[论文解读] Knock Knock, Who's There? Membership Inference on Aggregate Location Data

Apostolos Pyrgelis, Carmela Troncoso+1 more|arXiv (Cornell University)|Aug 21, 2017

Privacy-Preserving Technologies in Data被引用 6

一句话总结

本文首次对聚合位置时间序列数据开展会员身份推断攻击的正式研究，将攻击建模为机器学习分类问题，以判断目标用户的数据是否包含在聚合数据中。研究发现，此类攻击极为有效——AUC最高可达0.83，尤其在小群体或具备先验知识时更为显著；尽管差分隐私可降低信息泄露，但若攻击者通过在噪声数据上训练来模仿防御机制，其保护效果仍有限。

ABSTRACT

Aggregate location data is often used to support smart services and applications, e.g., generating live traffic maps or predicting visits to businesses. In this paper, we present the first study on the feasibility of membership inference attacks on aggregate location time-series. We introduce a game-based definition of the adversarial task, and cast it as a classification problem where machine learning can be used to distinguish whether or not a target user is part of the aggregates. We empirically evaluate the power of these attacks on both raw and differentially private aggregates using two mobility datasets. We find that membership inference is a serious privacy threat, and show how its effectiveness depends on the adversary's prior knowledge, the characteristics of the underlying location data, as well as the number of users and the timeframe on which aggregation is performed. Although differentially private mechanisms can indeed reduce the extent of the attacks, they also yield a significant loss in utility. Moreover, a strategic adversary mimicking the behavior of the defense mechanism can greatly limit the protection they provide. Overall, our work presents a novel methodology geared to evaluate membership inference on aggregate location data in real-world settings and can be used by providers to assess the quality of privacy protection before data release or by regulators to detect violations.

研究动机与目标

• 调查会员身份推断攻击在聚合位置时间序列数据上是否可行。
• 通过机器学习方法将会员身份推断形式化为博弈论中的可区分性任务。
• 评估差分隐私机制在缓解此类攻击方面的有效性，同时衡量其带来的效用损失。
• 评估先验知识、数据稀疏性、分组规模和聚合时间范围对攻击成功率的影响。
• 为数据提供方和监管机构提供一种在数据发布前评估隐私保护质量的方法论。

提出的方法

• 将会员身份推断任务建模为二分类问题，攻击者需判断目标用户是否包含在特定聚合中。
• 基于先验知识（包括含目标用户与不含目标用户的原始或差分隐私聚合数据）训练机器学习分类器（如MLP）。
• 利用真实移动性数据集（TFL和SFC）在不同条件（如分组规模、时间范围和数据规律性）下评估攻击性能。
• 对聚合数据应用差分隐私机制（LPA、GSM、FPA、EFPAG），并测量其对会员身份推断准确率的影响。
• 评估被动攻击者与策略性攻击者：前者在原始数据上训练，后者在噪声数据上训练以模仿防御机制。
• 通过AUC和敏感性指标，在不同epsilon值下测量隐私增益（PG）和效用损失。

实验结果

研究问题

• RQ1 当攻击者对用户位置具有部分先验知识时，会员身份推断在聚合位置时间序列上的有效性如何？
• RQ2 差分隐私在多大程度上降低了对聚合移动性数据的会员身份推断攻击成功率？
• RQ3 聚合分组中的用户数量和聚合时间范围如何影响攻击准确率？
• RQ4 能否通过模仿防御机制训练的策略性攻击者显著降低差分隐私机制的隐私保障？
• RQ5 数据特征（如稀疏性和规律性）如何影响会员身份推断攻击的强度？

主要发现

• 当攻击者具备对小部分用户（每组100人）的先验知识时，会员身份推断攻击的AUC最高可达0.83，表明对目标用户是否被包含的识别能力极强。
• 在具备用户分组先验知识的情况下，即使每组有9,500名用户，攻击的AUC仍可达1.0，表明在有利条件下可实现近乎完美的分类。
• 差分隐私机制虽能降低会员身份推断的成功率，但效用损失显著，尤其在LPA和GSM等机制中更为明显。
• 通过在噪声聚合数据上训练的策略性攻击者，可使DP机制的隐私增益降低高达83%，从而严重削弱其有效性。
• 在稀疏数据集（如TFL）上，隐私增益随epsilon增加而更快下降，原因在于其敏感性更高；相比之下，密集数据集（如SFC）下降更平缓。
• DP机制的性能差异显著：FPA和EFPAG提供更好的效用但隐私保护能力较弱，而LPA和GSM虽声称隐私保护强，但效用表现差。