7.4位置信息與隱私保護(hù)計(jì)算機(jī)學(xué)院

李永忠學(xué)習(xí)任務(wù)位置服務(wù)

隱私保護(hù)物聯(lián)網(wǎng)隱私保護(hù)

123本節(jié)主要涉及：4

物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)7.4位置信息與隱私保護(hù)7.4.3物聯(lián)網(wǎng)隱私保護(hù)隱私保護(hù)技術(shù)需要在保護(hù)數(shù)據(jù)隱私的同時不影響數(shù)據(jù)應(yīng)用。根據(jù)采用技術(shù)的不同，出現(xiàn)了數(shù)據(jù)失真、數(shù)據(jù)加密、限制發(fā)布等隱私保護(hù)技術(shù)。7.4位置信息與隱私保護(hù)物聯(lián)網(wǎng)隱私保護(hù)在物聯(lián)網(wǎng)發(fā)展過程中,大量的數(shù)據(jù)涉及到個體隱私問題(如個人出行路線、消費(fèi)習(xí)慣、個體位置信息、健康狀況、企業(yè)產(chǎn)品信息等)],物聯(lián)網(wǎng)可以得到廣泛應(yīng)用必備的條件之一便是保護(hù)隱私。如果無法保護(hù)隱私，物聯(lián)網(wǎng)可能面臨由于侵害公民隱私權(quán)從而無法大規(guī)模商用化。因此隱私保護(hù)是必須考慮的一個問題。7.4位置信息與隱私保護(hù)業(yè)務(wù)應(yīng)用常依賴地點(diǎn)作為判定決策的參變量，手機(jī)用戶通過手機(jī)查詢遠(yuǎn)程數(shù)據(jù)庫，尋找的離自己最近的事件地點(diǎn)，例如，火車站、加油站等。這項(xiàng)業(yè)務(wù)依賴當(dāng)時用戶所處的地點(diǎn)。但是，使用手機(jī)查詢的客戶卻不希望泄露自己的地理位置，從而保護(hù)自己不受到跟蹤。7.4位置信息與隱私保護(hù)保護(hù)用戶的地點(diǎn)隱私就成為普適計(jì)算應(yīng)用的重要問題之一。這個問題可以敘述為使用用戶的地點(diǎn)信息，但是不把地點(diǎn)信息透漏給服務(wù)的提供者或者第三方。這類隱私保護(hù)問題可以采用計(jì)算幾何方法解決。在移動通信的場景下，對于地點(diǎn)以及2G／3G移動系統(tǒng)的身份隱私問題，可以使用安全多方計(jì)算解決空間控制和地點(diǎn)隱私的方案，隱私保護(hù)協(xié)議描述為三路身份認(rèn)證。7.4位置信息與隱私保護(hù)同樣，在近距離通信環(huán)境中，RFID芯片和RFID閱讀器之間通信時，由于RFID芯片使用者的距離和RFID閱讀器太近,以至于閱讀器的地點(diǎn)無法隱藏.保護(hù)使用者的地點(diǎn)的惟一方法便是使用安全多方計(jì)算的臨時密碼組合保護(hù)并隱藏RFID的標(biāo)識。7.4位置信息與隱私保護(hù)從技術(shù)角度看,當(dāng)前隱私保護(hù)技術(shù)主要有2種方式:1)采用匿名技術(shù),主要包括基于代理服務(wù)器、路由和洋蔥路由的匿名技術(shù)。2)采用署名技術(shù),主要是P3P技術(shù)即隱私偏好平臺。然而P3P僅僅是增加了隱私政策的透明性,使用戶可以清楚地知道個體的何種信息被收集、用于何種目的以及存儲多長時間等,其本身并不能保證使用它的各個web站點(diǎn)是否履行其隱私政策。7.4位置信息與隱私保護(hù)

除了上述2種方式外,隱私保護(hù)技術(shù)還有2個主要的發(fā)展方向:一是對等計(jì)算(peertopeer,P2P),指通過直接交換共享計(jì)算機(jī)資源和服務(wù);二是語義web,語義web是通過規(guī)范定義和組織信息內(nèi)容,使之具有語義信息,能被計(jì)算機(jī)理解,從而實(shí)現(xiàn)與人的溝通。

7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)隱私保護(hù)不是指要保護(hù)用戶的個人信息不被他人使用，而是指用戶對個人信息進(jìn)行有效控制的權(quán)利。位置信息是一種特殊的個人隱私信息，對其進(jìn)行保護(hù)就是要給予所涉及的個人決定和控制自己所處位置的信息何時、如何及在何種程度上被他人獲知的權(quán)利。7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)目前，已有多種針對LBS中用戶位置信息的隱私保護(hù)方法，如通過立法或行業(yè)規(guī)范的方式進(jìn)行保護(hù)、通過匿名的方式進(jìn)行保護(hù)、通過區(qū)域模糊的方式進(jìn)行保護(hù)、通過隱私策略的方式進(jìn)行保護(hù)等。用戶分別設(shè)置相應(yīng)的隱私策略來保護(hù)個人的隱私成為目前眾多隱私信息保護(hù)方法中最有效的方法之一。7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)LBS位置服務(wù)

