CN103281672B - 一种移动终端进行位置隐私保护的方法 - Google Patents

Abstract

本发明公开了一种移动终端位置隐私保护的方法，该方法通过移动终端预测一段时间内终端持有者的移动轨迹，并且依据本地地图对移动轨迹进行细化和修正；对于彼此靠近的终端持有者，每个移动终端以其持有者目前所处的位置为起点，其余持有者预测的位置为终点，利用地图导航服务生成假路径和真实路径互相混淆，并组合生成完全两分路径图。每个终端持有者在完全两分图的端点处进行假名更换，可以使得这些持有者彼此不可分辨，从而实现了隐私保护。本发明在保护移动用户位置隐私的同时，无需降低发布位置信息精度，从而保证了移动用户基于此位置信息访问LBS服务的功能性。

Description

一种移动终端进行位置隐私保护的方法

技术领域

本发明涉及一种新的移动终端位置隐私保护技术，具体是一种通过移动终端与互相靠近的持有者协作以保护位置隐私的方法。

背景技术

随着定位技术的日益成熟，基于位置的应用（LBS）日益普及。这类应用基于移动终端（如智能手机和PDA）的位置，将相关信息通过无线IP服务，发布给移动用户（即移动终端持有者）。在这类应用中，移动用户的位置信息会被暴露给服务提供商，从而导致隐私泄露的隐患。

使用访问控制技术，移动用户可以根据LBS服务的内容、服务提供商的身份等信息以选择是否报告位置信息。缺陷是移动用户只能在功能和隐私二者中择其一：如果因为隐私的担忧而不报告位置信息，移动用户将无法获得LBS服务。目前，绝大多数的位置隐私保护技术就是在功能和隐私二者间进行权衡。

此外，目前公知的定位技术有如下几类：

第一类：基于K匿名与位置模糊

一种最直观的位置隐私保护的方法是将精确的位置模糊成一个区域。这种方法基于K匿名的理论：如果K个移动用户同时报告一个相同的区域，那么这K个用户是不可分辨的，即他们满足了K匿名。为了实现K匿名与位置模糊，往往需要一个可信第三方（通常被称为Anonymizer）来进行移动用户服务查询的收集与管理，或者需要用分布式的方法来实现此第三方的功能。

此类方法的缺陷在于，牺牲位置精度以提升隐私，然而对于需要精确位置信息的LBS往往不可用。

第二类：基于假名与MixZone

该类技术基于MixZone的理念：如果有两个匿名的移动用户在相同的时间处于相同的地点，那么他们不仅在此时此地不可分辨，他们在未来也不可分辨。该类技术能够发现移动用户处于同时同地的情况，并且在此时此地让移动用户更换假名以实现匿名混淆。同样此类技术需要一个可信第三方或分布式方法实现的第三方服务器来实现移动用户互相的发现与协作。

此类方法受局限于需要不同移动用户处于同时同地。在需要精确位置信息并且实时性要求高的LBS服务中，不同移动用户处于同时同地的情况往往很难发生，使得此类方法难以使用。

第三类：基于查询混淆

此类方法通过制造假的查询来混淆真的查询。由于假的查询和真的查询所代表的位置不同，那么移动用户的真实位置将得到保护。

最早的查询混淆方法仅仅被用来制造假的单次查询：例如在基于K匿名与位置混淆的方法中，如果区域内的移动用户查询数量不够多，那么会制造若干假的查询进行混淆以保证K匿名。新的查询混淆方法也会被用来制造假的移动用户：假的查询被不停的产生并被关联到相应的位置以生成一条移动的轨迹，来模拟一个移动用户的行动路径。

此类方法的缺陷在于，使用数据挖掘的方法有很大的概率可以分辨出真的查询和假的查询。

发明内容

本发明所要解决的技术问题是提供一种移动终端位置隐私保护的方法，这种方法既能保证移动用户访问LBS服务的功能性，又能保证移动用户的位置隐私。

本发明所述的移动终端进行位置隐私保护的方法，其包括以下步骤：

1）每个移动终端通过移动网络发现靠近的其余移动终端，并相互交换彼此间的位置信息和行动方向；

2）根据每个移动终端的实际位置和行动方向预测一段时间后这些终端持有者的预测位置，并根据地图信息对此预测位置进行修正；

3）每个移动终端以自己目前的实际位置为起点，其余移动终端的预测位置为终点生成假路径，并与真路径相混淆；所有的真路径和假路径组成完全两分图，移动终端的实际位置与预测位置即为图的顶点，真假路径即为图的边。每个移动终端在图的顶点处更换使用的假名，并负责自己生成的假路径上假位置的信息发布，则这些移动终端彼此不可区分，至此实现了位置隐私保护。

