[论文解读] Stop the Open Data Bus, We Want to Get Off

Chris Culnane, Ariel Rubinstein+1 more|arXiv (Cornell University)|Aug 14, 2019

Privacy-Preserving Technologies in Data参考文献 10被引用 10

一句话总结

本文表明，2018年墨尔本数据马拉松期间发布的Myki公共交通数据集极易被重新识别，研究人员仅需1–3个带时间戳的出行记录，即可重新识别出自己、同行者以及陌生人。研究揭示，开放数据发布中的去标识化措施无效，对隐私构成严重风险，尤其对弱势群体影响更大。

ABSTRACT

The subject of this report is the re-identification of individuals in the Myki public transport dataset released as part of the Melbourne Datathon 2018. We demonstrate the ease with which we were able to re-identify ourselves, our co-travellers, and complete strangers; our analysis raises concerns about the nature and granularity of the data released, in particular the ability to identify vulnerable or sensitive groups.

研究动机与目标

• 调查2018年墨尔本数据马拉松期间发布的Myki公共交通数据集中个体的可重新识别性。
• 评估应用于大规模交通数据的去标识化技术的有效性。
• 强调在可使用最少外部信息重新识别的情况下，声称已去标识化的数据共享所存在的风险，尤其针对弱势个体。
• 倡导在隐私法框架下，加强技术与程序性保护措施，以提升数据共享的安全性。
• 提高公众对当前去标识化实践局限性的认识，及其对个人隐私在现实世界中的实际影响。

提出的方法

• 利用作者自身Myki卡的出行记录，通过精确的时间戳和位置数据，实现自我重新识别。
• 通过共享的出行时间与站点，将作者的出行记录与其他人的记录关联，实现同行者的重新识别。
• 仅使用三个时间-位置点，即成功重新识别出陌生人，证明出行模式具有高度独特性。
• 通过将公开的社交媒体数据（如推文）与Myki记录关联，利用外部元数据实现个人重新识别。
• 分析cardId字段的分布与结构，评估其是否真正实现去标识化，还是仅被简单混淆。
• 对数据集进行全局唯一性分析，量化从出行模式中可唯一识别的个体比例。

实验结果

研究问题

• RQ1 仅凭少数出行记录，个体在公开发布的交通数据集中在多大程度上可被重新识别？
• RQ2 应用于Myki数据集的去标识化过程在防止重新识别方面有多有效？
• RQ3 即使无法直接访问他人数据，共乘事件是否可用于推断其他乘客的身份？
• RQ4 当交通数据与公开的社交媒体信息结合时，重新识别的风险如何？
• RQ5 澳大利亚当前的数据共享法律框架为何在数据被错误地标记为已去标识化时，无法有效保护个人？

主要发现

• 作者仅凭一个带精确时间戳的出行记录，即成功重新识别出自己，证明极少数据即可实现完整身份重建。
• 通过与作者共乘的出行记录，成功重新识别出其他个体，表明共享出行模式可能暴露他人身份。
• 仅凭数据集中三个时间-位置点，即可重新识别出单一人为个体，表明其出行模式具有高度独特性。
• cardId字段未实现安全的去标识化，因其数值范围小且分布不均，暗示其与原始Myki卡号之间存在非随机且可逆的映射关系。
• 尽管数据集包含超过1.5亿张卡的近20亿次刷卡记录，且宣称已去标识化，但并未提供有意义的隐私保护。
• 本研究证实，许多声称已去标识化的数据集，包括依据隐私法共享的数据，实际上仍可被重新识别，严重削弱了公众对数据共享实践的信任。