Un punteggio di rischio privato può proteggere senza esporre i contatti

Un singolo incontro basta a svelare ciò che l’app di contact tracing nasconde

Un’app di tracciamento dei contatti riesce a nascondere chi ha incontrato chi, ma rivela comunque qualcosa su un estraneo. Il valore mostrato a ciascun utente è una stima del rischio di infezione, spesso indicata come COVIDSCORE: serve a dire quanto sia probabile che si sia infetti in quel momento. Questa sintesi utile apre però un canale laterale per l’attaccante. Basta installare l’app e organizzare un incontro con il bersaglio: se quello è l’unico contatto della giornata, qualsiasi variazione del proprio punteggio punta dritta verso di lui. Il punteggio cambia perché l’app aggrega le informazioni delle persone incontrate di recente. Senza altri contatti che spieghino lo spostamento, l’attaccante può dedurre se il bersaglio portava un rischio o era infetto. La perdita di dati non nasce da una lista dei contatti compromessa, ma dal numero stesso pubblicato. L’attacco funziona anche con le misure di sicurezza standard per il rilevamento dei contatti attive. Lo stesso problema si ritrova in molti sistemi che pubblicano punteggi numerici di rischio senza protezioni per la privacy: un solo incontro basta a trasformare la dashboard dell’utente in un sensore per qualcun altro. L’attaccante non deve vedere i dati del telefono del bersaglio né violare l’abbinamento sicuro, ma osserva semplicemente il proprio punteggio prima e dopo l’incontro. Questo mette in luce una scelta progettuale difficile per gli sviluppatori: un punteggio che aiuta a decidere se fare il test deve essere anche resistente al reverse engineering da un singolo evento di contatto. Se è facile leggere il rischio di un estraneo da un solo incontro, l’app espone informazioni sulla salute pur apparendo privata.

Perché il rumore aggiunto a ogni allarme riduce l’utilità dell’app

Un’app di tracciamento dei contatti è utile solo se l’allarme riflette il pericolo reale. Se a ogni punteggio di rischio pubblicato si aggiunge rumore casuale, quel legame si indebolisce: un utente potrebbe vedere un numero alto dopo una giornata tranquilla, o uno basso dopo aver corso rischi concreti. L’avviso mantiene l’aspetto ufficiale, ma non indica più con precisione l’esposizione al contagio.

Il costo si paga nel controllo dei focolai. Nelle simulazioni con test imperfetti, aggiungere rumore per la privacy a un livello comune ha portato il tasso di infezione massimo da circa 0,5 ogni 1.000 persone a circa 1,1 ogni 1.000. Non è un collasso, ma una perdita reale di precisione: l’app individua ancora alcuni utenti ad alto rischio, ma genera più allarmi falsi e lascia sfuggire più rischi reali. Quando la capacità di test è limitata, questi errori pesano perché ogni esame sprecato lascia un’altra persona senza controllo.

Il problema più profondo riguarda il punto in cui entra il rumore. Se ogni messaggio di contatto viene alterato separatamente prima che l’app li combini, ogni elemento di prova arriva sfocato. Una probabilità compresa tra 0 e 1 può essere spinta su o giù per caso, così il punteggio finale eredita molta instabilità. Chi ha molti contatti dispone di più segnale su cui lavorare, ma la distorsione indipendente continua a offuscare il quadro. Il risultato è un’app che protegge la privacy rendendo al tempo stesso i propri consigli meno affidabili.

Un aggregato giornaliero: nascondere i singoli contatti senza indebolire gli allarmi