LBS作為多種技術(shù)的交叉點(diǎn)7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)1.基于位置的服務(wù)與隱私很多調(diào)查研究顯示，消費(fèi)者非常關(guān)注個人隱私保護(hù)。歐洲委員會通過的《隱私與電子通信法》中對于電子通信處理個人數(shù)據(jù)時的隱私保護(hù)問題給出了明確的法律規(guī)定。明確指出位置數(shù)據(jù)只有在匿名或用戶同意的前提下才能被有效并必要的服務(wù)使用。這突顯了位置隱私保護(hù)的重要性與必要性。

7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)2.隱私泄露基于位置服務(wù)中的隱私內(nèi)容涉及兩個方面：位置隱私和查詢隱私。位置隱私中的位置指用戶過去或現(xiàn)在的位置；查詢隱私指涉及敏感信息的查詢內(nèi)容，如查詢距離我最近的艾滋病醫(yī)院。任何一種隱私泄露，都有可能導(dǎo)致用戶行為模式、興趣愛好、健康狀況和政治傾向等個人隱私信息的泄露。所以，位置隱私保護(hù)即防止用戶與某一精確位置匹配；類似地，查詢隱私保護(hù)要防止用戶與某一敏感查詢匹配。7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)3.位置服務(wù)VS隱私保護(hù)我們似乎正面臨一個兩難的抉擇。一方面，定位技術(shù)的發(fā)展讓我們可以隨時隨地獲得基于位置的服務(wù)；而另一方面，位置服務(wù)又將泄露我們的隱私……當(dāng)然，你可以放棄隱私，獲得精確的位置，享受完美的服務(wù)；或者，你可以關(guān)掉定位設(shè)備，為了保護(hù)隱私而放棄任何位置服務(wù)。是否存在折中的方法，即在保護(hù)隱私的前提下享受服務(wù)呢？可以，位置隱私保護(hù)研究所做的工作就是要在隱私保護(hù)與享受服務(wù)之間尋找一個平衡點(diǎn)。7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)4.隱私保護(hù)方法為對LBS服務(wù)中的用戶位置隱私進(jìn)行保護(hù)，整個使用過程分為2部分：訪問權(quán)限設(shè)置和訪問控制決策。首先，所有某一位置信息相關(guān)的隱私相關(guān)者設(shè)置相對于該位置信息對所有信息請求者的訪問權(quán)限。通過權(quán)限的設(shè)置，隱私相關(guān)者可以設(shè)置哪些信息請求者、可以在什么環(huán)境下(如時間、地點(diǎn)等)獲取該位置信息的全部或某些部分。

7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)在訪問控制矩陣中設(shè)置了所有的權(quán)限之后，訪問決策部分對訪問請求者提出的具體的訪問請求按照矩陣中的設(shè)置做出具體的允許或拒絕訪問的決策。在每次信息訪問請求者提出訪問位置信息的請求時，系統(tǒng)中的訪問控制決策機(jī)制將查詢設(shè)置在三維訪問控制矩陣中的隱私權(quán)限，并根據(jù)隱私權(quán)限確定允許或拒絕訪問請求。7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)

下面將介紹在基于位置服務(wù)中的三種基本的隱私保護(hù)方法。1.假位置第一種方法是通過制造假位置達(dá)到以假亂真的效果。如在下圖中，用戶尋找最近的餐館。白色方塊是餐館位置，紅色點(diǎn)是用戶的真實(shí)位置。當(dāng)該用戶提出查詢時，為其生成兩個假位置，即啞元（如圖中的黑色點(diǎn)）。真假位置一同發(fā)送給服務(wù)提供商。從攻擊者的角度，同時看到三個位置，無法區(qū)分哪個是真實(shí)的哪個是虛假的。7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)假位置7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)2.時空匿名第二種方法是時空匿名，即將一個用戶的位置通過在時間和空間軸上擴(kuò)展，變成一個時空區(qū)域，達(dá)到匿名的效果。以空間匿名為例，延續(xù)上圖尋找餐館的例子，當(dāng)用戶提出查詢時，用一個空間區(qū)域表示用戶位置，如下圖中的紅色框。從服務(wù)提供商角度只能看到這個區(qū)域，無法確定用戶是在整個區(qū)域內(nèi)的哪個具體位置上。7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)時空匿名

