[論文レビュー] On (The Lack Of) Location Privacy in Crowdsourcing Applications

Spyros Boukoros, Mathias Humbert+2 more|SERVAL (Université de Lausanne)|Jan 15, 2019

Privacy-Preserving Technologies in Data参考文献 57被引用数 9

ひとこと要約

本論文は、モバイルクラウドソーシング（MCS）アプリケーションにおける既存の位置プライバシー保護メカニズム（LPPMs）の有効性を評価し、連続的なデータ収集と、位置の正確さではなく測定値に依存するユーティリティという点で、位置ベースサービス（LBS）向けに設計された防御はMCSではほとんどまたはまったくプライバシー的利益を提供しないことが明らかになった。研究では、現在のLPPMsがMCSのユーティリティを著しく低下させつつ、POI推定攻撃に対しては保護できないことが示された。

ABSTRACT

Crowdsourcing enables application developers to benefit from large and diverse datasets at a low cost. Specifically, mobile crowdsourcing (MCS) leverages users' devices as sensors to perform geo-located data collection. The collection of geolocated data raises serious privacy concerns for users. Yet, despite the large research body on location privacy-preserving mechanisms (LPPMs), MCS developers implement little to no protection for data collection or publication. To understand this mismatch, we study the performance of existing LPPMs on publicly available data from two mobile crowdsourcing projects. Our results show that well-established defenses are either not applicable or offer little protection in the MCS setting. Additionally, they have a much stronger impact on applications' utility than foreseen in the literature. This is because existing LPPMs, designed with location-based services (LBSs) in mind, are optimized for utility functions based on users' locations, while MCS utility functions depend on the values (e.g., measurements) associated with those locations. We finally outline possible research avenues to facilitate the development of new location privacy solutions that fit the needs of MCS so that the increasing number of such applications do not jeopardize their users' privacy.

研究の動機と目的

• 既存の位置プライバシー保護メカニズム（LPPMs）が、理論的基盤は強固であるにもかかわらず、モバイルクラウドソーシング（MCS）アプリケーションにおいてなぜ効果的でないかを調査すること。
• LPPMの設計がLBSユースケースに最適化されているのに対し、MCSにおける実際のデータ収集およびユーティリティモデルと根本的に不一致であることを特定すること。
• SafecastおよびRadiocellsの実世界のMCSデータセットを用いて、既存のLPPMsの実世界におけるプライバシーとユーティリティのトレードオフを評価すること。
• POI同定と集計測定値の正確さに焦点を当て、MCSワークロードに特化した新しいプライバシーおよびユーティリティメトリクスを提案すること。
• 貢献者による制御の欠如、データのグローバルな出どころ、多様なプライバシー規制への準拠の欠如を含む、MCSデータ収集におけるシステム的課題を浮き彫りにすること。

提案手法

• SafecastおよびRadiocellsの実世界のMCSデータセットを用いて、5つの代表的なLPPMs（Geo-Indistinguishability、ラプラス機構、ランダム化応答、k-匿名性、位置摂動）を評価した。
• POI同定と軌跡の脱匿名化を目的とした、2つの新しいプライバシー評価メトリクスを提案した。これらはバイナリ分類と情報検索の観点に基づく。
• 位置距離誤差ではなく、集計されたデータ値（例：放射線量、電波強度）の正確さを測る新しいユーティリティメトリクスを開発した。
• 公開済みのデータセットを用いた実験により、さまざまなLPPM設定下でのプライバシー漏洩とユーティリティ劣化を評価した。
• 機械学習ベースのPOI推定攻撃を用いて、LPPMsが再識別や機密位置の露呈を防ぐ効果があるかを評価した。
• データ量、時間的パターン、測定値の相関性が、連続的MCSデータ収集中のプライバシーおよびユーティリティ結果に与える影響を分析した。

実験結果

リサーチクエスチョン

• RQ1 LBS向けに設計された既存のLPPMsは、連続的かつ測定に基づくMCSアプリケーションにおいて、どれほど意味のあるプライバシー保護を提供するのか？
• RQ2 主に測定値の正確さに依存するMCSにおいて、位置の正確さではなく測定値の正確さがユーティリティの根幹をなす場合、LPPMsは集計データのユーティリティにどのように影響を与えるのか？
• RQ3 LPPMsが適用されていても、POI推定攻撃が、摂動処理されたMCSデータから機密的な場所を成功裏に同定できるのか？
• RQ4 分類および検索性能に基づくプライバシー・ユーティリティメトリクスは、MCSの文脈において、従来の距離ベースのメトリクスと比較してどのように異なるのか？
• RQ5 貢献者による制御の欠如、グローバルなデータ出どころなど、MCSデータ収集におけるシステム的課題（例）は、プライバシー保護の実装および研究をどのように妨げるのか？

主な発見

• Geo-Indistinguishabilityのような理論的保証が強いLPPMsでさえ、継続的なデータ収集パターンのため、MCS環境ではほとんどまたはまったくプライバシー的利益を提供しない。
• LBSでは効果的な位置隠匿技術（例：軌跡のぼかし）は、測定データの高密度および時間的規則性のため、MCSでは意味のあるプライバシー向上をもたらさない。
• 位置の正確さを最適化するように設計されたLPPMsは、放射線量や電波強度といった正確な集計測定値に依存するMCSアプリケーションのユーティリティを著しく低下させる。
• POI推定攻撃は、摂動処理されたMCSデータからも機密的な場所を成功裏に同定でき、強固なプライバシー保証があるにもかかわらず、現在の防御では再識別攻撃に対処できないことが示された。
• 本研究では、実世界のMCSデータセットに、適切な同意を得ていない未成年者からのデータが頻繁に含まれており、貢献者による制御および文書化の欠如から、法的・倫理的な懸念が生じた。
• 機関の倫理審査委員会は、データの出自が不明でグローバルな出どころであるとして、研究を拒否または遅延した。これは、公開済みであっても、文書化が不十分なため、MCSデータの科学的利用が妨げられることを示している。