Il sistema non trasmette ogni incontro come un segnale d’allarme autonomo. Al contrario, tutti i contatti registrati in una giornata vengono aggregati in un unico valore giornaliero. È questo aggregato a ricevere la protezione prima che venga calcolato il punteggio di rischio finale. La procedura moltiplica il totale giornaliero per un rumore casuale, evitando così di offuscare separatamente ogni singolo messaggio di contatto. In questo modo l’allarme resta legato all’esposizione complessiva, rendendo però difficile estrarre informazioni da un singolo incontro. Il rumore segue una distribuzione log-normale: deve restare positivo e consentire al tempo stesso una dimostrazione rigorosa della privacy. Chi ha molti contatti necessita di meno rumore aggiuntivo per ottenere la stessa garanzia, mentre chi ne ha pochi richiede un livello più alto. I punteggi interni vengono troncati all’intervallo completo da zero a uno, condizione necessaria per mantenere valide le calcolazioni successive. Dopo il troncamento, il totale giornaliero rumoroso viene utilizzato per stimare il rischio di infezione di quel giorno. Solo il punteggio finale esce dal calcolo protetto, impedendo che i dettagli dei singoli contatti vengano esposti come messaggi separati. La garanzia di privacy stabilisce che modificare il valore di rischio troncato di una persona può spostare il totale giornaliero rumoroso solo marginalmente. Il caso peggiore si verifica quando tutti gli altri contatti sono ai loro limiti di troncamento e solo un contatto differisce. Poiché la protezione viene applicata dopo l’aggregazione, gli allarmi restano più nitidi rispetto a quanto accadrebbe se ogni messaggio fosse offuscato singolarmente. Nelle simulazioni, questo aggregato giornaliero ha prodotto tassi di picco di infezione inferiori a un livello di privacy comune con epsilon uguale a uno. Il risultato è valso per due simulatori ampiamente utilizzati, incluse esecuzioni con fino a un milione di persone. Rispetto al tracciamento tradizionale con test realistici, il metodo ha ridotto i tassi di infezione da due a dieci volte.

Quando i test scarseggiano, sbagliano o vengono ignorati

Quando la capacità di test è scarsa, le differenze tra i metodi di tracciamento diventano nette e difficili da ignorare. In una simulazione basata sul modello britannico, solo il 10% delle persone veniva invitato a sottoporsi al test ogni giorno. In una versione ambientata in una città americana, il budget era ancora più ristretto, con appena il 2% di test giornalieri. Questi limiti contano perché un risultato positivo avvia dieci giorni di isolamento: se troppe poche persone vengono controllate, l’app non riesce a individuare abbastanza casi da interrompere le catene di contagio. L’analisi dei costi mostra che la capacità di test fissa il limite superiore per il controllo dell’epidemia. Per mantenere il picco di infezioni sotto lo 0,3%, il tracciamento tradizionale richiedeva circa diecimila test giornalieri. Il metodo privato raggiungeva lo stesso livello utile con soli cinquecento test circa. Questo divario significa che un sistema di test scarso può comunque essere orientato verso picchi più bassi.

I test non sono perfetti e le simulazioni includevano falsi positivi e falsi negativi. Il caso predefinito utilizzava un tasso di falsi positivi dell’1% e un tasso di falsi negativi dello 0,1%. Un test di stress ha portato questi errori ai valori peggiori citati dalle linee guida europee: il 25% di falsi positivi e il 3% di falsi negativi. Con test così imprecisi, il punteggio privato è diventato meno affidabile rispetto a una versione non protetta. Con i test imperfetti predefiniti, il picco di infezioni è passato da circa 0,5 ogni 1.000 persone a circa 1,1. Con i test rumorosi nel caso peggiore, il metodo con rumore aggiunto ha raggiunto un picco vicino ai 46,6 ogni 1.000, mentre la versione non protetta è rimasta vicina allo 0,6 in quelle stesse condizioni sfavorevoli.

Più test hanno aiutato: portando i controlli giornalieri dal 10% al 15%, le prestazioni sono state in gran parte ripristinate. I risultati principali assumevano che le persone con esito positivo si isolassero per dieci giorni. Un esperimento successivo ha permesso agli utenti di ignorare un risultato positivo e continuare a mescolarsi. Anche quando fino al 75% dei positivi non seguiva le indicazioni, il metodo privato superava ancora il tracciamento tradizionale. Se al massimo il 20% ignorava un test positivo, il picco di infezioni rimaneva sotto lo 0,5%. Questa resilienza è importante perché il tracciamento reale dipende dall’azione delle persone dopo un allarme. Un picco più basso alleggerisce anche la pressione sugli ospedali e riduce la probabilità che i governi impongano lockdown.

