Privacy in the Norwegian Automatic Contact Tracing App Smittestopp

Abstract

I løpet av den pågående COVID-19-pandemien har automatiske smittesporingssystem blitt brukt for å spore mulige smittede individer mer effektivt. Disse systemene har også ført til nye bekymringer, spesielt knyttet til personvern. I denne oppgaven blir forskjellige smittesporingssystem basert på Bluetooth Low Energy (BLE) utforsket, med fokus på system som baserer seg en løsning kalt Google and Apple Exposure Notification (GAEN). GAEN ble opprettet som en felles innsats mellom Google og Apple for å forbedre personvernet med et desentralisert smittesporingssystem som adresserer problemer med å bruke BLE til smittesporing. Norge bruker implementeringen i sitt nye system, Smittestopp. Ulike personvernangrep har vært vellykkede på forskjellige apper basert på GAEN. Denne oppgavens hovedfokus er på angrep som prøver å identifisere smittede individer eller identifisere bevegelsesmønstre og lage sosiale grafer basert på data. Bekymringer knyttet til integritet og andre bekymringer blir også utforsket. Implikasjonene av angrepene varierer. Smittesporing i seg selv er ikke personvernbevarende, men omfanget og den distribuerte kvaliteten til dataen kan gjøre det lettere for utenforstående å få tilgang til informasjon om COVID-19-diagnostiserte individer.

During the ongoing COVID-19 pandemic, Automatic Contact Tracing (ACT) systems have been used to more effectively trace possible infected individuals, but the systems have also brought along new concerns, especially related to privacy. In this thesis, different ACT systems based on BLE are explored, focusing on the Google and Apple Exposure Notification (GAEN) based systems. GAEN was created as a joint effort between Google and Apple to create a more privacy-preserving decentralised ACT system that addresses issues using BLE for contact tracing. Norway uses the implementation in their new ACT system, Smittestopp. Different privacy attacks have been successful on different apps based on GAEN. The main focus of the thesis is on attacks that try to identify infected individuals or identify movement patterns and create social graphs. Integrity and other concerns are also explored. The implications of the attacks vary. Contact tracing is not privacy-preserving in nature, but the extent and distributed nature of the data could make it easier for outsiders to access information on COVID-19 diagnosed individuals.