[논문 리뷰] Differentially Private Location Privacy in Practice

Vincent Primault, Sonia Ben Mokhtar외 2명|arXiv (Cornell University)|2014. 10. 28.

Privacy-Preserving Technologies in Data참고 문헌 20인용 수 28

한 줄 요약

이 논문은 실질적 이동 추적 데이터를 사용하여 위치 개인정보 보호를 위한 차별적 비밀리어티 메커니즘인 Geo-Indistinguishability을 평가한다. 강력한 이론적 보장에도 불구하고, 연구는 고도의 왜곡 수준에서도 적어도 63%의 사용자 포인트 오브 인터레스트(POI)를 재식별할 수 있음을 발견하여, 위치 개인정보 보호 분야에서 이론과 실무 사이에 심각한 격차가 있음을 드러낸다.

ABSTRACT

With the wide adoption of handheld devices (e.g. smartphones, tablets) a large number of location-based services (also called LBSs) have flourished providing mobile users with real-time and contextual information on the move. Accounting for the amount of location information they are given by users, these services are able to track users wherever they go and to learn sensitive information about them (e.g. their points of interest including home, work, religious or political places regularly visited). A number of solutions have been proposed in the past few years to protect users location information while still allowing them to enjoy geo-located services. Among the most robust solutions are those that apply the popular notion of differential privacy to location privacy (e.g. Geo-Indistinguishability), promising strong theoretical privacy guarantees with a bounded accuracy loss. While these theoretical guarantees are attracting, it might be difficult for end users or practitioners to assess their effectiveness in the wild. In this paper, we carry on a practical study using real mobility traces coming from two different datasets, to assess the ability of Geo-Indistinguishability to protect users' points of interest (POIs). We show that a curious LBS collecting obfuscated location information sent by mobile users is still able to infer most of the users POIs with a reasonable both geographic and semantic precision. This precision depends on the degree of obfuscation applied by Geo-Indistinguishability. Nevertheless, the latter also has an impact on the overhead incurred on mobile devices resulting in a privacy versus overhead trade-off. Finally, we show in our study that POIs constitute a quasi-identifier for mobile users and that obfuscating them using Geo-Indistinguishability is not sufficient as an attacker is able to re-identify at least 63% of them despite a high degree of obfuscation.

연구 동기 및 목표

• Geo-Indistinguishability이 사용자 위치 개인정보 보호에 실제 세계에서 얼마나 효과적인지 평가하기 위해.
• 차별적 비밀리어티 메커니즘이 실질적으로 사용자의 민감한 포인트 오브 인터레스트(POI) 재식별을 방지할 수 있는지 평가하기 위해.
• 개인정보 보호(왜곡 수준)와 모바일 기기의 시스템 오버헤드 사이의 트레이드오프를 측정하기 위해.
• 왜곡된 위치 데이터가 여전히 공격자가 높은 지리적 및 의미적 정밀도로 POI를 추론할 수 있도록 충분한 정보를 泄露하는지 조사하기 위해.
• POI가 차별적 비밀리어티 조건 하에서도 사용자 재식별을 가능하게 하는 쿼지-아이디피어로 작용할 수 있는지 판단하기 위해.

제안 방법

• 연구는 Geo-Indistinguishability 하에서 위치 데이터를 시뮬레이션하기 위해 두 가지 다른 데이터셋에서의 실질적 이동 추적 데이터를 사용한다.
• 연구자들은 사용자 위치에 노이즈를 추가하여 차별적 비밀리어티를 보장하는 Geo-Indistinguishability 메커니즘을 적용한다.
• 연구자들은 왜곡된 위치 데이터를 관찰하고 사용자 실제 POI를 추론하려는 시도를 하는 호기심 많은 위치 기반 서비스(LBS)를 시뮬레이션한다.
• 지리적 정밀도(추론된 위치가 실제 POI에 얼마나 가까운지)와 의미적 정밀도(POI 유형의 정확한 식별 여부)를 모두 평가한다.
• 다양한 수준의 프rivacy 예산(ε)에 따라 재식별률을 측정하며, 이는 추가되는 노이즈의 양을 제어한다.
• 왜곡 과정의 계산 비용을 측정하여 모바일 기기에서의 오버헤드를 정량화한다.

실험 결과

연구 질문

• RQ1 호기심 많은 LBS는 차별적 비밀리어티로 왜곡된 위치 데이터에서 사용자의 포인트 오브 인터레스트(POI)를 재식별할 수 있는가?
• RQ2 왜곡 수준(프라이버시 예산 ε로 제어됨)이 공격자의 POI 추론 정확도에 어떻게 영향을 미치는가?
• RQ3 POI가 차별적 비밀리어티 조건 하에서도 사용자 재식별을 가능하게 하는 쿼지-아이디피어로 작용하는 정도는 어느 정도인가?
• RQ4 개인정보 보호(왜곡)와 모바일 기기에서의 계산 오버헤드 사이의 트레이드오프는 어떠한가?
• RQ5 강력한 개인정보 보호 보장 조건 하에서도 추론된 POI의 의미적 및 지리적 정밀도는 여전히 높은 편인가?

주요 결과

• 고도의 왜곡 수준이 적용된 상태에서도 적어도 63%의 사용자 포인트 오브 인터레스트(POI)를 공격자가 재식별할 수 있다.
• 추론된 POI의 지리적 및 의미적 정밀도는 여전히 높아, 왜곡된 데이터가 여전히 중요한 정보를 泄露하고 있음을 시사한다.
• 프라이버시 예산(ε)은 POI 추론 정확도와 모바일 기기에서의 계산 오버헤드에 직접적인 영향을 미친다.
• 강력한 이론적 보장이 있음에도 불구하고, POI의 쿼지-아이디피어 성격으로 인해 Geo-Indistinguishability은 실질적으로 재식별을 방지하지 못한다.
• 이 연구는 심각한 이론-실무 격차를 드러냈다: 차별적 비밀리어티 메커니즘은 위치 데이터에 대한 실제 세계의 추론 공격을 완전히 보호하지 못한다.
• 더 높은 수준의 왜곡이 적용될수록 모바일 기기에서의 오버헤드가 증가하여, 개인정보 보호와 성능 사이의 실질적 트레이드오프가 존재함을 시사한다.