[論文レビュー] Geo-Indistinguishability: Differential Privacy for Location-Based Systems

Miguel E. Andrés, Nicolás E. Bordenabe+2 more|Dec 10, 2012

Privacy-Preserving Technologies in Data参考文献 29被引用数 213

ひとこと要約

本稿では、ユーザーの正確な位置を半径 r の範囲内でプライバシーを保証するように設計された、位置ベースのシステム向けの形式的プライバシーモデルであるジオインダイエンタビリティを導入する。プライバシー水準 εr が保証される。本稿では、二変量ラプラス分布を用いたノイズ追加メカニズムを提案し、サービス品質を損なわずに、先行手法を上回るプライバシー保証を達成する。

ABSTRACT

The growing popularity of location-based systems, allowing unknown/untrusted servers to easily collect huge amounts of information regarding users' location, has recently started raising serious privacy concerns. In this paper we study geo-indistinguishability, a formal notion of privacy for location-based systems that protects the user's exact location, while allowing approximate information - typically needed to obtain a certain desired service - to be released. Our privacy definition formalizes the intuitive notion of protecting the user's location within a radius r with a level of privacy that depends on r, and corresponds to a generalized version of the well-known concept of differential privacy. Furthermore, we present a perturbation technique for achieving geo-indistinguishability by adding controlled random noise to the user's location. We demonstrate the applicability of our technique on a LBS application. Finally, we compare our mechanism with other ones in the literature. It turns our that our mechanism offers the best privacy guarantees, for the same utility, among all those which do not depend on the prior.

研究の動機と目的

• 信頼できないサーバーが正確なユーザーの位置データを収集するため、位置ベースサービス（LBS）におけるプライバシー懸念の増大に対処すること。
• ユーザーの位置が半径 r の範囲内で保護されるプライバシー概念を形式化し、r に依存するプライバシー水準を定義すること。
• 強力なプライバシー保証を確保しつつ、LBSアプリケーションの有用性を維持するメカニズムを開発すること。
• 提案されたメカニズムを既存の最先端技術と比較し、事前知識に依存しない優れたプライバシー性能を示すこと。

提案手法

• 空間データに特化した微分プライバシーの一般化形として、ジオインダイエンタビリティを提案する。このモデルでは、距離 r とともにプライバシーが滑らかに低下する。
• ユーザーの真の位置 x を摂動するために、二変量ラプラス（平面ラプラス）分布を用い、ノイズを加えた位置 z を生成する。
• 任意の二点が距離 r 以内にある場合、ノイズ出力の確率分布の差が εr 以内に収まるという条件によりプライバシーを定義する。
• 逆累積分布関数 Cε⁻¹(c) = rad_R - rad_I を用いて、ノイズ分布を導出する。ここで、rad_R と rad_I はそれぞれ出力領域と入力領域の半径を表す。
• POI検索サービスにこのメカニズムを適用し、サーバーがユーザーの正確な位置を特定できなくても、関連性の高い結果を返すことを保証する。
• このメカニズムが任意の事前分布に対してプライバシーを保つことができ、複数のクエリにわたって合成可能であることを示す。

実験結果

リサーチクエスチョン

• RQ1 位置ベースのシステムにおけるプライバシーを形式的に定義する方法は何か？ これにより、ユーザーの位置が半径 r の範囲内で保護されつつ、近似的な位置データが公開可能となる。
• RQ2 このプライバシー保証を達成しつつ、位置ベースサービスの有用性を維持するメカニズムは何か？
• RQ3 提案されたメカニズムは、既存の位置隠蔽技術と比較して、プライバシーと正確性の両面でどのように異なるか？
• RQ4 攻撃者のユーザー位置に関する事前知識に依存せず、プライバシー保証が維持可能か？
• RQ5 空間データ公開において、プライバシーと有用性のバランスを最適化するノイズ分布は何か？

主な発見

• 提案されたメカニズムは、二変量ラプラス分布を用いてユーザーの位置を摂動することで、ε-ジオインダイエンタビリティを達成する。これにより、距離 r 以内の任意の二点が、出力分布の差が最大 εr 以内に収まる。
• rad_R = (√2·150 + 200) m および c = 0.99 の場合、ε = 0.016 を達成し、明確に定量化されたプライバシー水準を示す。
• すべてのテストされた事前分布において、クローキング手法を上回る性能を示す。特に c の値が小さい場合、c が小さくなるほどプライバシーが向上する。
• 攻撃者の事前知識に依存しないプライバシー保証が可能であり、補助情報に対しても耐性がある。
• 複数の位置が公開されても、プライバシーが強く保たれ、複数クエリにわたる合成可能性を有する。
• この方法は、数学的にジオインダイエンタビリティを満たしており、ノイズ分布とプライバシー境界の厳密な導出がなされている。