[论文解读] On (The Lack Of) Location Privacy in Crowdsourcing Applications

Spyros Boukoros, Mathias Humbert+2 more|SERVAL (Université de Lausanne)|Jan 15, 2019

Privacy-Preserving Technologies in Data参考文献 57被引用 9

一句话总结

本文评估了现有位置隐私保护机制（LPPMs）在移动众包（MCS）应用中的有效性，发现为基于位置的服务（LBS）设计的防御措施在MCS中几乎无法提供隐私保护，原因在于持续的数据采集以及对测量值而非位置精度的依赖。研究显示，当前的LPPMs显著降低了MCS的实用性，却无法有效防范POI推断攻击。

ABSTRACT

Crowdsourcing enables application developers to benefit from large and diverse datasets at a low cost. Specifically, mobile crowdsourcing (MCS) leverages users' devices as sensors to perform geo-located data collection. The collection of geolocated data raises serious privacy concerns for users. Yet, despite the large research body on location privacy-preserving mechanisms (LPPMs), MCS developers implement little to no protection for data collection or publication. To understand this mismatch, we study the performance of existing LPPMs on publicly available data from two mobile crowdsourcing projects. Our results show that well-established defenses are either not applicable or offer little protection in the MCS setting. Additionally, they have a much stronger impact on applications' utility than foreseen in the literature. This is because existing LPPMs, designed with location-based services (LBSs) in mind, are optimized for utility functions based on users' locations, while MCS utility functions depend on the values (e.g., measurements) associated with those locations. We finally outline possible research avenues to facilitate the development of new location privacy solutions that fit the needs of MCS so that the increasing number of such applications do not jeopardize their users' privacy.

研究动机与目标

• 调查为何现有位置隐私保护机制（LPPMs）尽管理论基础坚实，但在移动众包（MCS）应用中仍表现无效。
• 识别LPPM设计（针对LBS用例优化）与MCS中实际数据采集和实用性模型之间的根本性不匹配。
• 利用Safecast和Radiocells的真实MCS数据集，评估现有LPPMs在现实世界中的隐私与实用性权衡。
• 提出专为MCS工作负载设计的新隐私与实用性度量指标，重点关注POI识别与聚合测量准确性。
• 揭示MCS数据采集中的系统性问题，包括贡献者控制缺失、数据来源全球化，以及对多样化隐私法规的合规性挑战。

提出的方法

• 在Safecast和Radiocells的真实MCS数据集上评估五种成熟LPPMs——地理不可区分性、拉普拉斯机制、随机响应、k-匿名性与位置扰动。
• 基于二值分类与信息检索提出两种新隐私度量：一种用于POI识别，另一种用于轨迹去匿名化。
• 开发新的实用性度量，用于衡量聚合数据值（如辐射水平、信号强度）的准确性，而非位置距离误差。
• 在公开可用的数据集上开展实验，评估不同LPPM配置下的隐私泄露与实用性下降情况。
• 使用基于机器学习的POI推断攻击，评估LPPMs在防范重新识别与敏感位置暴露方面的有效性。
• 分析数据量、时间模式及测量相关性对连续MCS数据采集中隐私与实用性结果的影响。

实验结果

研究问题

• RQ1 现有为LBS设计的LPPMs在持续性、基于测量的MCS应用中能在多大程度上提供有意义的隐私保护？
• RQ2 当MCS应用的实用性主要依赖于测量值而非位置精度时，LPPMs如何影响聚合数据的实用性？
• RQ3 即使应用了LPPMs，POI推断攻击是否仍能成功从扰动后的MCS数据中识别出敏感位置？
• RQ4 基于分类与检索性能的隐私与实用性度量，与MCS场景中传统的基于距离的度量相比，表现如何？
• RQ5 MCS数据采集中的系统性挑战（如缺乏贡献者控制、全球数据来源）如何阻碍隐私保护的部署与研究？

主要发现

• 现有LPPMs，包括具有强大理论保证的地理不可区分性，由于持续的数据采集模式，在MCS环境中几乎无法提供隐私保护。
• 如轨迹混淆等位置隐藏技术在LBS中有效，但在MCS中无法带来有意义的隐私增益，原因在于测量数据量大且时间模式规律。
• 专为位置精度设计的LPPMs会显著降低MCS应用的实用性，因为MCS依赖于准确的聚合测量值（如辐射水平、信号强度），而非仅位置准确性。
• POI推断攻击能成功从扰动后的MCS数据中识别出敏感位置，表明即使具备强隐私保证，现有防御措施仍无法防范此类重新识别攻击。
• 研究发现，真实世界的MCS数据集常包含未获适当同意的未成年人数据，因缺乏贡献者控制与文档记录，引发法律与伦理问题。
• 机构伦理审查委员会因数据来源不明确与全球数据来源问题，拒绝或延迟了本项目，凸显不良文档记录虽数据公开，仍严重阻碍MCS数据的科学使用。