新冠肺炎疫情下接觸者追蹤的隱私風(fēng)險(xiǎn)及保護(hù)

王 冬, 徐正全

(1. 杭州電子科技大學(xué) 網(wǎng)絡(luò)空間安全學(xué)院, 杭州 310018； 2. 武漢大學(xué) 測(cè)繪遙感信息工程國家重點(diǎn)實(shí)驗(yàn)室, 武漢 430079)

0 引 言

世界衛(wèi)生組織在2020年1月30日宣布冠狀病毒COVID-19已經(jīng)爆發(fā)為國際關(guān)注的公共衛(wèi)生緊急疫情[1]。自2019年11月17日第1例COVID-19病例以來[2], 全球累計(jì)病例數(shù)近1億人, 截至2021年2月, 已有260萬人死于新冠肺炎[3]。

在病毒大流行期間, 大量的與病毒傳播有關(guān)的數(shù)據(jù)正在被收集和分析, 例如, 患病者的年齡, 疾病史, 地點(diǎn), 肺部CT等數(shù)據(jù)。通過這些數(shù)據(jù), 并利用先進(jìn)的計(jì)算和分析技術(shù), 在控制COVID-19傳播中發(fā)揮了強(qiáng)大的作用。同時(shí)由于所收集的數(shù)據(jù), 包括健康數(shù)據(jù)和病史、 大規(guī)模監(jiān)控、 聯(lián)系人追蹤和社會(huì)關(guān)系, 通常包含個(gè)人身份信息, 從而使個(gè)人隱私存在泄露的風(fēng)險(xiǎn)。歐盟議會(huì)在一份新聞稿中指出: “這些工具的使用可能會(huì)嚴(yán)重干擾人們私生活的基本權(quán)利和個(gè)人數(shù)據(jù)的保護(hù), 相當(dāng)于對(duì)個(gè)人的監(jiān)控狀態(tài)”[4]。如何平衡隱私保護(hù)與個(gè)人數(shù)據(jù)收集和發(fā)布, 用以監(jiān)測(cè)大流行和改善公共衛(wèi)生已經(jīng)引起了許多學(xué)者的研究興趣, 并且隨著社會(huì)的發(fā)展, 在面向類似的大規(guī)模的疫情爆發(fā)時(shí)也將是一個(gè)持續(xù)探討的主題。各國政府、 學(xué)術(shù)界和工業(yè)界已經(jīng)合作尋找解決這個(gè)問題的有效方法[5-10]。目前, 各國為遏制疫情做出了各種努力, 而疫苗和藥物的開發(fā)至關(guān)重要, 目前我國已經(jīng)自主研發(fā)出了新冠病毒疫苗, 政府目標(biāo)是預(yù)計(jì)到今年年底前, 完成至少70%的目標(biāo)人群接種, 這在不久的將來很快實(shí)現(xiàn)[11]。

新冠肺炎大流行期間收集的各種類型的信息可能會(huì)導(dǎo)致隱私問題。根據(jù)數(shù)據(jù)類型的不同, 緩解隱私問題的方法和措施可能會(huì)有所不同。筆者重點(diǎn)關(guān)注由位置和接觸人跟蹤數(shù)據(jù)收集和共享引起的隱私問題。

1 新冠肺炎大流行中的接觸者追蹤

追蹤接觸者是遏制大流行的一個(gè)相當(dāng)重要的概念。其目的是識(shí)別并隨后隔離可能是病毒攜帶者的人。由于感染者感染病毒的潛伏期約為3 d, 而初始癥狀最早也要在5 d后才會(huì)出現(xiàn), 甚至更晚才會(huì)被診斷, 因此在這段時(shí)間內(nèi), 病毒攜帶者會(huì)繼續(xù)傳播。為此, 了解已被確定為病毒攜帶者的接觸者, 是有效抑制潛在攜帶者傳播的重要方法。通常無癥狀是感染擴(kuò)散的第2個(gè)關(guān)鍵原因。在這種情況下, 接觸者追蹤可通過與有癥狀的患者接觸識(shí)別無癥狀的攜帶者, 接觸者追蹤和隨后的隔離消除了病毒傳播的源頭, 并且不依賴于傳染源。立即檢測(cè)和確定接觸者可在檢測(cè)結(jié)果呈陽性時(shí)識(shí)別進(jìn)一步接觸者。如果結(jié)果為陰性, 則在潛伏期后重復(fù)檢測(cè), 如果出現(xiàn)第2次結(jié)果為陰性, 則解除隔離。

