[论文解读] Prolonging the Hide-and-Seek Game: Optimal Trajectory Privacy for Location-Based Services

George Theodorakopoulos, Reza Shokri+3 more|arXiv (Cornell University)|Sep 5, 2014

Privacy-Preserving Technologies in Data被引用 5

一句话总结

本文提出了一种以用户为中心的、最优轨迹隐私保护机制，用于位置服务，通过将用户与策略性对手之间的交互建模为贝叶斯斯塔克尔贝格博弈，保护用户当前、过去及未来的地理位置。该方法通过线性规划离线预计算最优混淆函数，确保在尊重用户服务质量约束的前提下，对具备先验知识的对手实现最大隐私保护。

ABSTRACT

Human mobility is highly predictable. Individuals tend to only visit a few locations with high frequency, and to move among them in a certain sequence reflecting their habits and daily routine. This predictability has to be taken into account in the design of location privacy preserving mechanisms (LPPMs) in order to effectively protect users when they continuously expose their position to location-based services (LBSs). In this paper, we describe a method for creating LPPMs that are customized for a user's mobility profile taking into account privacy and quality of service requirements. By construction, our LPPMs take into account the sequential correlation across the user's exposed locations, providing the maximum possible trajectory privacy, i.e., privacy for the user's present location, as well as past and expected future locations. Moreover, our LPPMs are optimal against a strategic adversary, i.e., an attacker that implements the strongest inference attack knowing both the LPPM operation and the user's mobility profile. The optimality of the LPPMs in the context of trajectory privacy is a novel contribution, and it is achieved by formulating the LPPM design problem as a Bayesian Stackelberg game between the user and the adversary. An additional benefit of our formal approach is that the design parameters of the LPPM are chosen by the optimization algorithm.

研究动机与目标

• 解决现有轨迹隐私保护机制（LPPM）未能考虑位置序列相关性及适应性对手的问题。
• 设计一种独立于第三方或其它用户的以用户为中心的LPPM。
• 不仅保护当前位置，还保护用户轨迹上的过去、未来及位置间过渡状态。
• 确保在对手完全知晓LPPM与用户移动性特征的前提下，实现最优隐私保护。
• 提供一个正式框架，计算在给定约束条件下任意LPPM可实现隐私的理论上限。

提出的方法

• 将LPPM设计建模为用户（领导者）与具备用户移动性特征和LPPM算法完整知识的策略性对手（追随者）之间的贝叶斯斯塔克尔贝格博弈。
• 通过线性规划离线预计算最优混淆函数 $ f(o_{\text{post}}|a_{\text{trg}}, o_{\text{pre}}) $，其中 $ o_{\text{pre}} $ 为伪位置的历史记录，$ a_{\text{trg}} $ 为目标隐私目标。
• 通过用户自定义参数 $ d_p $、$ d_q $ 和 $ Q_{\text{loss}}^{\max} $ 建模隐私与服务质量之间的权衡，这些参数用于约束优化过程。
• 通过仅考虑可能的轨迹而非所有理论上可能的位置序列，降低计算开销。
• 通过移动设备上的简单本地查表实现在线运行，最大限度减少运行时开销。
• 通过求解在对手已知条件下使隐私最大化的防御策略，确保最优性，该策略针对最坏情况的推理攻击。

实验结果

研究问题

• RQ1 如何设计一种以用户为中心的LPPM，以抵御完全掌握用户移动性特征和LPPM算法的策略性对手？
• RQ2 在考虑位置序列相关性（包括过去、当前及未来位置）的前提下，最优隐私-效用权衡是什么？
• RQ3 该框架是否不仅能保护当前位置，还能保护位置之间的过渡状态以及未通过LBS查询访问的位置？
• RQ4 尽管可能的位置序列空间维度很高，该LPPM如何实现高效计算？
• RQ5 在完全知情对手存在的情况下，可实现的轨迹隐私理论上限是什么？

主要发现

• 所提出的LPPM通过将防御者-对手交互建模为贝叶斯斯塔克尔贝格博弈，实现了最优轨迹隐私，确保在面对策略性对手时达到最佳隐私保护效果。
• 该框架可保护过去、当前、未来及位置间过渡状态，相较于以往仅关注当前位置的工作，这是新颖的贡献。
• 该方法以用户为中心，仅需在设备上进行本地查表，因此在资源受限的移动设备上具有实际部署可行性。
• 由于对不切实际的轨迹进行了剪枝，混淆函数 $ f $ 的离线计算在实践中效率较高，显著减少了所需线性规划的数量。
• 该框架提供了可实现隐私的可证明理论上限，可作为未来LPPM设计评估的基准。
• 基于真实移动轨迹数据，研究结果表明用户可通过牺牲服务质量换取更高隐私，但最大可实现隐私在根本上受限于移动性的可预测性。