CN101834861A

CN101834861A - 位置服务中基于邻居节点转发查询的轨迹隐私保护方法

Info

Publication number: CN101834861A
Application number: CN201010153149A
Authority: CN
Inventors: 郭亚军; 郭艳华; 郭奕旻
Original assignee: Huazhong Normal University
Current assignee: Huazhong Normal University
Priority date: 2010-04-16
Filing date: 2010-04-16
Publication date: 2010-09-15

Abstract

本发明公开了一种位置服务中基于邻居节点转发查询的轨迹隐私保护方法，涉及信息安全领域中的隐私保护方法。本方法是：①经过认证的可信用户u使用假名来发送位置服务请求；②使用希尔伯特空间填充曲线将用户的二维坐标映射到一维空间构成有序的希尔伯特序列，根据希尔伯特值找出查询用户的最近邻节点u_N作为转发查询请求的节点；③在u_N处选择希尔伯特值小于或者大于u_N的k-1个用户与u构成k匿名组，在u_N出完成位置匿名，形成匿名请求的集合。本发明能更好地降低位置信息之间的关联性，安全有效地保护用户的位置隐私和轨迹隐私，而且实现容易。

Description

位置服务中基于邻居节点转发查询的轨迹隐私保护方法

技术领域

本发明涉及信息安全领域中的隐私保护方法，特别涉及一种位置服务中基于邻居节点转发查询的轨迹隐私保护方法。

背景技术

近年来，随着移动计算技术和传感网络技术的蓬勃发展，位置服务应用越来越广泛，用户的轨迹隐私受到极大的关注，提出了很多匿名算法来保护用户的位置信息。在基于位置的服务中主要存在两类位置隐私保护问题，一是阻止攻击者知道用户某个时刻位置信息；另一类是阻止攻击者知道用户的多个连续位置信息，即防止用户的位置被追踪，这一类称之为用户轨迹隐私保护。攻击者如果多次截取了用户的位置服务请求信息，就能将用户在不同时刻的位置信息连接起来得到用户在某段时间内的运动轨迹，通过用户的轨迹信息有可能推测出用户的行为模式，威胁到用户的隐私。例如，用户去某个医院或者政治场所，能够推断出其健康状况、政治宗教信仰等敏感的信息；获得用户的轨迹还可能了解到其工作地点、家庭住址、个人习惯等；甚至有可能使用户受到恶意攻击者的人身骚扰和攻击，严重威胁用户的隐私。因此，在基于位置服务中，如何保护用户的轨迹隐私具有非常重要的意义。

轨迹隐私保护的研究在计算机科学领域也有一定程度的发展，并取得显著性的成果；但是这些研究方案仍然存在一些不足之处，主要是由于移动环境下用户的位置信息频繁更新带来的大量数据处理任务对位置信息的隐私保护构成了挑战。目前，国内外对轨迹隐私保护的最新研究成果主要包括以下几种应用于分布式点对点体系结构中的方法：

1、一种是在利用请求服务用户附近构建k位置空间匿名区域的点对点系统。欲发送请求的用户u连接所有给定的物理半径r(其中r是固定的系统参数)之内的节点，如果节点数s大于k，就选择离u最近的节点构成k匿名空间区域。然而这种方法多数情况下不能够成k匿名，因为u靠近匿名空间区域的中心，攻击者通常能够以较高于1/k的概率分辨出用户u，这种攻击常被成为中心k匿名空间区域攻击。

2、另一种是基于位置匿名查询的PRIVE(隐私保护)方法。作者引入一种分布式协议将用户聚集在类似B⁺树的分层覆盖网络中(每个用户对应一个数据点)，使用基于希尔伯特空间填充曲线的高级k匿名空间区域构建方法，能够抵抗任何基于位置的攻击。尽管PRIVE系统具有良好的容错性及均衡负载的机制，但是由于对每个用户的请求，必须从树根开始搜索用户信息，当用户数量或查询速率增加时，树根不可避免的成为系统处理的瓶颈。

3、可扩展的基于匿名位置查询的移动点对点系统MobiHide(移动位置保护)方法。MobiHide方法能够达到很高的匿名水平，消除PRIVE系统中的瓶颈问题，同时具有较好的均衡负载和容错特性，比较适合大量移动用户的实时应用中，尤其强调了MobiHide对位置关联攻击的有效性，能够很好地保护用户的轨迹隐私。不久，有研究者又提出了不使用匿名器而直接对位置服务器进行PIR(PrivacyInformation Retrive，隐私信息查询)的方法，服务器在不知道用户位置信息的情况下执行隐私信息查询返回一个查询的范围，在用户端完成查询结果的求精，这种方法解决了匿名技术不能完全保护用户轨迹位置隐私的问题。也有研亢者提出在连续的采集用户位置信息的应用中隐藏用户轨迹的技术。

对于移动用户的轨迹隐私保护的思想主要集中在切断用户的两个或多个位置的可连接性，通过增加连接用户多个位置的难度来达到轨迹隐私保护的目的。移动分布式点对点结构即使某个移动节点受到攻击，也只有少数用户受到位置隐私威胁，其他用户不受影响，提高了网络中隐私信息的保护能力以及网络节点的抗攻击能力。