雖然接觸追蹤已被證明有助于追蹤和減緩COVID-19的傳播, 并在抗擊這種流行病方面發(fā)揮重要作用, 但華盛頓郵報(bào)、 福布斯和路透社等主要報(bào)紙以及有些國家政府機(jī)構(gòu)對(duì)接觸追蹤相關(guān)的高隱私風(fēng)險(xiǎn)提出了警告。在接觸追蹤期間收集的信息通常包括非常詳細(xì)和頻繁的位置數(shù)據(jù), 這導(dǎo)致推斷個(gè)人的私人生活和健康狀況變成可能。眾所周知, 位置是人們身份的高度暴露數(shù)據(jù), 比如De等[12]在2013年對(duì)150萬人進(jìn)行了為期15個(gè)月的研究發(fā)現(xiàn), 4個(gè)時(shí)空移動(dòng)性數(shù)據(jù)點(diǎn)足以識(shí)別95%的人。

當(dāng)前世界各國已經(jīng)開發(fā)和部署了聯(lián)系追蹤軟件或移動(dòng)應(yīng)用程序, 對(duì)隱私問題產(chǎn)生了不同程度的警覺。表1給出了有些國家政府的聯(lián)系追蹤應(yīng)用程序和軟件的例子, 按照所使用的技術(shù)和政府在數(shù)據(jù)收集和信息共享過程中的參與程度進(jìn)行了分類： 包括使用全球定位系統(tǒng)(GPS)數(shù)據(jù)的聯(lián)系人跟蹤應(yīng)用程序和一些軟件收集用戶的位置數(shù)據(jù), 而基于藍(lán)牙的技術(shù)大多只需要用戶之間的相對(duì)速度-空間接近度。從這個(gè)意義上說, 基于藍(lán)牙的方法比基于全球定位系統(tǒng)的方法收集的私人信息少。在全球定位系統(tǒng)或基于藍(lán)牙的方法中, 可以部署集中式或去中心化模型收集和存儲(chǔ)數(shù)據(jù), 共享信息, 并提醒用戶潛在的新冠肺炎的暴露。然而, 這兩種模型在匿名程度和為數(shù)據(jù)貢獻(xiàn)者實(shí)現(xiàn)隱私保護(hù)的方法上有所不同。

表1 COVID-19接觸者追蹤應(yīng)用程序和軟件示例

對(duì)集中式模型, 聯(lián)系追蹤數(shù)據(jù)由某些機(jī)構(gòu)(如衛(wèi)生當(dāng)局或地方政府)收集、 整合并與目標(biāo)人群共享。從這個(gè)意義上講, 集中模式的運(yùn)作就像一個(gè)大規(guī)模的監(jiān)控系統(tǒng), 從收集每個(gè)人數(shù)據(jù), 無論是健康的還是患病的, 政府分發(fā)給所有的個(gè)人唯一的標(biāo)識(shí)符, 并知道向哪些目標(biāo)用戶提供某些信息。但就隱私而言, 集中式模型在與政府共享信息方面, 用戶并沒有隱私可言, 他們只需相信政府會(huì)保護(hù)他們的數(shù)據(jù)安全和隱私。相比之下, 對(duì)去中心化模式, 沒有必要通過中央服務(wù)器收集或存儲(chǔ)每個(gè)人的信息。那些未檢測(cè)或檢測(cè)結(jié)果為陰性的人的位置和聯(lián)系信息被存儲(chǔ)并在他們各自的設(shè)備上進(jìn)行本地處理, 他們可以選擇通過公共平臺(tái)(如包含權(quán)威機(jī)構(gòu)建立的新冠肺炎熱點(diǎn)信息的網(wǎng)站)檢查他們是否與感染者有過交集。通常情況下, 該網(wǎng)站上共享的信息已經(jīng)經(jīng)歷了一些類型的數(shù)據(jù)匿名化、 模糊化、 或整合正式隱私概念的處理?？傊? 與集中式模型相比, 去中心化模型為個(gè)人提供了更高級(jí)別的隱私保護(hù)。

