セキュリティ専門家はAppleとGoogleの接触追跡に懸念を抱いている

Apple と Google は、新型コロナウイルス感染症 (COVID-19) の蔓延を追跡し、おそらくは軽減するのに役立つ可能性のある Bluetooth 接触追跡システムの開発に取り組んでいます。しかし、AppleInsider が話を聞いたセキュリティ専門家は、その有効性を損なう可能性のあるプライバシーと実行について懸念を表明しています。

Apple と Google はどちらも、次のことに注力していることを明らかにしています。コロナウイルス追跡テクノロジーを使ったプライバシーとセキュリティ心の中で。しかし、Bluetooth には Apple や Google が軽減できない固有の制限があり、システムを通じて収集されたデータを扱うサードパーティに対する懸念によってさらに悪化します。

データのプライバシーについて比較的無関心なユーザー、またはパンデミックを阻止するためにデータの一部を犠牲にすることをいとわないユーザーにとって、それは問題ではありません。一方で、モバイル接触追跡のプライバシーとセキュリティプロトコル、特に任意のプロトコルに対する信頼は、人々にそれを使用するよう説得する上で極めて重要になります。たとえそれがすべてを解決するわけではありませんが、このシステムが役立つようになるまでには、乗り越えなければならない大きなハードルがいくつかあり、答えるべき疑問がいくつかあります。

プライバシーとセキュリティの問題

Apple と Google のシステムがどのように機能するかを説明するスライドデッキ。

このシステムは実際には、バックグラウンドで Bluetooth トレースを実行する機能など、それを使用するアプリの特定の Bluetooth 関連機能のロックを解除する API です。プライバシーに関しては、Apple と Google は、一意の Bluetooth 識別子を 10 ～ 15 分ごとに変更するなど、ユーザーを匿名化し、位置情報やその他のデータの大量収集を回避するための措置を講じています。しかし、それでも、システムは必ずしも完全に匿名になるように設計されているわけではありません。

たとえば、これらのローリング近接識別子は、誰かが新型コロナウイルス感染症の検査で陽性反応を示すまで非公開となります。その後、デバイス識別子がリンク可能になり、システムはその暗号化キーのコピーを、そのデバイスに近接したすべてのデバイスに送信します。

これが悪者によってどのように悪用されるかの一例として、元連邦取引委員会の技術者アシュカン・ソルタニ氏が挙げています。与えたこれは、新型コロナウイルス感染症陽性者の身元を明らかにする可能性のある、いわゆる「リンケージ攻撃」の一例です。

「仕様により、スマートフォンは、数分ごとに回転する固有の識別子（ローリング近接識別子）を（Bluetooth経由で）範囲内の誰にでもブロードキャストします」とソルタニ氏は語った。AppleInsider。つまり、システムを使用しないこと以外に、ユーザーがこれを回避するための詳細な制御はありません。

Bluetooth スニファーとビデオ カメラを持っている人が、公共の場所でペアの写真とローリング ID を収集する可能性があるとソルタニ氏は説明します。これらの人々の 1 人が新型コロナウイルス感染症の検査で陽性反応を示した場合、攻撃者はその診断キーと写真およびローリング識別子を組み合わせる可能性があります。

ソルタニ氏は、小売店の位置追跡会社のような十分なリソースを持った攻撃者は、この戦術をより広範囲に拡大し、人の幅広い移動パターンを追跡できる可能性があると付け加えた。研究者は以前、書きましたFTC の小売追跡におけるプライバシーの考慮事項について。

広告テクノロジー（アドテック）や小売追跡企業が新型コロナウイルス感染者を特定できる能力については、暗号学者でシグナルアプリの作成者でもあるモクシー・マーリンスパイク氏も同様の意見を述べた。契約追跡アプリがインストールされているデバイスは毎日の識別子のログを取得するため、ユーザーのデバイスは肯定的な診断を受けるとリンク可能になる可能性があります。基本的に、このシステムは陽性診断が下されるまでのみ非公開となります。

「その時点で、アドテックは（少なくとも）あなたが誰であるか、どこにいたか、そしてあなたが（新型コロナウイルス感染症陽性である）ことを知っているでしょう」とマーリンスパイク氏と書きました。同氏は、Bluetoothのプライバシーは「一歩下がった」ものだと述べている。

もう 1 つの重要な点は、Apple と Google API が現状では必ずしも最終実装ではないということです。代わりに、これは開発者が使用するためのフレームワークです。この場合、開発者は公衆衛生機関になります。

そのため、システムのプライバシーとセキュリティは、モバイル接触追跡アプリの開発者への信頼にかかっています、とサイバーセキュリティ会社ドラゴスの脅威インテリジェンス担当バイスプレジデントであるセルジオ・カルタジローネ氏は述べています。カルタジローネは語ったAppleInsiderAppleとGoogleが提供する暗号仕様は「実装ではデータを保存したり関連付けたりしてはならないと述べているだけで、追加の制御は提供していない。公衆衛生データと悪用の可能性に関しては大きな信頼を置いている」と述べた。

同氏は、自身のセキュリティ経験から、一般的な演習は、あらゆる仕様を取得して「しなければならない」または「してもよい」という単語を検索し、「もしそうでなかったらどうなるか?」と尋ねることであると述べました。カルタジローネは、これを暗号で保証されたプライバシーではなく、「信仰に基づいた」プライバシーと呼んでいます。