发明内容

本发明的目的是为了克服现有的分布式点对点体系结构下轨迹隐私保护方法中的缺点和不足，提供一种位置服务中基于邻居节点转发查询的轨迹隐私保护方法。

本发明的目的是这样实现的：

在分布式系统结构中，移动用户通常根据匿名算法找到其他一些移动用户组成一个匿名组，利用组中的成员位置进行位置匿名。匿名处理的过程可以是由提出查询的用户本身完成，也可以由从组中选出的头结点完成。查询结果返回给头结点，头结点可以选择出真实结果发送给提出查询的用户，也可以将查询结果的候选集发送给用户，由用户挑选出真实的结果。对此结构中整个查询处理过程的分析，存在一些安全漏洞，一方面组中的头节点完成K匿名处理过程并发出查询请求后，攻击者如果截获了该请求信息，还是能够以1/K的概率分辨出该头结点处的用户，从而威胁用户的位置隐私。

本发明提出了基于邻居节点转发查询的轨迹隐私保护方法，其特征是运用改进型希尔伯特空间匿名算法能够更好地保护用户的位置隐私和轨迹隐私，主要处理过程如下：

①经过认证的可信用户u使用假名来发送位置服务请求；

②使用希尔伯特空间填充曲线将用户的二维坐标映射到一维空间构成有序的希尔伯特序列，根据希尔伯特值找出查询用户的最近邻节点u_N作为转发查询请求的节点；

③在u_N处选择希尔伯特值小于或者大于u_N的k-1个用户与u构成k匿名组，在u_N出完成位置匿名，形成匿名请求的集合。

本发明具有以下优点和积极效果：

1、任何用户都不直接将带有自己位置信息的请求发送到基于位置的服务器。即使攻击者截获了这些请求，也无法得到该转发请求的用户的位置信息，因此也就无法将多次截获的位置信息联系起来，保护了用户的位置隐私和轨迹隐私。

2、采用分布式体系结构，隐私信息的保护能力及网络节点的抗攻击能力相对较强。随着分布式网络应用越来越普遍以及无线网络和移动通信技术的深入发展，基于邻居节点转发查询的体系结构的基础设施相对较容易部署，且k-匿名空间区域的构成机制比较成熟，能够建立很好的邻居节点转发机制，甚至只要在旧有的硬件设备基础上使用能够实现转发查询和匿名算法的软件就可以实现。

总之，本发明能更好地降低位置信息之间的关联性，安全有效地保护用户的位置隐私和轨迹隐私，而且实现容易。

附图说明

图1是基于邻居节点转发查询的轨迹隐私保护系统的结构示意图；

图2是轨迹隐私保护模块的工作流程图；

图3是改进型希尔伯特匿名空间区域算法图：

图3.1是希尔伯特圆环，

图3.2是8*8希尔伯特填充曲线图，

图3.3是k＝4时构成的希尔伯特空间区域。

其中：

10-轨迹隐私保护模块，

11-认证服务器(Certification Sever，简称CS)，

12-假名服务器(Pseudonym Sever，简称PS)，

13-位置匿名模块；

20-用户区域；

30-位置服务器。

具体实施方式

下面结合附图和实施例详细说明：

1、基于邻居节点转发查询的轨迹隐私保护系统(简称本系统)

如图1，本系统包括用户区域20和位置服务器30，设置有轨迹隐私保护模块10；用户区域20、轨迹隐私保护模块10和位置服务器30前后依次连通；

所述的轨迹隐私保护模块10包括认证服务器11、假名服务器12和位置匿名模块13；其交互关系是：

认证服务器11对提出请求的用户验证其身份的可信性和合法性，保证负责转发请求的用户能够找到可信的邻居节点；

假名服务器12为每个可信的用户分配一个假名，用户的服务请求信息中包括假名和位置信息；

位置匿名模块13在转发节点处对用户的服务请求进行匿名处理。

2、基于邻居节点转发查询的轨迹隐私保护方法(简称本方法)