2 基于全球定位系統(tǒng)GPS的接觸跟蹤方案

基于全球定位系統(tǒng)的應(yīng)用程序是全天候地從收集個(gè)人帶有時(shí)間戳的全球定位系統(tǒng)數(shù)據(jù)。如果收集的GPS數(shù)據(jù)表明兩個(gè)人在某個(gè)時(shí)間非常接近, 并且如果其中某人被檢測(cè)為新冠肺炎陽性, 則另一個(gè)人將收到政府關(guān)于接觸事件的通知, 或通過在本地檢查授權(quán)人自己公開發(fā)布的聯(lián)系追蹤信息發(fā)現(xiàn)本人跟陽性患者有過接觸, 并將接受自我隔離。即政府收集和共享信息的方式分化出了集中化和去中心化模式。

中國的支付寶健康碼就是一個(gè)集中模式的例子。支付寶健康碼為個(gè)人分配一個(gè)彩色二維碼(綠色、 黃色、 紅色), 代表個(gè)人的健康狀況。綠色代碼表示最高級(jí)別的健康, 個(gè)人可以不受限制地去任何地方； 紅色代表高風(fēng)險(xiǎn), 需要2周隔離, 黃色代表1周隔離。色碼的確定通?；趥€(gè)人的運(yùn)動(dòng)軌跡歷史, 如果該人去過新冠肺炎的某個(gè)熱點(diǎn)地區(qū), 則該人就有很大的感染概率, 并有可能收到紅色或黃色代碼。每次掃描個(gè)人二維碼時(shí), 關(guān)于當(dāng)前位置的信息都會(huì)被發(fā)送到屬于某些機(jī)構(gòu)的一些服務(wù)器上, 從而使這些機(jī)構(gòu)能跟蹤人們隨時(shí)間的移動(dòng)。此外, 該應(yīng)用程序通常要求用戶使用他們唯一的身份信息進(jìn)行注冊(cè), 如身份證號(hào)碼、 姓名和電話號(hào)碼。同中國類似, 韓國開發(fā)了Corona 100m (Co100) app作為集中式模型。該應(yīng)用程序使用政府收集的位置數(shù)據(jù), 當(dāng)用戶接近到一名新冠肺炎患者最近訪問的位置100 m范圍內(nèi)時(shí), 向用戶發(fā)出警告。

Safepaths是麻省理工學(xué)院團(tuán)隊(duì)開發(fā)的的隱私保護(hù)平臺(tái), 是去中心化模式的一個(gè)典型例子。它包括一個(gè)智能手機(jī)應(yīng)用程序PrivateKit和一個(gè)網(wǎng)絡(luò)應(yīng)用程序SafePlaces。安全地點(diǎn)共享受感染人員的匿名和模糊的位置歷史記錄, 位置工具包允許用戶將他們的個(gè)人位置歷史記錄與安全地點(diǎn)上的共享信息進(jìn)行匹配。換句話說, 健康的人不用與政府分享或報(bào)告就能在本地保存自己的運(yùn)動(dòng)軌跡日志。然而, 一旦某人的新冠肺炎檢測(cè)呈陽性, 她的位置歷史信息將被報(bào)告給政府。因?yàn)槲恢脷v史包含私人信息, 其中一些甚至與新冠肺炎追蹤無關(guān)(例如： 個(gè)人大部分時(shí)間呆在家中的位置, 暴露了家的位置), 這些信息在被放入安全地點(diǎn)前通常會(huì)被編輯或模糊, 用戶可以將他們的運(yùn)動(dòng)軌跡日志與那些被感染的人進(jìn)行比較, 以查看他們是否曾經(jīng)遇到過或去過感染者所去的地方。以色列開發(fā)了HaMage應(yīng)用程序(HaMage是希伯來語中盾牌的意思), 其想法與Safepaths平臺(tái)相似, 它允許用戶的全球定位系統(tǒng)數(shù)據(jù)與政府統(tǒng)計(jì)的新冠肺炎熱點(diǎn)地區(qū)流行病學(xué)位置數(shù)據(jù)庫進(jìn)行本地比較, 從而讓居民自行比對(duì)去過的軌跡。

