On Contact Tracing and Hardware Tokens « bunnie's blog
<https://www.bunniestudios.com/blog/?p=5820> On Contact Tracing and Hardware Tokens Early in the COVID-19 pandemic, I was tapped by the European Commission to develop a privacy-protecting contact tracing token, which you can read more about at the Simmel project home page. And very recently, Singapore has announced the deployment of a TraceTogether token. As part of their launch, I was invited to participate in a review of their solution. The urgency of COVID-19 and the essential challenges of building supply chains means we are now in the position of bolting wheels on a plane as it rolls down the runway. As with many issues involving privacy and technology, this is a complicated and nuanced situation that cannot be easily digested into a series of tweets. Thus, over the coming weeks I hope to offer you my insights in the form of short essays, which I will post here. Since I was only able to spend an hour with the TraceTogether token so far, I’ll spend most of this essay setting up the background I’ll be using to evaluate the token. Contact Tracing The basic idea behind contact tracing is simple: if you get sick, identify your close contacts, and test them to see if they are also sick. If you do this fast enough, you can contain COVID-19, and most of society continues to function as normal. However, from an implementation standpoint, there are some subtleties that I struggled to wrap my head around. Dr. Vivian Balakrishnan, the Minister-in-charge of the Smart Nation Initiative, briefly stated at our meeting on Friday that the Apple/Google Exposure Notification system did not reveal the “graph”. In order to help myself understand the epidemiological significance of extracting the contact graph, I drew some diagrams to illustrate contact tracing scenarios. Let’s start by looking at a very simple contact tracing scenario. In the diagram above, two individuals are shown, Person 1 and Person 2. We start Day 1 with Person 1 already infectious yet only mildly symptomatic. Person 1 comes in contact with Person 2 around mid-day. Person 2 then incubates the virus for a day, and becomes infectious late on Day 2. Person 2 may not have any symptoms at this time. At some future date, Person 2 infects two more people. In this simple example, it is easy to see that if we can isolate Person 2 early enough, we could prevent at least two future exposures to the virus. Now let’s take a look at a more complicated COVID-19 spread scenario with no contact tracing. Let’s continue to assume Person 1 is a carrier with mild to no symptoms but is infectious: a so-called “super spreader”. The above graphic depicts the timelines of 8 people over a span of five days with no contact tracing. Person 1 is ultimately responsible for the infection of several people over a period of a few days. Observe that the incubation periods are not identical for every individual; it will take a different amount of time for every person to incubate the virus and become infectious. Furthermore, the onset of symptoms is not strongly correlated with infectiousness. Now let’s add contact tracing to this graph. The graphic above illustrates the same scenario as before, but with the “platonic ideal” of contact tracing and isolation. In this case, Person 4 shows symptoms, seeks testing, and is confirmed positive early on Day 4; their contacts are isolated, and dozens of colleagues and friends are spared from future infection. Significantly, digging through the graph of contacts also allows one to discover a shared contact of Person 4 and Person 2, thus revealing that Person 1 is the originating asymptomatic carrier. There is a subtle distinction between “contact tracing” and “contact notification”. Apple/Google’s “Exposure Notification” system only perform notifications to the immediate contacts of an infected person. The significance of this subtlety is hinted by the fact that the protocol was originally named a “Privacy Preserving Contact Tracing Protocol”, but renamed to the more accurate description of “Exposure Notification” in late April. To better understand the limitations of exposure notification, let’s consider the same scenario as above, but instead of tracing out the entire graph, we only notify the immediate contacts of the first person to show definite symptoms – that is, Person 4. With exposure notification, carriers with mild to no symptoms such as Person 1 would get misleading notifications that they were in contact with a person who tested positive for COVID-19, when in fact, it was actually