[论文解读] A Predictive Differentially-Private Mechanism for Mobility Traces

Konstantinos Chatzikokolakis, Catuscia Palamidessi+1 more|arXiv (Cornell University)|Nov 16, 2013

Privacy-Preserving Technologies in Data参考文献 26被引用 6

一句话总结

本文提出了一种用于移动轨迹的预测性差分私有机制，通过利用用户轨迹中的时间相关性来减少隐私预算的消耗。通过预测未来位置并在发布混淆数据前进行私有验证，该机制在独立噪声添加方法上显著提升了效率，尤其在高度相关的移动模式下表现更优。

ABSTRACT

With the increasing popularity of GPS-enabled hand-held devices, location-based applications and services have access to accurate and real-time location information, raising serious privacy concerns for their millions of users. Trying to address these issues, the notion of geo-indistinguishability was recently introduced, adapting the well-known concept of Differential Privacy to the area of location-based systems. A Laplace-based obfuscation mechanism satisfying this privacy notion works well in the case of a sporadic use; Under repeated use, however, independently applying noise leads to a quick loss of privacy due to the correlation between the location in the trace. In this paper we show that correlations in the trace can be in fact exploited in terms of a prediction function that tries to guess the new location based on the previously reported locations. The proposed mechanism tests the quality of the predicted location using a private test; in case of success the prediction is reported otherwise the location is sanitized with new noise. If there is considerable correlation in the input trace, the extra cost of the test is small compared to the savings in budget, leading to a more efficient mechanism. We evaluate the mechanism in the case of a user accessing a location-based service while moving around in a city. Using a simple prediction function and two budget spending stategies, optimizing either the utility or the budget consumption rate, we show that the predictive mechanim can offer substantial improvements over the independently applied noise.

研究动机与目标

• 解决在差分隐私下重复位置查询时独立噪声添加方法效率低下的问题。
• 克服在使用标准拉普拉斯机制时，由于移动轨迹中存在相关性而导致的隐私退化问题。
• 设计一种模块化框架，将隐私强制机制与预测组件分离，以提升灵活性和可扩展性。
• 通过利用可预测的用户移动模式，提升位置服务的实用性与预算效率。
• 在地理不可区分性约束下，使用真实GPS轨迹数据集验证该机制的有效性。

提出的方法

• 将用户移动建模为一系列相关联的位置，以利用时间依赖性。
• 使用预测函数基于历史轨迹数据估算下一个位置。
• 通过差分私有机制实现私有测试，以验证预测的准确性。
• 若预测通过私有测试，则发布预测位置；否则，向真实位置添加新的拉普拉斯噪声。
• 将该机制集成到地理不可区分性框架中，确保隐私保证强健，且不依赖于攻击者先验知识。
• 应用两种预算优化策略：一种以最大化实用性为目标，另一种以最小化预算消耗速率为目标。

实验结果

研究问题

• RQ1 能否利用移动轨迹中的相关性，以减少差分私有位置发布中的隐私预算消耗？
• RQ2 在实用性与预算效率方面，预测性机制相较于独立噪声添加方法的表现如何？
• RQ3 预测准确率与私有验证对整体隐私-实用性权衡有何影响？
• RQ4 所提出的机制能否推广至地理不可区分性以外的其他 d_X-私有定义？
• RQ5 不同的预算分配策略在真实世界移动数据中对实用性与隐私预算消耗有何影响？

主要发现

• 在真实GPS轨迹数据集上，预测性机制在实用性与预算效率方面均优于独立噪声添加方法。
• 当轨迹相关性较强时，可实现显著的隐私预算节省，因为私有验证的成本被减少的噪声使用所抵消。
• 该机制在地理不可区分性下维持了强隐私保证，且不依赖于攻击者对先验知识的掌握。
• 该框架具有模块化和可扩展性，可与各种预测函数及隐私定义集成。
• 实验评估证实，该机制在大多数测试场景中均提升了性能，尤其在直线或可预测的移动模式下表现更优。
• 通过使用私有预测验证，可在不损害隐私的前提下实现高效的预算管理，即使在重复查询场景下亦成立。