[论文解读] Privacy Preservation in Location-Based Services: A Novel Metric and Attack Model

Sina Shaham, Ming Ding+3 more|arXiv (Cornell University)|May 16, 2018

Privacy-Preserving Technologies in Data参考文献 28被引用 5

一句话总结

本文提出了一种新颖的转移熵度量方法，用于评估位置服务（LBS）中的位置隐私，考虑了用户轨迹中的时间相关性。该文引入了一种基于维特比算法的攻击模型，利用查询序列进行攻击，并提出了鲁棒虚拟位置生成（RDG）算法，显著提升了对这类攻击的隐私保护能力，同时在真实世界数据集上保持了较高的单元熵和转移熵。

ABSTRACT

Recent years have seen rising needs for location-based services in our everyday life. Aside from the many advantages provided by these services, they have caused serious concerns regarding the location privacy of users. An adversary such as an untrusted location-based server can monitor the queried locations by a user to infer critical information such as the user's home address, health conditions, shopping habits, etc. To address this issue, dummy-based algorithms have been developed to increase the anonymity of users, and thus, protecting their privacy. Unfortunately, the existing algorithms only consider a limited amount of side information known by an adversary which may face more serious challenges in practice. In this paper, we incorporate a new type of side information based on consecutive location changes of users and propose a new metric called transition-entropy to investigate the location privacy preservation, followed by two algorithms to improve the transition-entropy for a given dummy generation algorithm. Then, we develop an attack model based on the Viterbi algorithm which can significantly threaten the location privacy of the users. Next, in order to protect the users from Viterbi attack, we propose an algorithm called robust dummy generation (RDG) which can resist against the Viterbi attack while maintaining a high performance in terms of the privacy metrics introduced in the paper. All the algorithms are applied and analyzed on a real-life dataset.

研究动机与目标

• 填补现有基于k-匿名的LBS隐私方案中忽略用户轨迹模式侧信息的空白。
• 量化连续位置查询对用户隐私的影响，特别是攻击者如何利用转移模式实现用户去匿名化。
• 设计一种新的隐私度量——转移熵，以捕捉基于连续查询序列的真实位置推断中的不确定性。
• 设计一种鲁棒虚拟位置生成（RDG）算法，能够抵抗基于维特比的攻击，同时在单元熵和转移熵方面保持高性能。
• 在真实世界移动性数据上评估所提出的框架，以验证其在实际条件下的有效性。

提出的方法

• 提出转移熵作为新的隐私度量，用于衡量基于查询序列识别真实用户路径的不确定性，同时考虑位置之间的时序依赖关系。
• 使用基于维特比算法的攻击模型来建模攻击者的推断能力，该模型利用历史查询模式和转移概率，以估计真实用户轨迹。
• 设计一种通用算法，通过动态规划优化序列中虚拟位置的放置，以提高任意底层虚拟位置生成方法的转移熵。
• 开发鲁棒虚拟位置生成（RDG）算法，以战略性地放置虚拟位置，使维特比攻击者产生最大混淆，同时保持较高的单元熵。
• 将所提出的算法应用于真实移动性数据，以模拟和评估在真实轨迹工作负载下的性能。
• 采用受限搜索策略，计算转移熵，同时对路径集合施加实际可行的上界，以在计算成本与准确性之间取得平衡。

实验结果

研究问题

• RQ1 将时间轨迹模式作为侧信息纳入后，对基于k-匿名的LBS系统中用户隐私的影响如何？
• RQ2 维特比算法在多大程度上可从查询序列中推断真实用户轨迹？其在用户去匿名化方面的有效性如何？
• RQ3 新的度量——转移熵，是否能有效量化LBS中由于连续查询模式导致的隐私泄露？
• RQ4 如何增强虚拟位置生成算法，以提升转移熵而不降低单元熵？
• RQ5 所提出的RDG算法是否能对基于维特比的攻击提供强抵抗能力，同时保持实际性能？

主要发现

• 基于维特比的攻击在使用DLS虚拟位置生成算法时，对长度为8的轨迹可实现近乎完全的去匿名化，暴露出严重的隐私漏洞。
• 贪心算法虽能提升转移熵，但无法抵抗维特比攻击，因随着查询长度增加，累积的侧信息导致性能下降。
• 当k-匿名性设置为15或更高时，RDG算法可保护至少50%的真实位置，表明其对基于维特比的推断攻击具有强韧性。
• 转移熵随轨迹长度增加而降低，证实随着攻击者观察到更多连续查询，其后验估计的准确性显著提高。
• 穷举算法性能略逊于RDG和贪心算法，这是由于对路径集合探索施加了实际可行的上界，但其转移熵仍优于DLS。
• RDG和贪心算法在不同底层虚拟位置生成方法下均表现有效，显示出良好的通用性与对多种池生成策略的适应能力。