[논문 리뷰] Back to the Drawing Board: Revisiting the Design of Optimal Location Privacy-preserving Mechanisms

Simon Oya, Carmela Troncoso외 1명|arXiv (Cornell University)|2017. 05. 24.

Privacy-Preserving Technologies in Data참고 문헌 24인용 수 11

한 줄 요약

이 논문은 단지 적대자 추정 오차를 최소화하는 것만으로 강력한 위치 프라이버시를 보장한다는 가정을 도전하며, 이 기준 하에서 최적의 메커니즘이 여전히 상당한 프라이버시 누출을 초래할 수 있음을 보여준다. 이와 함께 정보 이론적 불확실성에 대한 조건부 엔트로피와 유틸리티 보장을 위한 최악의 경우 품질 손실과 같은 보완적 평가 지표를 도입하고, 평균 오차는 최적을 유지하면서도 조건부 엔트로피를 최대화하는 메커니즘을 제안한다. 이는 실제 데이터셋을 사용한 다차원 프라이버시 기준에서 기존 방법보다 뛰어난 성능을 보인다.

ABSTRACT

In the last years we have witnessed the appearance of a variety of strategies to design optimal location privacy-preserving mechanisms, in terms of maximizing the adversary's expected error with respect to the users' whereabouts. In this work, we take a closer look at the defenses created by these strategies and show that, even though they are indeed optimal in terms of adversary's correctness, not all of them offer the same protection when looking at other dimensions of privacy. To avoid "bad" choices, we argue that the search for optimal mechanisms must be guided by complementary criteria. We provide two example auxiliary metrics that help in this regard: the conditional entropy, that captures an information-theoretic aspect of the problem; and the worst-case quality loss, that ensures that the output of the mechanism always provides a minimum utility to the users. We describe a new mechanism that maximizes the conditional entropy and is optimal in terms of average adversary error, and compare its performance with previously proposed optimal mechanisms using two real datasets. Our empirical results confirm that no mechanism fares well on every privacy criteria simultaneously, making apparent the need for considering multiple privacy dimensions to have a good understanding of the privacy protection a mechanism provides.

연구 동기 및 목표

• 위치 왜곡 메커니즘에서 적대자 추정 오차를 최소화하는 것이 강력한 프라이버시를 보장한다는 일반적인 가정을 도전하는 것.
• 평균 오차 기준 하에서 최적의 메커니즘이 다른 기준으로 평가될 경우 약한 프라이버시를 제공할 수 있음을 보여주는 것.
• 더 강건한 위치 프라이버시 메커니즘 설계를 위한 보완적 프라이버시 지표인 조건부 엔트로피와 최악의 경우 품질 손실을 제안하는 것.
• 평균 오차 성능을 유지하면서도 조건부 엔트로피를 최대화하는 새로운 메커니즘을 개발하고 평가하는 것.
• 실제 위치 데이터셋을 사용하여 다수의 프라이버시 기준에서 여러 메커니즘을 경험적으로 비교하는 것.

제안 방법

• 적대자의 진짜 위치에 대한 사후 신뢰도에 대한 불확실성을 측정하기 위해 정보 이론적 지표로 조건부 엔트로피를 제안한다.
• 서비스 품질 최소 보장을 보장하기 위해 유틸리티 제약 지표로 최악의 경우 품질 손실을 도입한다.
• 사후 지수 기반 메커니즘을 사용하여 평균 적대자 추정 오차에서 최적성을 유지하면서도 조건부 엔트로피를 최대화하는 메커니즘을 개발한다.
• Chatzikokolakis 등 (2016)의 리맵핑 기법을 응용하여 어떤 기본 왜곡 메커니즘으로도 최적의 메커니즘을 구성할 수 있도록 한다.
• 선형 프로그래밍과 베이지안 모델링을 활용하여 유틸리티 제약 조건 하에서 메커니즘을 설계하며, 사용자 중심의 희박한 위치 보고를 중심으로 한다.
• 실제 데이터셋(Gowalla 및 Brightkite)을 사용하여 다양한 프라이버시 및 유틸리티 지표에서 메커니즘을 경험적으로 평가한다.

실험 결과

연구 질문

• RQ1 평균 적대자 추정 오차를 최소화하는 메커니즘도 다른 기준으로 평가할 경우 여전히 약한 프라이버시를 제공할 수 있는가?
• RQ2 조건부 엔트로피와 최악의 경우 품질 손실과 같은 정보 이론적 지표가 위치 프라이버시 메커니즘 평가에 어떻게 기여하는가?
• RQ3 평균 오차에서 최적일 뿐 아니라 조건부 엔트로피도 최대화하는 메커니즘을 설계할 수 있는가?
• RQ4 다양한 프라이버시 지표 간 상관관계는 어떻게 되며, 한 메커니즘이 모든 차원에서 잘 작동할 수 있는가?
• RQ5 실제 데이터에서 다중 프라이버시 기준으로 평가했을 때 최적 메커니즘의 경험적 성능은 어떠한가?

주요 결과

• 모든 프라이버시 기준에서 동시에 뛰어난 성능을 내는 메커니즘이 존재하지 않음을 확인하여 다차원 평가의 필요성을 입증한다.
• 제안된 메커니즘은 평균 오차에서 최적성을 유지하면서도 조건부 엔트로피를 최대화하여 정보 이론적 프라이버시 측면에서 기존 메커니즘을 능가한다.
• Chatzikokolakis 등 (2016)의 리맵핑 기법이 어떤 왜곡 메커니즘으로도 최적 메커니즘을 구성하는 일반적인 방법임을 입증한다.
• Gowalla 및 Brightkite 데이터셋에 대한 경험적 결과는 평균 오차 기준에서 최적의 메커니즘이 여전히 높은 적대자 정확도와 낮은 불확실성을 보이며 약한 프라이버시를 초래할 수 있음을 확인한다.
• 조건부 엔트로피와 최악의 경우 품질 손실은 프라이버시 보존 메커니즘의 평가 및 설계를 위한 효과적인 보완 지표로 기능한다.
• 연구는 단지 적대자 오차 기준에 의존할 경우, 수학적으로 이 기준에서 최적임에도 불구하고 프라이버시 선택이 열악해질 수 있음을 입증한다.