the case that Person 1 gave COVID-19 to Person 4. In this case, Person 1 – who feels fine but is actually infectious – will continue about their daily life, except for the curiosity that everyone around them seems to be testing positive for COVID-19. As a result, some continued infections are unavoidable. Furthermore, Person 2 is a hidden node from Person 4, as Person 2 is not within Person 4’s set of immediate notification contacts. In a nutshell, Exposure Notification alone cannot determine causality of an infection. A full contact “graph”, on the other hand, can discover carriers with mild to no symptoms. Furthermore, it has been well-established that a significant fraction of COVID-19 infections show mild or no symptoms for extended periods of time – these are not “rare” events. These individuals are infectious but are well enough to walk briskly through crowded metro stations and eat at hawker stalls. Thus, in the “local context” of Singapore, asymptomatic carriers can seed dozens of clusters in a matter of days if not hours, unlike less dense countries like the US, where infectious individuals may come in contact with only a handful of people on any given day. The inability to quickly identify and isolate mildly symptomatic super-spreaders motivates the development of the local TraceTogether solution, which unlocks the potential for “full graph” contact tracing. On Privacy and Contact Tracing Of course, the privacy implications of full-graph contact tracing are profound. Also profound are the potential health risks and loss of life absent full-graph contact tracing. There’s also a proven solution for containing COVID-19 that involves no sacrifice of privacy: an extended Circuit-Breaker style lockdown. Of course, this comes at the price of the economy. Of the three elements of privacy, health, or economy, it seems we can only pick two. There is a separate and important debate about which two we should prioritize, but that is beyond the context of this essay. For the purpose of this discussion, let’s assume contact tracing will be implemented. In this case, it is incumbent upon technologists like us to try and come up with a compromise that can mitigate the privacy impact while facilitating public policy. Back in early April, Sean ‘xobs’ Cross and I were contacted by the European Commission’s NGI program via NLnet to propose a privacy-protecting contact tracing hardware token. The resulting proposal is called “Simmel”. While not perfect, the salient privacy features of Simmel include: Strong isolation of user data. By disallowing sensor fusion with the smartphone, there is zero risk of GPS or other geolocation data being leaked. It is also much harder to do metadata-based attacks against user privacy. Citizens are firmly in control. Users are the physical keeper of their contact data; no third-party servers are involved, until they volunteer their data to an authority by surrendering the physical token. This means in an extreme case, a user has the option of physically destroying their token to erase their history. Citizens can temporarily opt-out. By simply twisting the cap of the token, users can power the token down at any time, thus creating a gap in their trace data (note: this feature is not present on the first prototypes). Randomized broadcast data. This is a protocol-level feature which we recommend to defeat the ability for third parties (perhaps an advertising agency or a hostile government) from piggy backing on the protocol to aggregate user locations for commercial or strategic benefit. Why a Hardware Token? But why a hardware token? Isn’t an app just better in so many ways? At our session on Friday, the TraceTogether token team stated that Singapore needs hardware tokens to better serve two groups: the underprivileged, and iPhone users. The underprivileged can’t afford to buy a smartphone; and iPhone users can only run Apple-approved protocols, such as their Exposure Notification service (which does not enable full contact tracing). In other words, iPhone users, like the underprivileged, also don’t own a smartphone; rather, they’ve bought a phone that can only be used for Apple-sanctioned activities. Our Simmel proposal makes it clear that I’m a fan of a hardware token, but for reasons of privacy. It turns out that apps, and smartphones in general, are bad for user privacy. If you genuinely care about privacy, you would leave your smartphone at home. The table below helps to illustrate the point. A red X indicates a known plausible infraction of privacy for a given device scenario. [...]