基于全球定位系統(tǒng)的接觸追蹤方案中的集中式和去中心化模型如圖1所示。集中式模型使用患者和健康用戶的唯一標(biāo)識(shí)符跟蹤位置和聯(lián)系信息以及健康狀態(tài)。該方案潛在的隱私風(fēng)險(xiǎn)是顯而易見的。首先, 在某些情況下, 當(dāng)在診斷前幾周內(nèi)廣播她的位置歷史時(shí), 就很難對(duì)感染者的身份進(jìn)行保密, 尤其是當(dāng)感染者最近與健康人近距離互動(dòng)的次數(shù)比較多時(shí)。其次, 它使警報(bào)和通知系統(tǒng)更加依賴于個(gè)人的位置數(shù)據(jù), 這種精確度是以個(gè)人隱私受損為代價(jià)的。在集中式模型中必須要保證政府是完全可信的情況下, 才能使收集到的位置數(shù)據(jù)保持其數(shù)據(jù)的私密性和安全性。而去中心化模式僅收集位置信息, 并從報(bào)告的新冠肺炎患者共享該信息的匿名版本。因此, 對(duì)患者的隱私保護(hù)水平更高。此外, 去中心化模式不收集健康人的位置軌跡信息, 只會(huì)在公共論壇上分享關(guān)于新冠肺炎熱點(diǎn)的信息, 沒有針對(duì)特定個(gè)人的具體目標(biāo)。換句話說, 每個(gè)人都可以去網(wǎng)站或平臺(tái)上察看熱點(diǎn)在哪里, 而不必注冊(cè)自己的個(gè)人信息。因此, 在健康人的去中心化模式中, 隱私問題相對(duì)較少。另一方面, 在沒有個(gè)性化警報(bào)的情況下, 去中心化模式將根據(jù)用戶的自我發(fā)起和主動(dòng)回復(fù)到公共信息共享論壇, 以檢查他們最近是否到過任何感染熱點(diǎn), 如果是, 則進(jìn)行自我隔離。

a 基于全球定位系統(tǒng)的集中模式的例子 b 基于全球定位系統(tǒng)的分散模式的例子圖1 基于GPS的聯(lián)系人追蹤方案Fig.1 GPS-based contact-tracing schemes

在開發(fā)基于全球定位系統(tǒng)的聯(lián)系人跟蹤應(yīng)用程序和軟件時(shí), 隱私保護(hù)的標(biāo)識(shí)符可以包含在集中式和去中心化模型中。例如, Sweeney[22]在2002年引入的k-匿名模型, 通過在這些屬性的每個(gè)交叉列表中產(chǎn)生k≥1的“同質(zhì)”個(gè)體用于隱藏詳細(xì)的位置信息或偽標(biāo)識(shí)符。地理不可區(qū)分性(Geo-indistinguishability)是Andrés等[23]在2013年提出的一個(gè)正式的位置隱私概念, 是由Dwork等[24]在2006年提出的差分隱私概念的在位置數(shù)據(jù)方面的擴(kuò)展, 并可用于生成擾動(dòng)后的位置信息。無論在向公眾或目標(biāo)人群發(fā)布和共享信息之前使用哪種正式的隱私符號(hào)編輯數(shù)據(jù), 聯(lián)系人跟蹤的準(zhǔn)確性都會(huì)受到影響。

