[論文レビュー] Protecting User Privacy: An Approach for Untraceable Web Browsing History and Unambiguous User Profiles

Ghazaleh Beigi, Ruocheng Guo+3 more|arXiv (Cornell University)|Nov 22, 2018

Internet Traffic Analysis and Secure E-voting被引用数 10

ひとこと要約

この論文は、友人の閲覧履歴から文脈的に関連するリンクを知的に汚染することで、Web閲覧履歴におけるユーザーの匿名性を向上させるプライバシー保護フレームワークPBoosterを提案する。調整可能なトレードオフパラメータを用いてプライバシーと有用性のバランスを図ることで、PBoosterは最小限の有用性損失で高いプライバシーを達成し、ランダム汚染法や有用性最適化手法を上回る、脱匿名化攻撃への耐性およびサービスのパーソナライゼーション忠実度の両面で優れた性能を発揮する。

ABSTRACT

The overturning of the Internet Privacy Rules by the Federal Communications Commissions (FCC) in late March 2017 allows Internet Service Providers (ISPs) to collect, share and sell their customers' Web browsing data without their consent. With third-party trackers embedded on Web pages, this new rule has put user privacy under more risk. The need arises for users on their own to protect their Web browsing history from any potential adversaries. Although some available solutions such as Tor, VPN, and HTTPS can help users conceal their online activities, their use can also significantly hamper personalized online services, i.e., degraded utility. In this paper, we design an effective Web browsing history anonymization scheme, PBooster, aiming to protect users' privacy while retaining the utility of their Web browsing history. The proposed model pollutes users' Web browsing history by automatically inferring how many and what links should be added to the history while addressing the utility-privacy trade-off challenge. We conduct experiments to validate the quality of the manipulated Web browsing history and examine the robustness of the proposed approach for user privacy protection.

研究の動機と目的

• FCCのプライバシールール廃止に伴い、同意のないWeb閲覧履歴のISPおよび第三者による追跡の増加という脅威に対処すること。
• パーソナライズドオンラインサービスにおけるユーザーのプライバシーと有用性の根本的トレードオフを解消すること。
• 推薦およびパーソナライゼーションシステムで使用されるユーザーのプロファイルの品質を損なうことなく、プライバシーを向上するフレームワークを設計すること。
• ユーザーの閲覧履歴に追加するリンクを知的に選択する手法を開発し、プライバシーを最大化すると同時に有用性を維持すること。
• 提案手法の有効性を、脱匿名化攻撃への耐性およびデータ有用性の両面で評価すること。

提案手法

• PBoosterは、ソーシャルネットワーク関係を活用して類似した閲覧パターンを持つ友人を特定することで、ユーザーの閲覧行動をグラフベースでモデル化する。
• 調整可能なパrameter λ を用いた、有用性-プライバシーのトレードオフ最適化モデルを適用し、追加するリンクの数と関連性を制御する。
• フレームワークは、友人の履歴からのリンクを挿入することで合成された閲覧履歴を生成し、ユーザーの好みの分布を保持する。
• k-meansクラスタリングを用いて生成された履歴の品質を評価し、シルエット係数を用いてオリジナルデータとの類似度を測定する。
• プライバシーの向上（脱匿名化耐性で測定）と有用性の損失（プロファイル類似度で測定）の両方をバランスさせる損失関数を用いる。
• PBoosterは、ユーザー固有の行動と社会的接近度に基づいて動的にリンクを選択し、パーソナライゼーションへの影響を最小限に抑えつつ、最大限の誤魔化しを実現する。

実験結果

リサーチクエスチョン

• RQ1 Web閲覧履歴をどのように匿名化すれば、パーソナライズドオンラインサービスの有用性を著しく損なわずにユーザーのプライバシーを保護できるか？
• RQ2 閲覧履歴の匿名化において、プライバシー強化と有用性維持の最適なバランスは何か？
• RQ3 友人の履歴からのリンクの挿入は、ランダムまたは非文脈的なリンク挿入と比較して、プライバシー-有用性トレードオフにどのような影響を与えるか？
• RQ4 PBoosterは、実際の個人情報にリンクされる閲覧履歴の脱匿名化攻撃に対して、どの程度耐性を示すか？
• RQ5 λ や h などのパラメータを変化させた場合、匿名化された閲覧履歴のプライバシーおよび有用性の結果にどのような影響を与えるか？

主な発見

• PBoosterは λ = 10 の最適なトレードオフで、プライバシーが最大化されつつ有用性損失が最小化され、|Hu| = 100 の場合にシルエット係数が 0.762 に達する。
• λ ≤ 10 の範囲では、高いシルエットスコアと安定したクラスタリング性能から、オリジナルの閲覧履歴と同等のデータ品質を維持する。
• 友人の履歴からのリンクの追加により、ヒモロフィー効果のおかげで有用性の維持が著しく向上し、プロファイルの歪みが減少する。
• PBoosterはランダム汚染法よりもプライバシーと有用性の両面で優れており、オリジナルデータよりも高いプライバシーを達成するとともに、ランダム手法よりも優れた有用性を実現する。
• h（使用する友人の履歴数）が増加するほど有用性が向上するが、過剰なデータ露出に伴いリスクも上昇する。バランスの取れた性能を得るには h = 25 が最適であることが判明した。
• PBoosterはユーザー間で一貫したプライバシー向上を提供するが、ランダム手法は有用性を犠牲にして高いプライバシーを達成する一方、JustFriendsは高い有用性だが低いプライバシーを示す。