Il 22/06/20 22:26, Alberto Cammozzo via nexa ha scritto:
<https://www.bunniestudios.com/blog/?p=5820>
On Contact Tracing and Hardware Tokens
Molto molto interessante. Ora capisco perchè il grafo dei contatti è così importante. Ho tradotto l'articolo: https://www.resolutions.it/nextcloud/index.php/s/8pM2nw5rAJe4dYQ Grazie, rob
Buongiorno Roberto e lista scusatemi l'OT, quello che dico centra solo tangenzialmente con la tecnologia. Roberto Resoli <roberto@resolutions.it> writes:
Il 22/06/20 22:26, Alberto Cammozzo via nexa ha scritto:
<https://www.bunniestudios.com/blog/?p=5820>
On Contact Tracing and Hardware Tokens
Molto molto interessante. Ora capisco perchè il grafo dei contatti è così importante.
E anche così PERICOLOSO per la democrazia, se implementato in forma automatizzata e digitale come quella possibile attraverso un dispositivo che memorizza SISTEMATICAMENTE i contatti personali. Nel momento in cui una società accetta l'idea che per tutelare la salute pubblica la cosa principale da attuare è una forma di Sorveglianza Sanitaria che adotta come mezzo principale il grafo dei contatti per interrompere la catena del contagio, quella società AUTOMATICAMENTE mette a rischio di PERSECUZIONE un sacco di persone sgratite ai governi. Quando la maggioranza ritiene normale che sia possibile ricostruire VOLONTARIAMENTE il grafo dei contatti non si rende conto che alle persone non gradite ai regimi sarà IN PRATICA impossibile eludere il controllo governativo, specialmente se - putacaso - per poter accedere a certi servizi diventasse SOSTANZIALMENTE obbligatorio consegnare i dati del proprio dispositivo. L'unica difesa in questo caso sarebbe adottare tecniche di offuscamento per confondere il grafo dei contatti, che purtroppo renderebbe la sua efficacia clinica nulla ma potrebbe salvare la vita a qualcuno... ironico o tragico? Sono paranoico? Sono complottista? Non pensate a posti tranqulli come Italia, Singapore o gli USA (ciascuno coi suoi problemi, per carità, ma ancora civili): pensate a regimi dittatoriali dove i dissidenti sono perseguitati quotidianamente, ce ne sono TANTISSIMI. Se anche nelle società con maggiori tutele passa - così come è passata nel caso del terrorismo internazionale - l'idea che la soluzione più efficace è quella di instaurare un regime di sorveglianza GLOBALE (seppur volontaria in questo caso), figuriuamoci in società meno sensibili ai temi dei diritti dei cittadini. Se invece il DOVERE dei governi a non tracciare MAI i contatti tra cittadini con l'ausilio di dispositivi elettronici, nemmeno in periodi di pandemia, diventasse uno standard internazionale riconisciuto e sostenuto in primis dall'occidente e - spererei - dall'ONU, allora i regimi avrebbero decisamente più difficoltà ad attuare piani di sorveglianza sotto copertura pandemica. Ritengo anche che l'analisi fatta da Levine nell'articolo ""The Racist Origins of Silicon Valley" - segnalato ieri da Juan Carlos http://server-nexa.polito.it/pipermail/nexa/2020-June/018168.html - in merito alla RATIO del censimento e di come la scelta dei dati da raccogliere sia stata storicamente legata anche ai temi dell'eugenetica, debba farci RIFLETTERE seriamente anche in merito al contact tracing digitale, che porta con se il CONCRETO rischio di essere trasformato in una specie di censimento dei contatti per motivi sanitari. Tutto questo universo di discorso - inoltre - mi fa molto male perché fa leva sulle nostre paure irrazionali e contribuisce in modo significativo a costruire una immagine di contagiato come NEMICO della salute pubblica a cui dare la caccia, invece che come PAZIENTE da ACCOGLIERE nel sistema sanitario (possibilmente pubblico) e - curandolo - da AIUTARE a rintracciare i possibili contatti a rischio; perdonandoci a vicenda ancora prima di essere eventualmente e