notification System
COVID-19是人类历史上严重的全球性流行病。尽管有特定的药物和疫苗来遏制这一流行病，但追踪和隔离感染源是减缓病毒传播、降低感染率和死亡率的最佳选择。现有的接触者追踪系统有三个缺点：1。用户数据存储在集中式数据库中，该数据库可能被窃取和篡改，2.用户的机密个人身份可能会泄露给第三方或组织，3.现有的接触者追踪系统仅关注从一个维度的信息共享，例如基于位置的追踪，这大大限制了此类系统的有效性。我们提出了一个利用区块链、智能合约和蓝牙的全球COVID-19信息共享和风险通知系统。为了保护用户隐私，我们设计了一个新的基于区块链的平台，可以从多个维度共享一致且不可篡改的联系人跟踪信息，例如基于位置的间接联系人和基于蓝牙的直接联系人。分层智能合约架构还旨在实现用户关于如何处理和利用用户数据的全球协议，从而提高数据使用的透明度。此外，我们提出了一种机制，从多个方面来保护用户身份隐私。更重要的是，我们的系统可以通过智能合约通知用户风险暴露。我们实现了一个原型系统进行广泛的测量，以证明我们的系统的可行性和有效性。
2022-02-01 cs.CR cs.NI
CoVista: A Unified View on Privacy Sensitive Mobile Contact Tracing Effort
世界各国政府对科技巨头主宰公共卫生政策越来越感到沮丧。苹果和谷歌开发的软件使个人能够通过整理的暴露通知来跟踪自己的潜在暴露。然而，同一软件禁止位置跟踪，拒绝提供公共卫生官员进行强有力的合同跟踪所需的关键信息。这些信息是治疗和隔离COVID-19阳性人群、识别传播热点和防止感染持续传播所必需的。在本文中，我们提出了两个简单的想法：灯塔和covid-commons，它们满足了公共卫生当局的需求，同时保留了苹果和谷歌暴露通知协议的隐私敏感目标。
2020-05-27 cs.CR cs.CY
Epidemic Exposure Notification with Smartwatch: A Proximity-Based Privacy-Preserving Approach
Hong Kong University of Science and Technology（香港科技大学）；University of Guelph（圭尔夫大学）；University of Toronto（多伦多大学）
为应对疫情后的世界而规划的企业正在寻找创新的方法来保护员工和客户的健康和福利。无线技术可以在协助追踪接触者方面发挥关键作用，以迅速阻止当地感染爆发并防止进一步传播。在这项工作中，我们提出了一种基于智能手表的可穿戴式接近和暴露通知解决方案，该解决方案还可以在商业，酒店或娱乐设施中促进安全的物理距离。我们的基于接近度的隐私保护联系人跟踪（P $^3$ CT）利用蓝牙低功耗（BLE）技术实现可靠的接近感测，并利用环境签名协议来保护身份。接近感测利用接收信号强度（RSS）来检测用户的交互，从而将他们分类为相对于被诊断患有传染病的患者的低风险或高风险。更确切地说，基于用户与患者的距离和时间方面的交互来通知用户他们的暴露。我们的隐私保护协议使用环境签名，以确保用户的身份是匿名的。我们通过大量的实验证明了我们提出的解决方案的可行性。
2020-07-08 cs.CR cs.HC cs.LG
SonicPACT: An Ultrasonic Ranging Method for the Private Automated Contact Tracing (PACT) Protocol
在COVID-19大流行期间，多个国家已开发并发布接触者追踪和暴露通知智能手机应用程序（应用程序），以帮助减缓疾病的传播。为了支持这些应用程序，Apple和Google已经发布了曝光通知应用程序编程接口（API），以使用蓝牙低功耗（BLE）信标来推断设备（用户）的接近程度。私人自动接触追踪（PACT）团队已经表明，仅使用BLE无线电信号准确估计设备之间的距离是具有挑战性的。本文描述了SonicPACT协议的设计和实现，该协议在商用iOS和Android智能手机上使用近超声波信号，通过飞行时间测量来估计距离。该协议允许Android和iOS设备进行互操作，增强和改进当前的暴露通知API。我们的初步实验结果是有希望的，这表明苹果和谷歌应该考虑实施SonicPACT。
2020-12-08 cs.CR cs.CY cs.NI