如图2，本方法的工作流程是：

①用户发送服务请求201；

②认证服务器认证用户202；

③判断认证是否通过203，是则进入下一步骤④，否则拒绝用户的服务请求204；

④根据改进型希尔伯特空间匿名算法找到用户的最近邻居节点作为转发请求的节点，并在转发节点处构建匿名区域集合205；

⑤在最近邻节点处进行匿名处理206；

⑥最近邻节点把不带有自己位置信息的匿名请求集合发送到位置服务器207；

⑦位置服务器将查询处理得到的结果集直接发送到每个请求服务的用户208；

⑧用户在结果集中选择自己需求的结果209。

工作原理：

认证服务器记录着订阅了位置服务的用户的身份信息。用户u必须验证身份并获得身份认证证书才可以发出位置服务请求。证书可以通过重新连接认证服务器来更新，得到了证书的用户被认为是可信的用户。其中认证服务器不知道用户的位置，不存储敏感信息，也并不参与匿名的过程，因此认证服务器的负荷很低。认证后被认为是可信的，否则拒绝不可信用户的请求。可信用户之间的通信信息通常被加密。假名服务器为每个用户分配一个假名，隐藏了用户的真实身份(比如IP地址)。在基于邻居节点转发查询的隐私保护系统中，每个用户对应一个节点，每个节点都是平等的，都有一定的信息处理和存储能力，都能独立完成与位置服务器的信息交互工作。欲发送位置服务请求的用户通过假名根据希尔伯特空间曲线得到的希尔伯特序列中找到其最近邻居节点作为转发请求的节点，改进型希尔伯特空间匿名算法在最近邻居节点处找到希尔伯特值小于或者大于转发节点的K-1个用户与提出请求的用户组成一个匿名组，在最近邻居节点处对匿名组构建匿名区域进行位置匿名。转发请求的最近邻居节点把不带有自己位置信息的请求发送到位置服务器，同时把自己的位置服务请求发送到其最近邻居节点转发。位置服务器将查询处理得到的结果集发送到匿名集中的每个用户，用户从结果集中选择满足自己需求的结果。

3、基于邻居节点转发查询的空间匿名算法及过程

图3是改进型希尔伯特匿名空间算法图。

首先采用Chord分布式哈希表定位移动用户，移动用户自组织到一个点对点系统中。Chord分布式哈希表查找算法具有结构简单、查找速度快和负载均衡的特点。基于邻居节点转发查询的系统使用类似PRIME、MobiHide中的空间匿名算法思想，用希尔伯特算法排序用户的位置形成圆环体如图3.1。希尔伯特空间填充曲线图3-2是个连续的分形体，它将二维的用户坐标映射到一维的空间，形成一个整数值。数值按照顺序排列后形成如表1。

表1

如果两个点在二维空间中距离很近，他们在希尔伯特转换之后的数值也非常接近的概率很高。通过在提出查询的用户的最近邻居节点附近找到希尔伯特值小于或者大于转发节点的K-1个移动用户组成K匿名区域如图3.3中的A₁和A₂，在查询用户的最近邻节点完成匿名处理并发送请求。例如图3.1中，用户u₃提出位置服务请求时，按照改进型希尔伯特算法，形成如表格2中的序列。

表2

u₃的邻居节点有u₄和u₂，选取最近邻居节点u₂作为其转发查询请求的节点，把它的位置服务请求连同k＝4的匿名需求发送到其邻居节点u₂，u₂初始化匿名区域，向其附近的节点u₉，u₁₀，u₁发送“可以转发服务请求”的通知。u₉，u₁₀，u₁接到通知后就回复响应信息，同时把位置服务请求信息一起发送给u₂；u₄收到响应信息后，把u₉，u₁₀，u₁，u₃的位置服务请求信息进行匿名处理后得到匿名区域如图中的矩形区域A₁，然后u₂把匿名查询集合发送到基于位置的服务器(LBS)。服务器经过隐私信息查询处理后的结果是个候选结果集，将结果集直接发送到用户u₉，u₁₀，u₁，u₃，由用户挑选得到满意的结果。同样，u₂对把自己的查询请求发送到最近邻居节点u₃，u₃对区域A₂中的用户u₂，u₄，u₅，u₆做类似处理。

Claims

1.一种位置服务中基于邻居节点转发查询的轨迹隐私保护系统，包括用户区域(20)和位置服务器(30)，其特征在于：

设置有轨迹隐私保护模块(10)；用户区域(20)、轨迹隐私保护模块(10)和位置服务器(30)前后依次连通；

所述的轨迹隐私保护模块(10)包括认证服务器(11)、假名服务器(12)和位置匿名模块(13)；其交互关系是：

认证服务器(11)对提出请求的用户验证其身份的可信性和合法性，保证负责转发请求的用户能够找到可信的邻居节点；

假名服务器(12)为每个可信的用户分配一个假名，用户的服务请求信息中包括假名和位置信息；

位置匿名模块(13)在转发节点处对用户的服务请求进行匿名处理。

2.按权利要求1所述系统的轨迹隐私保护方法，其特征在于：

①经过认证的可信用户u使用假名来发送位置服务请求；

3.按权利有要求2所述轨迹隐私保护方法，其特征在于工作流程是：：

①用户发送服务请求(201)；

②认证服务器认证用户(202)；

③判断认证是否通过(203)，是则进入下一步骤④，否则拒绝用户的服务请求204；

④根据改进型希尔伯特空间匿名算法找到用户的最近邻居节点作为转发请求的节点，并在转发节点处构建匿名区域集合(205)；

⑤在最近邻节点处进行匿名处理(206)；

⑥最近邻节点把不带有自己位置信息的匿名请求集合发送到位置服务器(207)；

⑦位置服务器将查询处理得到的结果集直接发送到每个请求服务的用户(208)；

⑧用户在结果集中选择自己需求的结果(209)。