[논문 리뷰] LDPTrace: Locally Differentially Private Trajectory Synthesis

Yuntao Du, Yujia Hu외 5명|arXiv (Cornell University)|2023. 02. 13.

Privacy-Preserving Technologies in Data인용 수 6

한 줄 요약

LDPTrace는 외부 지식에 의존하지 않고 사용자 이동 패턴(공간적 근접성, 시간 일관성, 이동 빈도 등)을 모델링함으로써 현실적이고 프라이버시를 보장하는 궤적을 생성하는 국소적 미분적 프라이버시(LoD) 궤적 합성 프레임워크를 소개한다. 이는 최소한의 계산 비용으로 뛰어난 유효성과 공격에 대한 저항력을 확보하여 기존의 NGRAM과 같은 기법들보다 프라이버시 보호 및 궤적의 진정성 측면에서 뛰어나다.

ABSTRACT

Trajectory data has the potential to greatly benefit a wide-range of real-world applications, such as tracking the spread of the disease through people's movement patterns and providing personalized location-based services based on travel preference. However, privay concerns and data protection regulations have limited the extent to which this data is shared and utilized. To overcome this challenge, local differential privacy provides a solution by allowing people to share a perturbed version of their data, ensuring privacy as only the data owners have access to the original information. Despite its potential, existing point-based perturbation mechanisms are not suitable for real-world scenarios due to poor utility, dependence on external knowledge, high computational overhead, and vulnerability to attacks. To address these limitations, we introduce LDPTrace, a novel locally differentially private trajectory synthesis framework. Our framework takes into account three crucial patterns inferred from users' trajectories in the local setting, allowing us to synthesize trajectories that closely resemble real ones with minimal computational cost. Additionally, we present a new method for selecting a proper grid granularity without compromising privacy. Our extensive experiments using real-world data, various utility metrics and attacks, demonstrate the efficacy and efficiency of LDPTrace.

연구 동기 및 목표

• 기존의 국소적 미분적 프라이버시(LDP) 기법이 궤적 데이터 처리에 있어 낮은 전반적 유효성, 외부 지식 의존성, 높은 계산 비용, 위치 기반 공격에 취약하다는 한계를 해결한다.
• 선형 프로그래밍과 외부 데이터에 의존하는 바탕으로 인해 낮은 전반적 유효성과 높은 오버헤드를 겪는 NGRAM과 같은 점 기반 노이즈 부여 기법의 단점을 극복한다.
• 복잡한 공간적·시간적 패턴을 유지하면서도 국소 설정에서 강력한 프라이버시 보장을 보장하는 프라이버시 보존 궤적 합성 프레임워크를 개발한다.
• 프라이버시 예산을 소모하지 않고 최적의 격자 해상도를 선택하기 위한 이론적 지침을 제공함으로써 효율성과 실용성을 향상시킨다.
• 실제 궤적과 유사하지 않은 궤적을 합성함으로써 일반적인 위치 기반 공격(재식별 및 아웃라이어 유출 등)에 대해 결정론적 저항성을 확보한다.

제안 방법

• 공간적 근접성, 시간 일관성, 이동 빈도의 세 가지 핵심 사용자 궤적 패턴을 활용하여 국소적이고 프라이버시 보장된 방식으로 이동 행동을 모델링한다.
• 직접적인 실사용자 데이터 폭 lộ를 방지하기 위해 점 기반 노이즈 부여가 아닌 합성 기반 접근법을 사용하여 학습된 패턴에서 새로운 궤적을 생성한다.
• 이론적 분석에 기반한 새로운 격자 해상도 선택 방법을 도입하여 프라이버시 예산을 손상시키지 않으면서도 유효성을 확보한다.
• 국소 설정에서 빈도 추정을 위해 OUE(Optimal Unbiased Estimator) 기법을 적용하여 정확하고 프라이버시 보장된 궤적 모델링을 가능하게 한다.
• 패턴 추출 및 재구성 과정을 통합한 궤적 합성 파이프라인을 설계하여 최소한의 계산 오버헤드로 현실적인 익명화 궤적을 생성한다.
• 합성 궤적이 실제 궤적과 통계적으로 상관관계가 없도록 하여 재식별 위험을 감소시키고, 공격에 대한 저항력을 확보한다.

Figure 1. The $\mathsf{LDPTrace}$ framework.

실험 결과

연구 질문

• RQ1 국소적 미분적 프라이버시 궤적 합성 프레임워크는 점 기반 노이즈 부여 방식보다 전반적 공간 통계와 개인의 이동 패턴을 더 효과적으로 유지할 수 있는가?
• RQ2 프라이버시 예산을 소모하지 않고 LDP 궤적 공개에서 격자 해상도를 최적화하여 선택할 수 있는가?
• RQ3 합성 기반 접근법은 기존의 LDP 기법 대비 재식별 및 아웃라이어 유출 공격에 얼마나 잘 저항할 수 있는가?
• RQ4 합성 기반 접근법은 낮은 계산 비용으로도 강력한 프라이버시 보장을 유지하면서 높은 유효성을 달성할 수 있는가?
• RQ5 외부 지식이 없을 경우 LDP 환경에서 합성 궤적의 성능과 현실성에 어떤 영향을 미치는가?

주요 결과

• LDPTrace는 재식별 공격에 대해 88% 이상의 보호율을 확보하여, 더 엄격한 프라이버시 파rameter 하에서도 증명 가능한 보호를 제공하지 못하는 NGRAM을 크게 능가한다.
• 모든 궤적이 프라이버시 파rameter 값 2에서 10까지의 범위에서 아웃라이어 공격으로부터 숨겨져 있음을 확인하여, 합성 설계 덕분에 강력한 저항성을 입증했다.
• LDPTrace는 인구 수준의 공간 통계(공간 밀도, 빈번한 이동 패턴 등)를 유지하여 높은 전반적 유효성을 확보했으며, NGRAM은 낮은 전반적 유효성 문제를 겪는다.
• 선형 프로그래밍 솔버나 외부 데이터 의존성을 피함으로써 낮은 계산 오버헤드를 달성하여 저비용 장치에 적합하다.
• 이론적 격자 선택 방법은 프라이버시 예산을 소모하지 않으면서 최적의 해상도를 확보하여 효율성과 실용성을 향상시킨다.
• 세 가지 실세계 데이터셋에 대한 광범위한 실험을 통해 LDPTrace가 유효성, 효율성, 프라이버시 저항성 측면에서 다수의 지표와 공격 시나리오에서 NGRAM을 모두 능가함을 확인했다.

Figure 3. (a) Impact of $\lambda$ . (b) Impact of query size $r$ . (c) Impact of granularity $N$ on total runtime (seconds).