7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)3.空間加密第三種方法是空間加密，即通過對位置加密達(dá)到匿名的效果。繼續(xù)前面的例子，首先將整個空間旋轉(zhuǎn)一個角度（如圖10.10），在旋轉(zhuǎn)后的空間中建立希爾伯特（Hilbert）曲線。每一個被查詢點(diǎn)P（即圖10.10中的白色方塊）對應(yīng)的希爾伯特值如該點(diǎn)所在的方格數(shù)字所示。7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)當(dāng)某用戶提出查詢Q時，計(jì)算出加密空間中Q的希爾伯特值。在此例子中，該值等于2。尋找與2最近的希爾伯特值所對應(yīng)的P，即P1。將P1返回給用戶。由于服務(wù)提供商缺少密鑰，在此例子中即旋轉(zhuǎn)的角度和希爾伯特曲線的參數(shù)，故無法反算出每一個希爾伯特值的原值，從而達(dá)到了加密的效果。7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)加密7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)感知隱私的查詢處理在基于位置的服務(wù)中，隱私保護(hù)的最終目的仍是為了查詢處理，所以需要設(shè)計(jì)感知隱私保護(hù)的查詢處理技術(shù)。根據(jù)采用匿名技術(shù)的不同，查詢處理方式也不同：如果采用的是假數(shù)據(jù)，則可采用移動對象數(shù)據(jù)庫中的傳統(tǒng)查詢處理技術(shù)，因?yàn)榘l(fā)送給位置數(shù)據(jù)庫服務(wù)器的是精確的位置點(diǎn)。7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)如果采用時空匿名，由于查詢處理數(shù)據(jù)變成了一個區(qū)域，所以需要設(shè)計(jì)新的查詢處理算法。這里的查詢處理結(jié)果是一個包含真實(shí)結(jié)果的超集。如果采用空間加密技術(shù)，查詢處理算法與使用的加密協(xié)議有關(guān)。7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)隱私度與效率對比從匿名效率和隱私度兩方面對上述三種隱私保護(hù)方法進(jìn)行對比，可以看出加密是安全度最高的方法，但是加密解密效率較低；生成假數(shù)據(jù)的方法最簡單、高效但隱私保護(hù)度較低，可根據(jù)用戶長期的運(yùn)動軌跡判斷出哪些是假數(shù)據(jù)；從已有的工作來看，時空匿名在隱私度與效率之間取得了較好的平衡，也是普遍使用的匿名方法。

7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)隱私度與效率對比

7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)6.存在的挑戰(zhàn)（1.）隱私保護(hù)與位置服務(wù)是一對矛盾；（2）基于位置服務(wù)的請求，具有在線處理的特點(diǎn)，故位置匿名具有實(shí)時性要求；（3）基于位置服務(wù)中的對象，位置頻繁更新；（4）不同用戶的隱私要求大相徑庭，所以隱私保護(hù)需要滿足個性化的需求。7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)隱私保護(hù)系統(tǒng)結(jié)構(gòu)隱私保護(hù)系統(tǒng)基本實(shí)體包括移動用戶和位置服務(wù)提供商，它具有如下有四種結(jié)構(gòu)：獨(dú)立結(jié)構(gòu)、中心服務(wù)器結(jié)構(gòu)、主從分布式結(jié)構(gòu)和移動點(diǎn)對點(diǎn)結(jié)構(gòu)。1.獨(dú)立式結(jié)構(gòu)獨(dú)立結(jié)構(gòu)是僅有客戶端（或者移動用戶）與位置服務(wù)器的客戶端/服務(wù)器（Client/Server，C/S）結(jié)構(gòu)。由移動用戶自己完成匿名處理和查詢處理的工作。該結(jié)構(gòu)簡單，易配置，但是增加了客戶端負(fù)擔(dān)，并且缺乏全局信息，隱私的隱秘性弱。7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)2.中心服務(wù)器結(jié)構(gòu)與獨(dú)立結(jié)構(gòu)相比，中心服務(wù)器結(jié)構(gòu)在移動用戶和服務(wù)提供商之間加入了第三方可信匿名服務(wù)器，由它完成匿名處理和查詢處理工作。該結(jié)構(gòu)具有全局信息，所以隱私保護(hù)效果較上一種好。但是由于所有信息都匯聚在匿名服務(wù)器，故可能成為系統(tǒng)處理瓶頸，且容易遭到攻擊。7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)3.主從分布式結(jié)構(gòu)為了克服中心服務(wù)器的缺點(diǎn)，研究人員提出了類似主從分布式結(jié)構(gòu)。移動用戶通過一個固定的通信基礎(chǔ)設(shè)施（如基站）進(jìn)行通信。基站也是可信的第三方，與前者的區(qū)別在于它只負(fù)責(zé)可信用戶的認(rèn)及將所有認(rèn)證用戶的位置索引發(fā)給提出匿名需求用戶。位置匿名和查詢處理由用戶或者匿名組推舉的頭節(jié)點(diǎn)完成。該結(jié)構(gòu)的缺點(diǎn)是網(wǎng)絡(luò)通信代價高。7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)4.移動點(diǎn)對點(diǎn)結(jié)構(gòu)移動點(diǎn)對點(diǎn)結(jié)構(gòu)與分布式結(jié)構(gòu)工作流程類似，惟一不同的是它沒有固定的負(fù)責(zé)用戶認(rèn)證的通信設(shè)施，而是利用多跳路由尋找滿足隱私需求的匿名用戶。所以它擁有與分布式結(jié)構(gòu)相同的優(yōu)缺點(diǎn)