3 基于藍(lán)牙的合同追蹤方案

與基于全球定位系統(tǒng)的隱私保護(hù)方案不同, 基于藍(lán)牙的聯(lián)系人跟蹤應(yīng)用程序不會(huì)從用戶收集準(zhǔn)確的位置信息。從這個(gè)意義上說, 用戶的隱私能得到保護(hù), 不用擔(dān)心他們的行蹤被全天候監(jiān)控。此外, 藍(lán)牙比基于GPS的應(yīng)用程序具有更高的聯(lián)系人跟蹤精度。藍(lán)牙信號(hào)不會(huì)反彈, 也不會(huì)穿過大多數(shù)軟墻, 這有助于避免誤認(rèn)為近距離的兩個(gè)人會(huì)發(fā)生“接觸”事件, 例如當(dāng)實(shí)際上兩個(gè)聯(lián)系人分別在被墻隔開的兩個(gè)不同房間時(shí), 但基于GPS的追蹤將被隔開兩人誤認(rèn)為有接觸, 從而造成誤判。

在基于藍(lán)牙的聯(lián)系人追蹤方案中, 利用藍(lán)牙技術(shù)收集兩個(gè)人是否同時(shí)出現(xiàn)在6英尺內(nèi)的同一位置的信息。每個(gè)應(yīng)用程序用戶都會(huì)生成隨時(shí)間t變化的隨機(jī)令牌序列(token), 這些令牌存儲(chǔ)在其設(shè)備上。2個(gè)令牌之間的時(shí)間間隔不能太頻繁, 以免給用戶造成計(jì)算或存儲(chǔ)困難, 也不能不頻繁, 以免跟蹤無效或引發(fā)隱私問題。如果兩個(gè)用戶同時(shí)出現(xiàn)在彼此6英尺以內(nèi), 他們會(huì)在此時(shí)交換令牌, 令牌存儲(chǔ)在其聯(lián)系人令牌集中。如果一個(gè)用戶被診斷為新冠肺炎, 比如在接觸事件發(fā)生后的2周內(nèi), 則其將與衛(wèi)生局共享其過去2周的接觸令牌集合, 衛(wèi)生局隨后將開發(fā)一些警報(bào)和通知系統(tǒng)通知可能與受感染者共享接觸事件的人。衛(wèi)生局收集和共享信息的方式分別分化成了集中化和去中心化模式。

新加坡開發(fā)的基于藍(lán)牙的手機(jī)應(yīng)用TraceTogether就是這種集中式方法的一個(gè)例子。在這個(gè)模型中(見圖2), 不論用戶的健康狀況如何, 所有應(yīng)用程序用戶都需要向政府報(bào)告他們的令牌(用{a0,a1,…},{b0,b1,…}表示)以及他們的電話號(hào)碼。如果某人被診斷出患有新冠肺炎病, 則其會(huì)向政府報(bào)告他的健康狀況, 并共享他的聯(lián)系令牌(用{bc,0,bc,1,…,bc,t,…}表示)。然后, 管理機(jī)構(gòu)將聯(lián)系令牌集中的每個(gè)令牌與他們的令牌數(shù)據(jù)庫進(jìn)行匹配, 并通過他們的電話聯(lián)系人向用戶發(fā)出匹配警報(bào)。

在集中式模型中, 受感染個(gè)體的健康狀態(tài)的隱私風(fēng)險(xiǎn)類似于基于全球定位系統(tǒng)的方案中的集中式模型。此外, 由于政府有每個(gè)用戶的電話號(hào)碼, 這是一個(gè)唯一的標(biāo)識(shí)符, 可用于鏈接到其他數(shù)據(jù)庫, 這些數(shù)據(jù)庫可能包含用戶的敏感信息。同樣類似于基于全球定位系統(tǒng)的系統(tǒng)中的集中式模型, 用戶只能信任政府或衛(wèi)生局授權(quán)的安全和隱私。

