[論文レビュー] Social Network De-anonymization: More Adversarial Knowledge, More Users Re-Identified?

Jianwei Qian, Xiang‐Yang Li+4 more|arXiv (Cornell University)|Oct 30, 2017

Privacy-Preserving Technologies in Data参考文献 20被引用数 3

ひとこと要約

本稿は、社会的ネットワークにおける敵対的バックグラウンド知識と脱匿名化利得の関係を調査し、より多くの知識が常により良い再識別に繋がるとの仮定に挑戦する。エッジシュ・レニイとパワー則モデルの下で、合成ネットワークおよび実際のネットワークに対する理論的分析とシミュレーションを通じて、脱匿名化利得が知識サイズに対して常に単調でないことが示され、データ公開者および攻撃者にとって非直感的なプライバシーのトレードオフが明らかになった。

ABSTRACT

Following the trend of data trading and data publishing, many online social networks have enabled potentially sensitive data to be exchanged or shared on the web. As a result, users' privacy could be exposed to malicious third parties since they are extremely vulnerable to de-anonymization attacks, i.e., the attacker links the anonymous nodes in the social network to their real identities with the help of background knowledge. Previous work in social network de-anonymization mostly focuses on designing accurate and efficient de-anonymization methods. We study this topic from a different perspective and attempt to investigate the intrinsic relation between the attacker's knowledge and the expected de-anonymization gain. One common intuition is that the more auxiliary information the attacker has, the more accurate de-anonymization becomes. However, their relation is much more sophisticated than that. To simplify the problem, we attempt to quantify background knowledge and de-anonymization gain under several assumptions. Our theoretical analysis and simulations on synthetic and real network data show that more background knowledge may not necessarily lead to more de-anonymization gain in certain cases. Though our analysis is based on a few assumptions, the findings still leave intriguing implications for the attacker to make better use of the background knowledge when performing de-anonymization, and for the data owners to better measure the privacy risk when releasing their data to third parties.

研究の動機と目的

• 敵対的バックグラウンド知識の量と質が、社会的ネットワークにおける脱匿名化利得に与える本質的関係を理解すること。
• より多くのバックグラウンド知識が常に高い再識別精度をもたらすという一般的な仮定に挑戦すること。
• 実世界の攻撃を網羅的に実施する必要がないように、制御された仮定の下で脱匿名化利得を定量化すること。
• データ所有者に対するプライバシーリスク評価、攻撃者に対する知識活用のための理論的および実証的知見を提供すること。

提案手法

• 脱匿名化を部分グラフ同型写像としてモデル化し、公開された匿名ネットワークをグラフ G として、攻撃者の知識をクエリグラフ Q として扱う。
• 攻撃者が G に含まれる Q と一致するすべての部分グラフを特定可能であると仮定し、一致はトポロジー的および属性ベースの制約によって定義される。
• バックグラウンド知識の量（属性数）と質（特定度）を両方とも定量的に評価し、脱匿名化利得を一致の期待値として定義する。
• パワー則次数分布の下で、期待一致数 M_Q を分析するために Chung-Lu ランダムグラフモデルを用いる。
• 次数の期待値と共分散分析を用いて M_Q の理論的下界を導出し、特定の条件下で非単調な振る舞いを示すことを明らかにする。
• 合成ネットワーク（G(n,p) およびパワー則）および実世界のネットワークを用いたシミュレーションを通じて、理論的結果の妥当性を検証する。

実験結果

リサーチクエスチョン

• RQ1 敵対的バックグラウンド知識の量を増やすと、常に脱匿名化利得が向上するのか？
• RQ2 属性の特定度などのバックグラウンド知識の質は、脱匿名化成功にどのように影響するか？
• RQ3 特定のネットワークモデルにおいて、バックグラウンド知識と脱匿名化利得の間に非単調な関係が存在するか？
• RQ4 ランダムグラフの仮定の下で、脱匿名化利得を理論的にどのように境界づけられるか？

主な発見

• 脱匿名化利得は、バックグラウンド知識の量に対して常に単調でない。すなわち、知識を増やしても再識別数が増加するとは限らない。
• パワー則ネットワークでは、期待一致数 M_Q がネットワークサイズ n、クエリサイズ n_Q、パワー則指数 β を含む関数によって下限づけられる。
• 理論的分析により、M_Q ≥ binom(n, n_Q) * n_Q! * (α / ((β - 2)n²))^(m_Q) が導かれる。ここで m_Q はクエリグラフの辺数を表す。
• 合成および実世界ネットワークにおけるシミュレーションにより、特定の構造的条件下では、バックグラウンド知識の増加に伴い、脱匿名化利得が減少するか、あるいは逓減することが確認された。
• 結果から、攻撃者は知識を無差別に収集するのでなく、戦略的に選択すべきであり、データ所有者は知識量の単純な指標を超えてプライバシーリスクを再評価する必要があることが示唆された。