[논문 리뷰] Privacy Preservation in Location-Based Services: A Novel Metric and Attack Model

Sina Shaham, Ming Ding외 3명|arXiv (Cornell University)|2018. 05. 16.

Privacy-Preserving Technologies in Data참고 문헌 28인용 수 5

한 줄 요약

이 논문은 사용자 궤적의 시간적 상관관계를 고려하여 LBS에서의 위치 프라이버시를 평가하기 위해 새로운 전이 엔트로피 메트릭을 제안한다. 이는 쿼리 시퀀스를 악용하는 비터비 기반 공격 모델을 제시하며, 강력한 더미 생성(RDG) 알고리즘을 통해 이러한 공격에 대해 프라이버시를 크게 향상시키지만, 실세계 데이터셋에서 세포-엔트로피와 전이-엔트로피를 높은 수준으로 유지한다.

ABSTRACT

Recent years have seen rising needs for location-based services in our everyday life. Aside from the many advantages provided by these services, they have caused serious concerns regarding the location privacy of users. An adversary such as an untrusted location-based server can monitor the queried locations by a user to infer critical information such as the user's home address, health conditions, shopping habits, etc. To address this issue, dummy-based algorithms have been developed to increase the anonymity of users, and thus, protecting their privacy. Unfortunately, the existing algorithms only consider a limited amount of side information known by an adversary which may face more serious challenges in practice. In this paper, we incorporate a new type of side information based on consecutive location changes of users and propose a new metric called transition-entropy to investigate the location privacy preservation, followed by two algorithms to improve the transition-entropy for a given dummy generation algorithm. Then, we develop an attack model based on the Viterbi algorithm which can significantly threaten the location privacy of the users. Next, in order to protect the users from Viterbi attack, we propose an algorithm called robust dummy generation (RDG) which can resist against the Viterbi attack while maintaining a high performance in terms of the privacy metrics introduced in the paper. All the algorithms are applied and analyzed on a real-life dataset.

연구 동기 및 목표

• 기존의 k-익명성 기반 LBS 프라이버시 체계가 사용자 궤적 패턴에서 유도되는 보조 정보를 간과하는 격차를 해결한다.
• 연속적인 위치 쿼리가 사용자 프라이버시에 미치는 영향을 정량화하며, 특히 악성 사용자가 전이 패턴을 악용하여 사용자를 탈동명화할 수 있는 방식을 분석한다.
• 순차적 쿼리에 기반한 실제 위치 추론의 불확실성을 캡처하는 새로운 프라이버시 메트릭인 전이-엔트로피를 개발한다.
• 비터비 스타일의 공격에 저항하면서도 세포-엔트로피와 전이-엔트로피 양측 모두에서 높은 성능을 유지하는 강력한 더미 생성(RDG) 알고리즘을 설계한다.
• 실세계 이동 데이터를 기반으로 제안된 프레임워크를 평가하여 실용적 조건 하에서의 효과성을 검증한다.

제안 방법

• 시간적 의존성 간의 위치 간 관계를 반영하여 쿼리 시퀀스 기반으로 실제 사용자 경로 식별의 불확실성을 측정하는 새로운 프라이버시 메트릭인 전이-엔트로피를 제안한다.
• 이전 쿼리 패턴과 전이 확률을 활용하여 진짜 사용자 궤적을 추정하는 데 목적이 있는 비터비 알고리즘 기반 공격을 통해 악성 사용자의 추론 능력을 모델링한다.
• 임의의 기초 더미 생성 방법에 대해 전이-엔트로피를 높이는 일반 목적의 알고리즘을 설계하며, 동적 프로그래밍을 사용하여 시퀀스 전역에서 더미 배치를 최적화한다.
• 비터비 공격자에 대한 혼란을 극대화하면서도 높은 세포-엔트로피를 유지하는 방식으로 더미를 전략적으로 배치하는 강력한 더미 생성(RDG) 알고리즘을 개발한다.
• 실제 이동 데이터를 적용하여 실제 궤적 워크로드 하에서 성능을 시뮬레이션하고 평가한다.
• 경로 집합 탐색에 대한 실용적인 상한선을 고려한 제약된 검색 전략을 사용하여 전이-엔트로피를 계산하며, 계산 비용과 정확도 사이의 균형을 맞춘다.

실험 결과

연구 질문

• RQ1 시간적 궤적 패턴을 보조 정보로 포함할 경우 k-익명성 기반 LBS 시스템에서 사용자 프라이버시에 어떤 영향을 미치는가?
• RQ2 비터비 알고리즘이 쿼리 시퀀스에서 진짜 사용자 궤적을 얼마나 정확하게 추론할 수 있으며, 사용자 탈동명화에 얼마나 효과적인가?
• RQ3 전이-엔트로피라는 새로운 메트릭이 LBS에서 순차적 쿼리 패턴으로 인한 프라이버시 泄露를 효과적으로 정량화할 수 있는가?
• RQ4 더미 생성 알고리즘은 세포-엔트로피를 떨어뜨리지 않으면서 전이-엔트로피를 어떻게 향상시킬 수 있는가?
• RQ5 제안된 RDG 알고리즘은 비터비 스타일의 공격에 강력한 저항성을 보이며 동시에 실용적인 성능을 유지할 수 있는가?

주요 결과

• DLS 더미 생성 알고리즘을 사용할 경우 비터비 기반 공격은 길이가 8인 궤적에서 실존하는 위치를 거의 완전히 탈동명화하며, 심각한 프라이버시 취약점을 드러낸다.
• 그리디 알고리즘은 전이-엔트로피를 향상시키지만, 누적된 보조 정보로 인해 쿼리 길이가 증가함에 따라 성능이 떨어지므로 비터비 공격에 저항하지 못한다.
• k-익명성이 15 이상으로 설정된 경우 RDG 알고리즘은 최소 50%의 실존 위치를 보호하며, 비터비 스타일의 추론에 대한 강력한 내성성을 입증한다.
• 긴 궤적일수록 전이-엔트로피가 감소함을 확인하여, 악성 사용자가 더 많은 순차적 쿼리를 관찰할수록 더 정확한 사후 추정치를 확보할 수 있음을 입증한다.
• 완전 탐색 알고리즘은 실용적인 경로 집합 탐색 상한선으로 인해 RDG와 그리디보다 略로 나쁘지만, 여전히 DLS보다 전이-엔트로피에서 뛰어난 성능을 보인다.
• RDG와 그리디 알고리즘은 다양한 기초 더미 생성 방법에 대해 효과적이며, 다양한 풀 생성 전략에 일반화되고 적응 가능함을 보여준다.