sfortunatamente contagiati. Non voglio fare il benaltrista, ma siamo proprio sicuri sicuri che un diverso sistema, forse perfino più EFFICACE, di gestire i problemi legati alle pandemie non sia applicabile? Un sistema che sia meno pericoloso per la democrazia, anche se costa decisamente di più? Un sistema che contempli anche l'utilizzo delle tecnologie digitali per COADIUVARE il lavoro dei medici, ma che NON sia in grado di fornire AUTOMATICAMENTE l'intero grafo dei contatti di una persona, bello pronto da INCROCIARE con le tonnellate di altri metadati già raccolti su quella stessa persona. Un sistema che contempli che i piani per affrontare le pandemie siano studiati per essere applicati e non per appesantire i cassetti delle scrivanie. Un sistema che contempli anche una riduzione ordinata e controllata delle attività economiche, con adeguato sostegno a tutti coloro in difficoltà indipendentemente dai loro REQUISITI. ...un sistema insomma, non una App o un Token. [...] Cordiali saluti. Giovanni. -- Giovanni Biscuolo
On 23/06/2020, Giovanni Biscuolo <giovanni@biscuolo.net> wrote:
siamo proprio sicuri sicuri che un diverso sistema, forse perfino più EFFICACE, di gestire i problemi legati alle pandemie non sia applicabile?
E lo chiedi ad un pezzo di propaganda^W marketing? :-D L'autore scrive:
Of the three elements of privacy, health, or economy, it seems we can only pick two.
Falsa tricotomia: il contact tracing tradizionale non pone gli enormi problemi di scala della ricostruzione dei grafi dei contatti, grazie ai costi che comporta ed all'etica dei medici che se ne occupano. Dunque potremmo tutelare contemporaneamente libertà, salute ed economia, ma senza sorveglianza di massa. Vi è poi un'altra interessante considerazione che manca sempre in queste analisi. Ci sono sempre due o tre persone coinvolte. Bob, Alice, Eve... evidentemente gli mancano i nomi. In questo articolo si arriva a pensare addirittura a 8 persone. Il mondo reale non funziona così. Nello scenario ideale, quello con contact tracing infallibile, fiducia assoluta nell'autorità, grafi sociali completamente disponibili e test diagnostici in grandi quantità - ogni studente che si ammala fa chiudere una scuola - ogni medico che si ammala mette blocca tutti i pazienti che ha visitato nelle ultime due settimane, le loro famiglie etc... - ogni politico che si ammala... La rinuncia alla privacy NON salverebbe l'economia. Giacomo
Buongiorno Alberto e lista, grazie! Alberto Cammozzo via nexa <nexa@server-nexa.polito.it> writes:
Qui hai giustamente riportato solo la prima parte del post, credo che il resto sia anche più interessante e invito a leggerlo tutto. Con un atto di rara (giuro) immodestia sono confortato nel leggere che Andrew Shane Huang indirettamente confermi quello che scrissi qui http://server-nexa.polito.it/pipermail/nexa/2020-April/017242.html a inizio Aprile, ovvero che lo smartphone è proprio l'ultimo dei dispositivi sulla terra da usare per il "contact tracing digitale" Effettivamente le leggi della fisica **dovrebbero** far star tranquillo il possessore di un coso come TraceTogether sulla probabile assenza di "sensor fusion"... però (come bunnie giustamente dice) occorrerebbe verificare che non ci siano altri dispositivi per esfiltrare il dati all'insaputa del possessore del token fisico. [...]
Since I was only able to spend an hour with the TraceTogether token so far, I’ll spend most of this essay setting up the background I’ll be using to evaluate the token.
Attendo con ansia la prossima puntata allora [...] Dal punto di vista tecnico, quindi, ci sono soluzioni per garantire un ragionevole livello di sicurezza dei dati di contact tracing ...però Cordiali saluti, Giovanni -- Giovanni Biscuolo
participants (4)
-
Alberto Cammozzo -
Giacomo Tesio -
Giovanni Biscuolo -
Roberto Resoli