[논문 리뷰] Ensuring Privacy in Location-Based Services: A Model-based Approach

Alireza Partovi, Wei Zheng외 2명|arXiv (Cornell University)|2020. 02. 24.

Privacy-Preserving Technologies in Data참고 문헌 29인용 수 5

한 줄 요약

이 논문은 장기적인 프라이버시를 보장하기 위해 마르코프 결정 과정(MDP)을 사용하는 모델 기반 위치 프라이버시 보존 메커니즘(LPPM)을 제안한다. 확률적 현재 상태 오paque성 기반의 $\boldsymbol{\varepsilon}$-프라이버시 메트릭을 도입함으로써, 적대자에 대한 사전 지식과 관계없이 사용자가 지정한 프라이버시 수준을 유지하기 위해 동적으로 위치 가림을 수행한다. 이로 인해 초기 민감한 위치에 대한 민감도가 임계값을 초과하더라도 점 渐진적 프라이버시를 달성할 수 있으며, 이는 서비스 품질 손실 증가를 수반한다.

ABSTRACT

In recent years, the widespread of mobile devices equipped with GPS and communication chips has led to the growing use of location-based services (LBS) in which a user receives a service based on his current location. The disclosure of user's location, however, can raise serious concerns about user privacy in general, and location privacy in particular which led to the development of various location privacy-preserving mechanisms aiming to enhance the location privacy while using LBS applications. In this paper, we propose to model the user mobility pattern and utility of the LBS as a Markov decision process (MDP), and inspired by probabilistic current state opacity notation, we introduce a new location privacy metric, namely $ε-$privacy, that quantifies the adversary belief over the user's current location. We exploit this dynamic model to design a LPPM that while it ensures the utility of service is being fully utilized, independent of the adversary prior knowledge about the user, it can guarantee a user-specified privacy level can be achieved for an infinite time horizon. The overall privacy-preserving framework, including the construction of the user mobility model as a MDP, and design of the proposed LPPM, are demonstrated and validated with real-world experimental data.

연구 동기 및 목표

• 적대자가 사용자 이동 패턴에 대해 강력한 사전 지식을 가진 경우 실패하는 기존 LPPM의 한계를 해결한다.
• 적대자 사전 믿음에 영향을 받지 않고 무한 시간 동안 사용자가 지정한 프라이버시 수준을 보장하는 프라이버시 보존 프레임워크를 개발한다.
• 확률적 현재 상태 오paque성 기반으로 사용자 현재 위치에 대한 적대자 불확실성을 정량화하기 위해 새로운 프라이버시 메트릭인 $\boldsymbol{\varepsilon}$-프라이버시를 도입한다.
• 서비스 품질 손실을 최소화하면서도 추론 공격에 대한 강력한 프라이버시를 보장하는 동적 가림 정책을 설계한다.
• 초기 민감한 위치에 대한 믿음이 위반되어도 LPPM이 적대자를 속여 그 믿음을 점차적으로 $\boldsymbol{\varepsilon}$ 임계값 이하로 낮출 수 있음을 입증한다.

제안 방법

• 사용자 이동 패턴과 LBS 유틸리티를 마르코프 결정 과정(MDP)으로 모델링하며, 상태는 사용자 위치를 나타내고, 행동은 가림 전략을 의미한다.
• $\boldsymbol{\varepsilon}$-프라이버시를 확률적 현재 상태 오paque성 조건으로 정의하여, 적대자가 민감한 위치에 대한 믿음이 사용자가 정의한 임계값 $\boldsymbol{\varepsilon}$ 이하로 유지되도록 보장한다.
• MDP 기반 LPPM 합성 문제를 선형 프로그래밍(LP)으로 공식화하여, $\boldsymbol{\varepsilon}$-프라이버시 제약 조건 하에 평균 서비스 품질 손실을 최소화하고, 효율적인 정책 계산을 가능하게 한다.
• 초기 적대자 믿음이 $\boldsymbol{\varepsilon}$-프라이버시를 위반하는 경우, 이에 대응하기 위해 이차형 매트릭스 부등식(BMI) 문제를 활용하여 점 渐진적으로 적대자 믿음을 $\boldsymbol{\varepsilon}$ 이하로 낮추는 정책을 합성한다.
• 베이지안 믿음 업데이트를 사용하여 적대자의 추론 과정을 모델링하며, 사용자 쿼리 패턴과 가림 결과에 기반해 믿음을 갱신한다.
• 실세계 이동 데이터를 사용하여 프레임워크를 검증하였으며, MATLAB에서 정책 성능을 시뮬레이션하여 LP의 경우 0.46초, BMI의 경우 29.53초의 측정된 계산 시간을 기록하였다.

실험 결과

연구 질문

• RQ1 적대자가 사용자 이동 패턴에 대해 강력한 사전 지식을 가진 경우에도, 모델 기반 LPPM이 무한 시간 동안 사용자가 지정한 프라이버시 수준($\boldsymbol{\varepsilon}$-프라이버시)을 확보할 수 있는가?
• RQ2 동적 LBS 환경에서 서비스 품질 손실과 프라이버시 보호 간의 트레이드오프를 정량적으로 어떻게 관리할 수 있는가?
• RQ3 초기 민감한 위치에 대한 믿음이 위반되어도, 프라이버시 보존 정책이 얼마나 효과적으로 적대자의 불확실성을 $\boldsymbol{\varepsilon}$ 임계값 이하로 낮출 수 있는가?
• RQ4 실세계 이동 시나리오에서 LP 및 BMI 공식화를 사용해 최적의 프라이버시 보존 정책을 합성하는 데 있어 계산적 실현 가능성은 어떠한가?
• RQ5 제안된 $\boldsymbol{\varepsilon}$-프라이버시 메트릭은 기존의 가림 기법과 비교해 이동 패턴 기반 추론 공격에 대해 얼마나 효과적으로 저항하는가?

주요 결과

• 제안된 LPPM은 초기 믿음이 프라이버시 요구사항을 위반하더라도(예: 민감한 POI에 대한 초기 믿음 합이 0.2), 민감한 위치에 대한 적대자 믿음을 $\boldsymbol{\varepsilon}$-프라이버시 임계값 이하로 억제하는 데 성공하였다.
• LP를 통한 프라이버시 제약 조건 적용 시, 평균 서비스 품질 손실은 프라이버시 없이 67.72에서 107.03으로 증가하여, 프라이버시와 서비스 품질 간의 정량적 트레이드오프를 입증하였다.
• BMI 기반 정책 합성은 점 渐진적으로 적대자 민감한 위치에 대한 믿음을 $\boldsymbol{\varepsilon} = 0.16$ 이하로 낮추어, 초기 위반에도 불구하고 원하는 프라이버시 수준을 달성하였다.
• LP를 통한 최적의 LPPM 합성은 단 0.46초가 소요되었고, 점 渐진적 프라이버시를 위한 더 복잡한 BMI 기반 정책은 29.53초가 소요되어 실시간 구현 가능성은 실현 가능함을 시사하였다.
• 실세계 실험 데이터를 기반으로 한 검증 결과, 개별 위치 은폐만으로는 적대자가 이동 모델을 활용해 불확실성을 줄일 수 있음을 보여주었으며, 이는 동적이고 모델 기반의 가림의 필요성을 강조한다.
• 결과는 제안된 $\boldsymbol{\varepsilon}$-프라이버시 메트릭이 적대자 믿음의 동적 변화를 효과적으로 포착하고, LBS 응용 분야에서 공식적이고 장기적인 프라이버시 보장을 가능하게 함을 확인하였다.