7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)隱私保護(hù)研究內(nèi)容1.隱私保護(hù)模型k-匿名是隱私保護(hù)中普遍采用的方法。位置k-匿名的基本思想是讓一個用戶的位置與其他（k-1）用戶的位置無法區(qū)別。以位置3-匿名為例（如下圖），將三個單點(diǎn)用戶用同一個匿名區(qū)域表示，攻擊者只知道在此區(qū)域中有3個用戶，具體哪個用戶在哪個位置，無法確定，達(dá)到了位置隱私保護(hù)目的。7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)位置3匿名7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)2.基于四分樹的隱私保護(hù)方法最早的匿名算法是基于四分樹的隱私保護(hù)方法。它解決了面對大量移動用戶高效尋找滿足位置k-匿名模型的匿名集的問題。其解決方法是：自頂向下地劃分整個空間，如果提出查詢的用戶所在的區(qū)域的用戶數(shù)大于ｋ，將整個空間等分為4份，重復(fù)這一步，直至用戶所在的區(qū)域所包含的用戶數(shù)小于ｋ，返回四分樹的上一層區(qū)域，將其作為匿名區(qū)域返回。7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)基于四分樹的匿名方法

7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)3.個性化隱私需求匿名方法在隱私保護(hù)中，不同的用戶有不同的位置k-匿名需求，因此需要解決滿足用戶個性化隱私需求的位置k-匿名方法。其解決方法是利用圖模型形式化定義此問題，并把尋找匿名集的問題轉(zhuǎn)化為在圖中尋找k-點(diǎn)團(tuán)的問題。7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)下圖中，點(diǎn)是用戶提出查詢時的位置，k表示用戶的最小隱私需求，圓圈代表用戶可接受的最差服務(wù)質(zhì)量。當(dāng)新的對象m到達(dá)時，根據(jù)用戶的隱私和質(zhì)量要求，更新已有圖，并找出m所在團(tuán)。將覆蓋該團(tuán)所有點(diǎn)的最小邊界矩形作為匿名區(qū)域返回。7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)個性化隱私需求匿名方法

7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)4.連續(xù)查詢隱私保護(hù)前面的隱私保護(hù)工作都是針對Snapshot查詢類型。如果將現(xiàn)有的匿名算法直接應(yīng)用于連續(xù)查詢隱私保護(hù)將產(chǎn)生查詢隱私泄露。如下圖所示，系統(tǒng)中存在6個用戶{A,B,C,D,E,F}。攻擊者知道存在連續(xù)查詢，但并不知道連續(xù)查詢是什么，以及是由誰提出的。在3個不同時刻ti、ti+1、ti+2，用戶A形成了3個不同的匿名集，即{A,B,D}、{A,B,F}、{A,C,E}。將三個匿名集取交，即可獲知是用戶A提出的查詢Q1。7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)連續(xù)查詢隱私保護(hù)技術(shù)

7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)5.感知查詢差異性的隱私保護(hù)位置k-匿名模型只能防止用戶與查詢建立關(guān)聯(lián)，但不能切斷用戶與查詢內(nèi)容之間的關(guān)聯(lián)。下圖顯示的是在位置匿名后發(fā)布的匿名位置和查詢，符合位置3匿名。但是，攻擊者可以確定，位置落于的第一個匿名集中的用戶，一定患了某種疾病。7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)查詢隱私泄露7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)解決此問題的基本方法是在尋找匿名集的時候考慮查詢語義，保證在一個匿名集中敏感查詢所占比例不超過p%。如在下圖中所示，即使攻擊者擁有用戶的真實(shí)位置，獲知該用戶落于哪個匿名集中，但他仍然無法獲知該用戶提出了何種查詢。7.4.4物聯(lián)網(wǎng)中位置服務(wù)與隱私保護(hù)技術(shù)感知查詢差異性的隱私