DEMO: Extracting Physical-Layer BLE Advertisement Information from Broadcom and Cypress Chips
多项倡议建议利用蓝牙低功耗（BLE）广告进行接触者追踪和SARS-CoV-2暴露通知。此演示展示了一个分析BLE广告的研究工具;如果供应商普遍启用，未发现的功能可以改善每个人的暴露通知。我们对Broadcom和Cypress芯片上BLE广告的固件内部实现进行了逆向工程，并展示了如何在接收器处提取进一步的物理层信息。分析的固件适用于数亿台设备，例如所有iPhone，欧洲三星Galaxy S系列和Raspberry Pis。
2020-05-29 cs.CR
Privacy Guarantees of BLE Contact Tracing: A Case Study on COVIDWISE
谷歌和苹果联合推出了一项数字接触者追踪技术和一个名为“暴露通知”的API，以帮助卫生组织和政府进行接触者追踪。这项技术及其与安全和隐私限制的相互作用需要调查。在这项研究中，我们通过实际和典型的场景（以及预期的典型对手）以及非常现实的用例来检查和分析该技术的安全性，隐私性和可靠性。我们在弗吉尼亚州的COVIDWISE应用程序的背景下进行了实验分析。该实验分析验证了系统在上述条件下的属性，这一结果对于采用曝光通知技术的当局的安心至关重要，也可能有助于系统的透明度和整体用户信任。
2021-12-16 cs.CR cs.SY eess.SY
The evolving ecosystem of COVID-19 contact tracing applications
自新型冠状病毒COVID-19爆发以来，人们对使用数字接触追踪作为阻止病毒传播链的手段越来越感兴趣，这引起了隐私倡导者的警觉。关于这项技术的道德，最近的研究主要集中在（1）道德接触追踪指南的形成，（2）具体实施的分析，或（3）对选定数量的接触追踪应用程序及其相关的隐私或道德影响的审查。在这项研究中，我们对COVID-19追踪应用不断发展的生态系统进行了全面调查，检查了152个接触者追踪应用，并评估了它们在多大程度上符合现有的道德接触者追踪指南。评估标准涵盖的领域包括数据汇集和存储、透明度和同意，以及实施是否开源。我们发现，尽管在疫情初期发布的许多应用程序没有达到最佳做法，但在苹果/谷歌发布接触通报协议后，最近发布的应用程序往往更符合道德接触者追踪原则。该数据集将向公众开放，并可能随着疫情的持续而更新。
2021-03-19 cs.CR cs.CY cs.HC
Experimental Analysis of Subscribers' Privacy Exposure by LTE Paging
在过去的几年中，相当多的注意力已经被给予了个人在无线环境中的隐私。尽管LTE比前几代移动网络有了显著改进，但它仍然暴露出攻击者可以利用的漏洞。这可能是针对特定订户的寻呼消息、唤醒通知的情况，并且其通过无线电接口以明文广播。如果没有正确实现，寻呼消息可能会暴露用户的身份，并进一步提供有关其位置的信息。因此，移动网络运营商必须遵守这些建议，并实施适当的机制来减轻攻击。在本文中，我们通过实验验证，寻呼消息可以捕获和解码，使用最少的技术技能和公开可用的工具。此外，我们提出了一个通用的实验方法来测试隐私暴露的LTE寻呼消息，我们进行了案例研究，对三个不同的LTE移动运营商。
2018-07-30 cs.CR
Safer Illinois and RokWall: Privacy Preserving University Health Apps for COVID-19
COVID-19从根本上扰乱了我们的生活方式。世界各地的政府机构、大学和公司正在迅速开发技术，以抗击COVID-19大流行并安全地重新开放社会。接触追踪、超级传播者事件检测和曝光映射等基本分析工具需要收集和分析敏感的用户信息。越来越多地使用这种强大的数据驱动的应用程序需要一个安全的，隐私保护的基础设施，对个人数据的计算。在本文中，我们分析了伊利诺伊大学厄巴纳-香槟分校正在开发的两个这样的计算基础设施，以跟踪和减缓COVID-19的传播。首先，我们介绍了更安全的伊利诺伊州，一个分散的健康分析系统，支持目前广泛采用的两个应用程序：数字接触追踪和COVID-19状态卡。其次，我们介绍了RokWall架构，用于对敏感用户数据进行隐私保护的集中式数据分析。我们将讨论这些系统的架构、设计选择、考虑的威胁模型以及我们在开发用于敏感数据分析的生产就绪系统时遇到的挑战。
