[논문 리뷰] Prolonging the Hide-and-Seek Game: Optimal Trajectory Privacy for Location-Based Services

George Theodorakopoulos, Reza Shokri외 3명|arXiv (Cornell University)|2014. 09. 05.

Privacy-Preserving Technologies in Data인용 수 5

한 줄 요약

이 논문은 사용자 중심의 최적 궤적 프라이버시 메커니즘을 제안하며, 사용자와 전략적 적 간의 상호작용을 베이지안 스택엘베르크 게임으로 모델링하여 현재, 과거, 향후 위치를 모두 보호한다. 이 방법은 선형 프로그래밍을 사용해 사전에 최적의 가림 함수를 계산함으로써, 정보가 풍부한 적에 대비해 최대 프라이버시를 확보하면서도 사용자의 서비스 품질 제약을 준수한다.

ABSTRACT

Human mobility is highly predictable. Individuals tend to only visit a few locations with high frequency, and to move among them in a certain sequence reflecting their habits and daily routine. This predictability has to be taken into account in the design of location privacy preserving mechanisms (LPPMs) in order to effectively protect users when they continuously expose their position to location-based services (LBSs). In this paper, we describe a method for creating LPPMs that are customized for a user's mobility profile taking into account privacy and quality of service requirements. By construction, our LPPMs take into account the sequential correlation across the user's exposed locations, providing the maximum possible trajectory privacy, i.e., privacy for the user's present location, as well as past and expected future locations. Moreover, our LPPMs are optimal against a strategic adversary, i.e., an attacker that implements the strongest inference attack knowing both the LPPM operation and the user's mobility profile. The optimality of the LPPMs in the context of trajectory privacy is a novel contribution, and it is achieved by formulating the LPPM design problem as a Bayesian Stackelberg game between the user and the adversary. An additional benefit of our formal approach is that the design parameters of the LPPM are chosen by the optimization algorithm.

연구 동기 및 목표

• 기존의 LPPM이 순차적 위치 상관관계와 적응형 적을 고려하지 못하는 한계를 해결한다.
• 제3자 또는 다른 사용자에 의존하지 않고 독립적으로 작동하는 사용자 중심의 LPPM을 설계한다.
• 현재 위치뿐 아니라 과거, 향후, 그리고 사용자 궤적 상의 전이 위치까지도 보호한다.
• LPPM과 사용자 이동성 프로파일을 모두 알고 있는 전략적 적에 대비해 최적의 프라이버시를 확보한다.
• 제약 조건 하에 어떤 LPPM도 달성 가능한 프라이버시의 상한선을 계산하는 공식적 프레임워크를 제공한다.

제안 방법

• 사용자(리더)와 전략적 적(팔로워) 간의 LPPM 설계를 베이지안 스택엘베르크 게임으로 공식화하며, 적은 사용자 이동성 프로파일과 LPPM 알고리즘을 완전히 알고 있다.
• 사전에 선형 프로그래밍을 사용해 최적의 가림 함수 $ f(o_{\text{post}}|a_{\text{trg}}, o_{\text{pre}}) $ 를 오프라인으로 계산하며, 여기서 $ o_{\text{pre}} $ 는 허위 위치 기록의 역사를 의미하고 $ a_{\text{trg}} $ 는 목표 프라이버시 목표를 의미한다.
• 사용자가 정의한 매개변수 $ d_p $, $ d_q $, 및 $ Q_{\text{loss}}^{\max} $ 를 통해 프라이버시와 서비스 품질 간의 트레이드오프를 모델링하며, 최적화를 제약한다.
• 모든 이론적으로 가능한 위치 시퀀스가 아닌 가능성이 높은 궤적만 고려함으로써 계산 비용을 제한한다.
• 모바일 기기에서의 단순 로컬 룩업을 통해 온라인 작동을 가능하게 하여 런타임 오버헤드를 최소화한다.
• 적의 지식을 고려한 최악의 추론 공격 상황에서 프라이버시를 최대화하는 방어 전략을 해결함으로써 최적성을 확보한다.

실험 결과

연구 질문

• RQ1 사용자 이동성 프로파일과 LPPM 알고리즘을 완전히 알고 있는 전략적 적에 대비해, 사용자 중심의 LPPM을 어떻게 설계할 수 있는가?
• RQ2 과거, 현재, 향후 위치의 순차적 상관관계를 고려할 때, 최적의 프라이버시-유용성 트레이드오프는 무엇인가?
• RQ3 이 프레임워크는 현재 위치뿐 아니라 위치 간 전이 위치와 LBS 쿼리 없이 방문한 위치까지도 보호할 수 있는가?
• RQ4 가능한 위치 시퀀스의 고차원 공간을 고려할 때, LPPM은 어떻게 효율적으로 계산될 수 있는가?
• RQ5 완전히 정보가 풍부한 적이 존재하는 상황에서 달성 가능한 궤적 프라이버시의 이론적 상한선은 무엇인가?

주요 결과

• 제안된 LPPM은 방어자-적 간의 상호작용을 베이지안 스택엘베르크 게임으로 모델링함으로써 전략적 적에 대비해 최적의 궤적 프라이버시를 달성한다.
• 이 프레임워크는 과거, 현재, 향후 및 전이 위치까지 보호할 수 있으며, 이는 기존 연구가 현재 위치에만 집중한 것과 비교해 새로운 기여이다.
• 이 방법은 사용자 중심이며 단지 기기 내 로컬 룩업만으로도 작동하므로 자원 제약이 있는 모바일 기기에서의 구현에 실용적이다.
• 가림 함수 $ f $ 의 사전 계산은 비현실적인 궤적을 제거함으로써 실용적으로 효율적이며, 필요한 선형 프로그래밍의 수를 줄인다.
• 이 프레임워크는 달성 가능한 프라이버시의 증명 가능한 상한선을 제공하여 향후 LPPM 설계 평가의 기준이 된다.
• 실제 이동 추적 데이터를 사용한 연구에서, 사용자는 서비스 품질을 포기함으로써 프라이버시를 향상시킬 수 있지만, 이 최대 달성 가능한 프라이버시는 이동성의 예측 가능성에 의해 본질적으로 제한됨을 보여준다.