[논문 리뷰] Geo-Indistinguishability: Differential Privacy for Location-Based Systems

Miguel E. Andrés, Nicolás E. Bordenabe외 2명|2012. 12. 10.

Privacy-Preserving Technologies in Data참고 문헌 29인용 수 213

한 줄 요약

이 논문은 정밀한 사용자 위치 데이터를 보호하기 위해 반경 r 내에서 비밀성을 확보하는 지리적 불구분성(geo-indistinguishability)이라는 공식적인 프라이버시 모델을 소개한다. 이 모델은 비밀성 수준 εr을 제공하며, 사용자 위치에 노이즈를 추가하기 위해 이元분포(bivariate Laplace distribution)를 사용하는 메커니즘을 제안한다. 이는 기존 방법보다 프라이버시 보장을 강화하면서도 서비스 품질을 훼손하지 않는다.

ABSTRACT

The growing popularity of location-based systems, allowing unknown/untrusted servers to easily collect huge amounts of information regarding users' location, has recently started raising serious privacy concerns. In this paper we study geo-indistinguishability, a formal notion of privacy for location-based systems that protects the user's exact location, while allowing approximate information - typically needed to obtain a certain desired service - to be released. Our privacy definition formalizes the intuitive notion of protecting the user's location within a radius r with a level of privacy that depends on r, and corresponds to a generalized version of the well-known concept of differential privacy. Furthermore, we present a perturbation technique for achieving geo-indistinguishability by adding controlled random noise to the user's location. We demonstrate the applicability of our technique on a LBS application. Finally, we compare our mechanism with other ones in the literature. It turns our that our mechanism offers the best privacy guarantees, for the same utility, among all those which do not depend on the prior.

연구 동기 및 목표

• 정밀한 사용자 위치 데이터를 수집하는 신뢰할 수 없는 서버로 인한 위치 기반 서비스(LBS)의 증가하는 프라이버시 우려를 해결하기 위해.
• 사용자 위치를 반경 r 내에서 보호하는 프라이버시 개념을 공식화하며, 이는 r에 따라 프라이버시 수준이 달라지도록 한다.
• 강력한 프라이버시 보장을 확보하면서도 LBS 응용 프로그램의 유틸리티를 유지하는 메커니즘을 개발하기 위해.
• 기존 최첨단 기법과 비교하여 제안된 메커니즘이 이전 지식에 의존하지 않고도 향상된 프라이버시 성능을 보임을 보여주기 위해.

제안 방법

• 공간 데이터에 특화된 일반화된 차별적 프라이버시의 한 형태로서 지리적 불구분성을 제안하며, 이는 거리 r에 따라 프라이버시가 부드럽게 떨어지는 방식이다.
• 사용자 진짜 위치 x를 편향시키기 위해 이원분포 라플라스(bivariate Laplace, planar Laplace) 분포를 사용하여 노이즈가 첨가된 위치 z를 생성한다.
• 두 위치가 거리 r 이내에 있을 경우, 노이즈 출력의 확률 분포가 최대 εr 이내로 다를 조건을 통해 프라이버시를 정의한다.
• 반환 영역 및 입력 영역의 반경 rad_R 및 rad_I를 사용하여, 임의의 누적분포함수의 역함수 Cε⁻¹(c) = rad_R - rad_I를 유도한다.
• POI 검색 서비스에 이 메커니즘을 적용하여, 서버가 사용자의 정확한 위치를 유추할 수 없도록 하면서도 관련 결과를 반환할 수 있도록 보장한다.
• 이 메커니즘이 어떤 사전 분포이든 간에 프라이버시를 유지하며, 다중 쿼리 간에 복합성(composability)을 보장함을 입증한다.

실험 결과

연구 질문

• RQ1 어떻게 위치 기반 시스템에서 사용자 위치를 반경 r 내에서 보호하면서도 근사 위치 데이터를 공개할 수 있는 공식적인 프라이버시 정의를 내릴 수 있는가?
• RQ2 어떤 메커니즘이 이 프라이버시 보장을 달성하면서도 위치 기반 서비스의 유틸리티를 유지할 수 있는가?
• RQ3 기존의 위치 은폐 기법과 비교할 때 제안된 메커니즘은 프라이버시와 정확성 측면에서 어떻게 다른가?
• RQ4 적대자의 사용자 위치에 대한 사전 지식이 있더라도 프라이버시 보장이 유지될 수 있는가?
• RQ5 공간 데이터 배포에서 프라이버시와 유틸리티를 균형 있게 유지할 수 있는 최적의 노이즈 분포는 무엇인가?

주요 결과

• 제안된 메커니즘은 이원분포 라플라스 분포를 사용하여 사용자 위치를 편향시킴으로써 ε-지리적 불구분성을 달성하며, 거리 r 이내의 임의의 두 점이 출력 분포의 차이가 최대 εr 이내로 유지됨을 보장한다.
• rad_R = (√2·150 + 200) m 이고 c = 0.99일 때, 메커니즘은 ε = 0.016를 달성하여 정량화된 프라이버시 수준을 입증한다.
• 모든 테스트된 사전 분포에서 클로킹 방법보다 우수하며, 특히 c 값이 작은 경우에 프라이버시가 향상됨을 확인하였다.
• 프라이버시 보장이 적대자의 사전 지식에 영향을 받지 않아, 보조 정보에 대한 강건성을 확보한다.
• 여러 위치가 공개되더라도 강력한 프라이버시를 유지하며, 쿼리 간 복합성 가능성이 있다.
• 이 방법은 지리적 불구분성을 만족함을 수학적으로 증명하였으며, 노이즈 분포 및 프라이버시 경계의 엄밀한 유도 과정을 제공한다.