2021-03-17 cs.CR cs.CY
Assessing Disease Exposure Risk with Location Data: A Proposal for Cryptographic Preservation of Privacy
世界各地的政府和研究人员正在实施数字接触者追踪解决方案，以阻止传染病（即COVID-19）的传播。其中许多解决方案威胁到个人权利和隐私。我们的目标是打破有效与保护隐私的联系人追踪的错误二分法。我们提供了一种替代方法来评估和传达用户接触传染病的风险，同时保护个人隐私。我们的建议使用最近的GPS位置的历史，这是转换和加密，和一个私人集合相交协议接口与半信任的权威。最近还有其他基于蓝牙和去中心化的隐私保护联系人追踪建议，可以进一步消除对权威的信任。然而，蓝牙解决方案目前仅限于某些设备和环境，而分散化增加了复杂性。这项工作的目标是双重的：我们的目标是提出一个基于位置的系统，它比世界各国政府目前采用的系统更能保护隐私，而且也可以立即实施，以阻止病毒爆发。
2020-04-08 cs.CR cs.CY
Protecting Privacy and Transforming COVID-19 Case Surveillance Datasets for Public Use
目的：促进联邦收集数据共享的联邦开放数据计划对于透明度，数据质量，信任以及与公众和州，部落，地方和领土（STLT）合作伙伴的关系非常重要。这些举措通过向更多的研究人员、科学家和政策制定者提供数据，以供分析、协作和在疾病预防控制中心应急人员之外的有价值的使用，来促进对健康状况和疾病的了解。对于新出现的情况（如COVID-19），尤其如此，我们有很多东西要学习，并有不断变化的数据需求。自疫情爆发以来，CDC已经从司法管辖区收集了个人级别的去识别数据，目前有超过800万条记录，每天都在增加。本文介绍了CDC如何从这些收集的数据中设计和生成两个去识别的公共数据集。材料与方法：根据有用性、公众要求和隐私影响纳入数据元素;抑制特定字段值以降低重新识别和暴露机密信息的风险。使用数据管理平台分析工具以及R脚本创建并验证数据集的隐私性和机密性。结果：不受限制的数据可通过Data.CDC.gov向公众提供，而受限制的数据（带有额外字段）可通过GitHub.com上的私有存储库通过数据使用协议提供。实践启示：对可用的公共数据、用于创建这些数据的方法以及用于保护去身份化个人隐私的算法的丰富理解允许改进数据使用。自动化数据生成程序允许更大和更及时地共享数据。
2021-01-13 cs.CR cs.CY
Contact Tracing Mobile Apps for COVID-19: Privacy Considerations and Related Trade-offs
接触者追踪是公共卫生官员和当地社区抗击新型疾病传播（如COVID-19大流行）的重要工具。新加坡政府刚刚发布了一款名为TraceTogether的手机应用程序，旨在帮助卫生官员在发现感染者后追踪暴露情况。然而，这种跟踪应用程序的存在对隐私有重要的影响。在这里，我们分析了其中的一些影响，并讨论了改善隐私问题的方法，而不减少对公共卫生的有用性。我们希望通过撰写本文档来确保隐私是围绕移动联系人追踪应用程序的对话的核心特征，并鼓励社区努力开发具有更强隐私保护的替代有效解决方案。重要的是，尽管我们讨论了可能的修改，但本文档并不意味着正式的研究论文，而是对TraceTogether等直接接触追踪应用程序的一些隐私特征的回应，以及对社区的早期评论请求。撰写日期：2020-03-24轻微更正：2020-03-30
2020-03-30 cs.CR
The Fallibility of Contact-Tracing Apps
