[论文解读] Protecting User Privacy: An Approach for Untraceable Web Browsing History and Unambiguous User Profiles

Ghazaleh Beigi, Ruocheng Guo+3 more|arXiv (Cornell University)|Nov 22, 2018

Internet Traffic Analysis and Secure E-voting被引用 10

一句话总结

本文提出 PBooster，一种保护用户隐私的框架，通过从朋友的浏览历史中智能注入上下文相关的链接来污染浏览痕迹，从而增强网络浏览历史的用户匿名性。通过可调节的权衡参数平衡隐私与效用，PBooster 在保持最小效用损失的前提下实现高水平隐私保护，在去匿名化抵抗能力和服务个性化保真度方面均优于随机污染和效用优化方法。

ABSTRACT

The overturning of the Internet Privacy Rules by the Federal Communications Commissions (FCC) in late March 2017 allows Internet Service Providers (ISPs) to collect, share and sell their customers' Web browsing data without their consent. With third-party trackers embedded on Web pages, this new rule has put user privacy under more risk. The need arises for users on their own to protect their Web browsing history from any potential adversaries. Although some available solutions such as Tor, VPN, and HTTPS can help users conceal their online activities, their use can also significantly hamper personalized online services, i.e., degraded utility. In this paper, we design an effective Web browsing history anonymization scheme, PBooster, aiming to protect users' privacy while retaining the utility of their Web browsing history. The proposed model pollutes users' Web browsing history by automatically inferring how many and what links should be added to the history while addressing the utility-privacy trade-off challenge. We conduct experiments to validate the quality of the manipulated Web browsing history and examine the robustness of the proposed approach for user privacy protection.

研究动机与目标

• 为应对在联邦通信委员会（FCC）隐私规则废除后，ISP 和第三方对未经同意的网络浏览历史的持续跟踪威胁。
• 解决个性化在线服务中用户隐私与效用之间的根本性权衡问题。
• 设计一种框架，在不降低推荐与个性化系统中用户资料质量的前提下增强隐私保护。
• 开发一种方法，智能选择应添加到用户浏览历史中的链接，以在最大化隐私的同时保持效用。
• 评估所提方法在抵抗去匿名化攻击和保持数据效用方面的有效性。

提出的方法

• PBooster 使用基于图的方法建模用户浏览行为，利用社交网络关系识别浏览模式相似的朋友。
• 采用可调参数 λ 的效用-隐私权衡优化模型，以控制所添加链接的数量与相关性。
• 通过从朋友的历史中注入链接生成合成浏览历史，同时保持用户偏好分布的一致性。
• 使用 k-means 聚类评估生成历史的质量，通过轮廓系数衡量其与原始数据的相似性。
• 该方法采用损失函数，平衡隐私增益（通过去匿名化抵抗能力衡量）与效用损失（通过资料相似性衡量）。
• PBooster 根据用户特定行为与社交接近度动态选择链接，确保在最小化个性化干扰的同时最大化混淆效果。

实验结果

研究问题

• RQ1 如何对网络浏览历史进行匿名化处理，以在不显著降低个性化在线服务效用的前提下保护用户隐私？
• RQ2 在浏览历史匿名化过程中，隐私增强与效用保持之间的最优平衡是什么？
• RQ3 与随机或非上下文链接注入相比，从朋友历史中引入链接如何影响隐私-效用权衡？
• RQ4 PBooster 在多大程度上能够抵抗将浏览历史与真实身份关联的去匿名化攻击？
• RQ5 不同参数（如 λ 和 h）的变化如何影响匿名化浏览历史的隐私与效用结果？

主要发现

• 当 λ = 10 时，PBooster 实现了最优的隐私-效用权衡，此时隐私最大化而效用损失最小化，轮廓系数达到 |Hu| = 100 时的 0.762。
• 当 λ ≤ 10 时，该框架保持了与原始浏览历史相当的数据质量，表现为高轮廓分数和稳定的聚类性能。
• 从朋友历史中添加链接显著提升了效用保持能力，这是由于同质性效应降低了用户资料的失真。
• PBooster 在隐私和效用方面均优于随机污染方法，其隐私水平高于原始数据，效用水平优于随机方法。
• 随着 h（所用朋友历史数量）的增加，效用提升，但数据暴露风险也随之上升；最优 h = 25 时实现了性能的平衡。
• PBooster 在所有用户中均提供一致的隐私增益，而随机方法虽实现高隐私但以牺牲效用为代价，且无法避免 JustFriends 方法中高效率用但低隐私的问题。