Le condizioni che impediscono al punteggio privato di trasformarsi in uno strumento di sorveglianza

Un punteggio di rischio resta riservato solo se si limita l’accesso alle informazioni che lo generano. Il calcolo si basa esclusivamente sui contatti e sui risultati dei test, escludendo cronologie delle posizioni, dati identificativi o cartelle cliniche. L’elaborazione avviene in un ambiente crittografato o fidato: nessun server centrale raccoglie nel tempo il punteggio di una persona. Si dà per scontata la sicurezza del rilevamento dei contatti. L’app sa già chi ha incontrato chi, ma questo dato viene preso come premessa e non sfruttato per ulteriori deduzioni.

La garanzia sulla privacy è altrettanto circoscritta. Protegge un singolo punteggio giornaliero pubblicato dal rivelare lo stato di una persona in un dato istante. Se due persone si incontrano ripetutamente, le piccole perdite di informazioni possono accumularsi. Il progetto non prevede ancora regole più rigide per limitare questa perdita ricorrente. Il limite è cruciale perché la sorveglianza nasce spesso dalla ripetizione: uno sguardo può essere innocuo, ma molti sguardi costruiscono una mappa.

Il sistema dimentica rapidamente. I dati vengono conservati solo per 14 giorni, poi eliminati. Il metodo è privo di stato nel senso che non archivia un lungo storico sanitario personale o la cronologia dei contatti. Una volta usciti dalla finestra temporale, i contatti non influenzano più il punteggio del giorno successivo. Estendere la memoria oltre due settimane offre pochi vantaggi, quindi la breve finestra aiuta a impedire che lo strumento diventi un dossier permanente.

Tuttavia, queste assunzioni lasciano lacune reali. Non tutti possiedono uno smartphone e l’accesso disuguale può creare una protezione ineguale. Se solo alcune persone usano l’applicazione, molti contatti diventano invisibili, indebolendo sia il tracciamento che l’equità della privacy. I pregiudizi esistenti su chi viene testato o su come vengono stimati i rischi possono essere amplificati dal rumore aggiunto per proteggere gli individui. Finché questi problemi non saranno studiati, il punteggio privato resterà uno strumento attentamente delimitato e non un completato strumento di sanità pubblica.

Un aggregato giornaliero con rumore: come nascondere un singolo contatto senza perdere la guida ai test

Un’app di tracciamento dei contatti può proteggere un singolo incontro alla volta senza rinunciare al suo ruolo nella sanità pubblica. La protezione della privacy viene applicata prima che il punteggio finale del rischio venga calcolato: così, il segnale aggregato giornaliero contiene abbastanza rumore da impedire di capire se un contatto specifico ne abbia alterato il valore. Questa architettura permette all’applicazione di mantenere un controllo efficace sull’epidemia, limitando al contempo ciò che un estraneo determinato potrebbe dedurre da un unico incontro.

La lezione più ampia è che privacy e utilità possono essere progettate insieme, a patto che il modello delle minacce sia chiaro. Un punteggio numerico è potente perché stabilisce la priorità di chi sottoporre al test. Diventa però pericoloso nel momento in cui qualcuno può osservare come varia il proprio numero dopo aver incontrato un bersaglio. Aggiungere rumore calibrato ai segnali giornalieri dei contatti preserva abbastanza segnale per le decisioni sui test, rendendo al contempo inaffidabile questo tipo di deduzione.

Le simulazioni suggeriscono che questo equilibrio può ridurre le infezioni e richiedere molti meno test rispetto al tracciamento tradizionale, anche quando alcuni risultati positivi vengono ignorati o i test commettono errori. Gli ostacoli restano seri. I risultati principali presuppongono un’adozione completa, ma le popolazioni reali includono persone senza smartphone, persone che non si fidano delle app e gruppi i cui contatti cadono al di fuori della rete. Incontri ripetuti con la stessa persona possono estendere la garanzia di privacy oltre un singolo evento di contatto, e dati distorti potrebbero essere amplificati piuttosto che corretti dal rumore.

La domanda pratica è quante persone possano entrare nella rete, perché la protezione dipende dalla visibilità dei contatti. Un punteggio che funziona in una città o in un ecosistema di app deve anche resistere a telefoni mancanti, fiducia disuguale e incontri ripetuti prima di poter guidare decisioni reali sui test.