圖2 基于藍(lán)牙的集中化聯(lián)系人追蹤模型Fig.2 Example of bluetooth-based centralized model

Covid Watch、 PACT(Private Automated Contact Tracing)、 COVID safe應(yīng)用程序和PEPP-PT(Pan-European Privacy-Preserving Proximity Tracing)軟件是利用藍(lán)牙技術(shù)的去中心化方法的例子。Covid Watch應(yīng)用程序代表了來自各國(美國、 加拿大、 澳大利亞等)400多名志愿者的努力, 并通過私人和本地藍(lán)牙信號(hào)發(fā)送匿名隱私保護(hù)新冠肺炎暴露警報(bào)。PACT是由麻省理工學(xué)院與各國的研究人員合作開發(fā)的, 不僅收集關(guān)于二元接觸事件的信息, 而且收集關(guān)于接觸事件的距離和持續(xù)時(shí)間的信息。COVID safe是澳大利亞政府用于聯(lián)系追蹤的應(yīng)用程序。PEPP-PT是一個(gè)更大的軟件系統(tǒng), 有許多獨(dú)立的組件, 并對(duì)可能的暴露發(fā)出警報(bào)。在去中心化模型中(見圖3), 政府只收集新冠肺炎患者的口令, 如果某人被診斷出患有新冠肺炎, 則該人就會(huì)從當(dāng)局那里獲得一個(gè)許可號(hào)碼, 然后與公共數(shù)據(jù)庫共享該號(hào)碼以及其歷史聯(lián)系事件號(hào)碼, 然后公共數(shù)據(jù)庫驗(yàn)證這個(gè)許可號(hào), 并發(fā)布事件號(hào)碼。其他用戶可以將他們的聯(lián)系事件號(hào)碼與公開發(fā)布的聯(lián)系事件號(hào)碼進(jìn)行比較, 如果有匹配, 則他們可能已經(jīng)暴露在病毒中, 需要自我隔離。

對(duì)基于藍(lán)牙的隱私保護(hù)合同跟蹤, 匿名者可以通過在用戶之間隨機(jī)交換生成的隨機(jī)令牌進(jìn)行增強(qiáng), 以更好地防止鏈接隱私攻擊。也有針對(duì)隱私保護(hù)的加密解決方案, 如蘋果和谷歌開發(fā)的技術(shù), 不依賴于可信的服務(wù)器,使用安全的多方計(jì)算等方法[25], 或發(fā)送匿名加密或隨機(jī)消息[26]。

4 結(jié) 語

除了聯(lián)系追蹤中基于技術(shù)的隱私保護(hù)方法外, 數(shù)據(jù)隱私保護(hù)的一些一般原則也適用于新冠肺炎大流行數(shù)據(jù)收集和信息共享。例如, 關(guān)于新冠肺炎的數(shù)據(jù)收集和發(fā)布應(yīng)遵循必要性、 相稱性和透明度。通常允許共享與低個(gè)人重新識(shí)別風(fēng)險(xiǎn)相關(guān)的匿名數(shù)據(jù)或匯總統(tǒng)計(jì)數(shù)據(jù), 如果存在不可忽視的重新識(shí)別風(fēng)險(xiǎn), 或在發(fā)布信息時(shí)需要披露個(gè)人身份, 則政府必須給出這樣做的正當(dāng)理由, 從而最大限度地減少數(shù)據(jù)收集、 限制訪問和僅在必要的最短時(shí)間內(nèi)保留數(shù)據(jù), 也有助于減少新冠肺炎數(shù)據(jù)處理對(duì)隱私的損害。鑒于新冠肺炎前所未有的情況, 當(dāng)涉及數(shù)據(jù)共享時(shí), 同意可能必須采取不同于常規(guī)同意的形式, 特別是當(dāng)一個(gè)人覺得一旦檢測(cè)呈陽性就必須共享她的聯(lián)系和位置歷史時(shí)。

各國政府和研究人員應(yīng)該在新冠肺炎的合同追蹤中致力于隱私保護(hù), 各方(公眾、 學(xué)術(shù)界和工業(yè)界)應(yīng)共同努力, 制定有效的政策和技術(shù), 在收集COVID-19數(shù)據(jù)時(shí)保護(hù)人民的隱私, 以幫助遏制全球流行病。