自COVID-19全球传播开始以来，我们一直在关注围绕接触者追踪应用程序的辩论-这是对大流行病的技术支持反应。当企业、学术界、政府和民间社会讨论如何正确实施这些应用程序时，我们注意到反复出现的隐含假设。拟议的解决方案是为这样一个世界而设计的：互联网接入和智能手机所有权是既定的，人们愿意并能够安装这些应用程序，那些收到有关潜在暴露于病毒的通知的人可以进行测试并安全隔离。在这项工作中，我们挑战这些假设。我们不仅表明，全球没有足够的智能手机达到所需的采用门槛，而且还强调了互联网接入的广泛缺乏，这对某些群体的影响更大：老年人，低收入者和社交能力有限的人。不幸的是，这些群体也是COVID-19风险最高的群体。我们还报告说，已经在选择性基础上部署的联系人跟踪应用程序显示出令人失望的采用水平。我们警告过度扩大现有国家和企业监控权力的潜在后果。最后，我们描述了许多情况下，联系人跟踪应用程序将无法帮助，无论访问或政策。在这项工作中，我们呼吁采取全面和公平的政策应对措施，优先考虑最弱势群体的需求，保护人权，并考虑长期影响，而不是专注于技术先行。
2020-05-27 cs.CR cs.CY cs.SI
A note on blind contact tracing at scale with applications to the COVID-19 pandemic
当前的COVID-19大流行突出了接触者追踪的效用，结合病例隔离和社交距离，作为减缓疾病传播的重要工具[1]。接触者追踪提供了一种机制，可以查明以前接触传染病的可能性很高的个人，从而可以采取额外的预防措施，防止继续传播。在这里，我们考虑一种基于安全两方计算（2 PC）的密码方法来进行接触跟踪。我们首先考虑的问题，比较一组由双方持有的位置历史，以确定他们是否在一定的阈值距离内，而在同一时间保持隐私的位置历史。我们提出了一个使用预共享密钥的解决方案，该方案改编自Ishai等人的平等测试协议[2]。我们讨论了如何使用该协议来维护隐私的实际联系人跟踪方案，包括基于应用程序的方法和方法，利用电信和互联网服务提供商持有的位置历史。我们研究了这种方法的效率，并表明现有的基础设施足以支持国家一级的匿名接触者追踪。
2020-04-10 cs.CR
Saving Brian's Privacy: the Perils of Privacy Exposure through Reverse DNS
考虑到隐私的重要性，现在许多互联网协议都是在考虑隐私的情况下设计的（例如，使用TLS进行保密）。然而，在协议设计时预见所有隐私问题是具有挑战性的，并且当发生超出协议界限的交互时可能变得几乎不可能。当DHCP交换伴随着对全局DNS的自动更改（例如，为分配的IP地址动态添加主机名）。正如我们将证实的那样，这是一种隐私风险：人们可能能够从互联网上几乎任何地方推断设备的存在和网络动态-甚至识别和跟踪个人-即使其他限制外人跟踪的机制（例如，阻塞ping）就位。我们提出了第一个同类研究这种风险。我们确定网络暴露客户端标识符在反向DNS记录和研究客户端的存在和所述记录之间的关系。我们的研究结果显示了很强的联系：在10个案例中，有9个案例的记录最多停留一个小时，对于学术，企业和ISP网络的选择。我们还展示了如何通过跟踪一个叫布莱恩的人所拥有的设备来学习客户模式和网络动态，揭示了与COVID-19相关的在家工作措施导致的工作模式的变化，并确定了实施抢劫的好时机。
2022-09-20 cs.CR cs.NI
Quest: Practical and Oblivious Mitigation Strategies for COVID-19 using WiFi Datasets
接触者追踪已成为防止COVID-19等流行病传播的主要缓解策略之一。最近，已经发起了若干努力来使用技术跟踪个人、他们的运动和交互，例如，蓝牙信标、蜂窝数据记录和智能手机应用程序。这样的解决方案通常是侵入性的，可能侵犯个人隐私权，并且通常受到法规的约束（例如，GDPR和CCPR），要求需要选择加入政策来收集和使用个人信息。在本文中，我们介绍了Quest，一个系统，使组织能够观察个人和空间，以被动和隐私保护的方式使用WiFi连接数据实施社交距离和联系人追踪政策。目标是确保组织中员工和占用者的安全，同时保护各方的隐私。Quest结合了计算和信息理论上的安全协议，防止对手获得个人位置历史的知识（基于WiFi数据）;它包括支持准确识别在确诊患者附近的用户，然后通过选择机制通知他们。Quest支持一系列支持隐私保护的应用程序，以确保遵守社交距离、监控空间中的人员流动、识别可能受影响的区域并发出暴露警报。我们描述的体系结构，设计选择，并在Quest的建议的安全/隐私技术的实施。我们还验证了探索的实用性，并通过在加州大学欧文分校的实际校园规模部署超过50 M元组的一个非常大的数据集，彻底评估它。
2020-05-05 cs.CR cs.DB cs.DC