一部の公衆衛生団体がアップルとグーグルの制限を好まない兆候はすでに現れている。たとえば、英国の国民保健サービスは、深刻な状況にあると伝えられています。「スタンドオフ」両社との提携は、識別子の集中データベースを作成したいためです。それは Apple と Google が組織の行うことを禁止していることだ。

さらに、ソルタニ追加した組織は人々が同意すると思われる「追加情報を収集するように（自分たちの）アプリを設計」できるということだ。

実際には、これは、Apple と Google API は「プライバシーを保護」しているが、医療機関が開発する実際の接触追跡アプリはそうではない方法でデータを収集する可能性があることを意味します。

電子フロンティア財団の法務顧問クルト・オプサール氏は、「Bluetoothによる接触追跡は、GPSや携帯電話サイト情報による位置追跡に比べて大幅に改善されているが、依然として強力なプライバシーとセキュリティ保護が必要だ」と声明で述べた。AppleInsider。ソルタニ氏に倣い、オプサール氏は、アップルとグーグルのフレームワークは「方程式の一部」に過ぎず、「このAPIと対話する公衆衛生近接アプリによるプライバシー保護も必要だ」と述べた。

これらの安全対策はアプリや医療機関のレベルで実装する必要があるため、必ずしも Apple や Google が保証できるものではありません。

Bluetooth 接触追跡の図。クレジット: MIT

Bluetooth に固有のリスクと、健康データ収集に関する未解決の質問により、モバイル契約追跡の最終的に最も重要な部分である導入が損なわれる可能性があります。

このタイプの接触追跡が効果的であるためには、広く国民に受け入れられる必要があります。接触追跡研究グループCovid Watchのような一部の専門家は、60% の統計を浮動小数点数で表示するその効能には価値があるからです。

AppleとGoogleはサードパーティがこのアプリを必須にすることを禁止しているため、ユーザーは自発的にアプリをダウンロードする必要がある。本当に実現するかどうかは、テクノロジー大手や医療機関がアプリをどのように設定するか、また彼らが約束するプライバシーとセキュリティによって決まるかもしれない。

一部の議員や規制当局はすでに国民の信頼を獲得できるかどうかについて疑問を提起している。米国で そしてヨーロッパ。

さまざまな人物や組織があり、アメリカ自由人権協会にドナルド・トランプ大統領このシステムに疑問を投げかけると、十分なユーザーがこのシステムを信頼して実際にダウンロードして自分のデバイスにインストールするかどうかが非常に懸念されます。

暗号化と情報セキュリティの研究者であるベン・アディダ氏は、他の人よりもこのプロトコルについてはるかに楽観的です。でツイッタースレッド同氏は、他の追跡調査や提案に関する多くの問題を解決しており、適切な採用率を確認するには、ある種の「適切に調整されたインセンティブ」で十分かもしれないと述べている。

もちろん、現在の形式でのモバイル契約追跡の有効性については、実際の懸念もいくつかあります。シンガポールの接触者追跡アプリ「TraceTogether」のプロダクトリーダー、ジェイソン・デイ氏は、これは手動の接触者追跡に代わるものではないと語った。

「世界中のどこにでも展開されている、または開発中の Bluetooth 接触追跡システムが手動接触追跡に代わる準備ができているかと問われれば、私は資格なく答えはノーだと言います」と彼は論文で書いている。ミディアムポスト。

シンガポールの政​​策の有効性については未解決の疑問がある接触者の追跡方法。 TraceTogether は Apple および Google API を使用せずにデプロイされていることに注意することが重要です。つまり、アプリがフォアグラウンドで実行されている場合にのみ機能する可能性があります。

新しい Bluetooth フレームワークによってその問題が解決されたとしても、簡単な解決策のない問題は他にもあります。ソルタニ氏によると、モバイル接触追跡は子供や高齢者などスマートフォンを持たない人々も対象にはならない追加したツイートで。近接ベースであるため、アパートなどの密集した居住空間では誤った接触陽性者が発生する可能性もあります。

そして、米国などの特定の国では、導入を超える主なハードルは、検査の利用可能性である可能性が高い。 Apple と Google API は、個人が公衆衛生当局から診断を受けられるかどうかに依存しているようです。これによりトローリングのリスクは軽減されますが、トローリングが機能するのに十分なテストが利用できるかどうかという大きな疑問が生じます。

暗号学者であり ZCash Foundation のエンジニアでもある Deidre Connolly 氏が指摘するように、米国には現在、Apple と Google API が効果を発揮するために必要な種類のテストを強化する準備がまったくできていません。

もちろん、これらのプライバシーと有効性に関する懸念にもかかわらず、Apple と Google のシステムは、十分な検査や社会的距離の確保などの措置とともに、新型コロナウイルス感染症を阻止するための広範なソリューションの一部である可能性があります。

それが事実であることが判明するかどうかは、Apple、Google、公衆衛生団体が十分な数の人々にそれをダウンロードして使用するよう説得できるかどうかにかかっています。結局のところ、その仕事は Apple や Google のものではないかもしれません。

一般の人々を含む関係者全員による集中的で透明性のある信頼できる取り組みがなければ、モバイル契約の追跡は単なる希望的観測に終わるでしょう。