[論文レビュー] Privacy Preservation in Location-Based Services: A Novel Metric and Attack Model

Sina Shaham, Ming Ding+3 more|arXiv (Cornell University)|May 16, 2018

Privacy-Preserving Technologies in Data参考文献 28被引用数 5

ひとこと要約

本稿では、ユーザの軌跡における時間的相関を考慮して、LBSにおける位置プライバシーを評価するための新しい遷移エントロピー指標を提案する。時間的相関を活用するクエリシーケンスを用いたViterbiベースの攻撃モデルを導入し、実世界のデータセット上で高いセルエントロピーと遷移エントロピーを維持しながら、このような攻撃に対して顕著にプライバシーを向上させる、ロバストなダミー生成（RDG）アルゴリズムを提案する。

ABSTRACT

Recent years have seen rising needs for location-based services in our everyday life. Aside from the many advantages provided by these services, they have caused serious concerns regarding the location privacy of users. An adversary such as an untrusted location-based server can monitor the queried locations by a user to infer critical information such as the user's home address, health conditions, shopping habits, etc. To address this issue, dummy-based algorithms have been developed to increase the anonymity of users, and thus, protecting their privacy. Unfortunately, the existing algorithms only consider a limited amount of side information known by an adversary which may face more serious challenges in practice. In this paper, we incorporate a new type of side information based on consecutive location changes of users and propose a new metric called transition-entropy to investigate the location privacy preservation, followed by two algorithms to improve the transition-entropy for a given dummy generation algorithm. Then, we develop an attack model based on the Viterbi algorithm which can significantly threaten the location privacy of the users. Next, in order to protect the users from Viterbi attack, we propose an algorithm called robust dummy generation (RDG) which can resist against the Viterbi attack while maintaining a high performance in terms of the privacy metrics introduced in the paper. All the algorithms are applied and analyzed on a real-life dataset.

研究の動機と目的

• ユーザ軌跡パターンからのサイド情報を見過ごす既存のkアナニマスに基づくLBSプライバシーシステムにおけるギャップを解消すること。
• 連続する位置クエリがユーザプライバシーに与える影響を定量化すること、特に攻撃者が遷移パターンを活用してユーザを再識別できるメカニズムを明らかにすること。
• 逐次クエリに基づく実際の位置推定の不確実性を捉える新しいプライバシーメトリクス「遷移エントロピー」を考案すること。
• セルエントロピーと遷移エントロピーの両方を高い水準に維持しながら、Viterbiスタイルの攻撃に耐性を持つ、ロバストなダミー生成（RDG）アルゴリズムを設計すること。
• 実世界の移動データを用いて提案フレームワークの有効性を実用的状況下で検証すること。

提案手法

• 時間的依存性を組み込んだクエリシーケンスに基づき、実際のユーザ経路の特定における不確実性を測る新しいプライバシーメトリクス「遷移エントロピー」を提案する。
• 歴史的クエリパターンと遷移確率を活用して真のユーザ軌跡を推定する、Viterbiアルゴリズムに基づく攻撃モデルを用いて、攻撃者の推定能力をモデル化する。
• 任意のベースとなるダミー生成手法に対応する一般化されたアルゴリズムを設計し、動的計画法を用いてシーケンス全体にわたるダミー配置を最適化する。
• Viterbi攻撃者に対する混乱を最大限に高めつつ、高いセルエントロピーを維持するように、戦略的にダミーを配置するロバストダミー生成（RDG）アルゴリズムを開発する。
• 実際の移動データに提案アルゴリズムを適用し、現実の軌跡ワークロード下での性能をシミュレートおよび評価する。
• 計算コストと正確性のバランスを取るために、パス集合の探索に実用的な上限を設けた制約付き探索戦略を用いて、遷移エントロピーを計算する。

実験結果

リサーチクエスチョン

• RQ1 時間的軌跡パターンをサイド情報として組み込むことで、kアナニマスLBSシステムにおけるユーザのプライバシーはどの程度影響を受けるか？
• RQ2 Viterbiアルゴリズムは、クエリシーケンスから真のユーザ軌跡をどの程度正確に推定できるか。また、ユーザの再識別にどの程度効果的か？
• RQ3 新しい指標「遷移エントロピー」は、LBSにおける逐次クエリパターンに起因するプライバシー漏洩を効果的に定量化できるか？
• RQ4 セルエントロピーを劣化させることなく、ダミー生成アルゴリズムをどのように改善すれば遷移エントロピーを向上させられるか？
• RQ5 提案されたRDGアルゴリズムは、Viterbiスタイルの攻撃に対して強い耐性を示しつつ、実用的な性能を維持できるか？

主な発見

• DLSダミー生成アルゴリズムを用いた場合、長さ8の軌跡においてViterbiベースの攻撃が実場所のほぼ完全な再識別に成功し、深刻なプライバシー脆弱性を露呈した。
• グリーディアルゴリズムは遷移エントロピーを向上させるが、クエリ長が増加するにつれて蓄積されるサイド情報の影響により、Viterbi攻撃に対して耐性を失い、性能が低下する。
• kアナニマスを15以上に設定した場合、RDGアルゴリズムは少なくとも50%の実場所を保護することができ、Viterbiスタイルの推論攻撃に対して強い耐性を示した。
• 長距離の軌跡では遷移エントロピーが低下する傾向にあり、攻撃者がより多くの逐次クエリを観測するにつれて、後方確率推定がより正確になることが確認された。
• 全探索アルゴリズムは、パス集合探索の実用的上限のため、RDG やグリーディよりもわずかに性能が劣るが、依然としてDLSより高い遷移エントロピーを達成した。
• RDGおよびグリーディアルゴリズムは、さまざまなベースとなるダミー生成手法に対して有効であり、多様なプール生成戦略への汎用性と適応性を示した。