所述步骤1）是通过移动网络中的一个服务器来负责发现并告知彼此靠近的移动终端,该过程主要包括：

1.1）预先定义一个公开的位置泛化方法，由移动终端调用此方法根据移动用户的精确位置生成粗略位置；

1.2）移动网络中的一个服务器负责收集于管理所有移动用户的粗略位置，并据此发现并告知彼此靠近的移动终端；

1.3）在随后被告知移动用户的协作中，上述服务器作为通讯媒介。

所述步骤1.3）中，为保证协作中涉及的信息在移动网络中的机密性，使用WiFi-Direct进行移动用户之间的身份鉴定，使用Diffie-Hellmen对称密钥交换机制交换密钥进行移动用户之间的加密解密。

所述步骤2）中位置的预测基于移动用户的行动方向和目的地方向的夹角，其中行动方向由位置变化计算而得，在确定夹角区域后，使用地图的道路信息细化和修正预测的位置。

所述步骤3）中假路径的生成采用地图服务中的最短路径导航，同时移动用户的真实路径也采用该方法进行加工以保证与假路径不可区分。

所述步骤3）中的完全两分图，记为G=(V1+V2,E)，其中V1为两分图的第一组端点，V2为两分图的第二组端点，E为图上连接V1与V2的边，该完全两分图G具有如下特征：

（1）V1为两分图的第一组端点，表示所有移动终端的真实当前位置的集合；

（2）V2为两分图的第二组端点，表示这些移动用户所有预测位置的集合；

（3）E为图上连接V1与V2的边，表示通过假路径生成算法计算而得的路径集合；

（4）根据预测算法，一个移动设备可能会产生预测位置，此时|V1|≠|V2|；

（5）在端点处，即移动用户的目前位置与抵达预测位置的时刻，每个移动设备需要变更假名，从而混淆完全两分图中的所有路径，最终实现隐私保护。

本发明的有益效果：在保护移动用户位置隐私的同时，无需降低发布位置信息精度，从而保证了移动用户基于此位置信息访问LBS服务的功能性。在隐私保护过程中，也不需要移动用户处于同时同地这样的苛刻条件，对移动用户密度并不敏感，从而大大增强了隐私性。在使用假路径混淆真实路径时，本发明也对真实路径进行加工处理，以使得真假路径不可区分。

附图说明

图1是基于Wi-FiDirect进行身份鉴定的对称密钥交换机制；

图2是预测移动用户行动轨迹和位置；

图3是利用地图信息对预测结果进行修正；

图4是假路径的生成；

图5是假路径的混淆。

图6是本发明的系统总体框架。

具体实施方式

要实现本发明，必须解决如下几个问题,1)互相靠近的移动用户之间彼此发现与协作；2）移动用户行动轨迹的预测；3）假路径的生成与混淆。

对于问题1，本发明需要移动网络中的一个服务器以实现互相靠近的移动用户之间彼此发现与协作。我们并不假设该服务器是可信的，所以设计了一套基于Wi-FiDirect进行身份鉴定的对称密钥交换机制以确保通信安全与隐私，如图1所示。我们首先定义一个公开的位置泛化方法，调用此方法，移动终端持有者可以根据自己的精确位置生成粗略位置。移动终端持有者的粗略位置由移动网络中的一个服务器负责收集、存储、更新与管理。拥有相同粗略位置的终端持有者可以进行协作保护隐私，由服务器负责通知。收到通知的移动终端通过服务器交换对称密钥和用于身份鉴定的设备名称，该设备名称为一个临时字符串，每次交换需要改变。完成密钥交换的移动终端之间进行身份鉴定。该过程中移动终端将Wi-Fi的设备名称改变为交换的设备名称，并通过Wi-FiDirect查找可用的节点。如果至少两个节点（移动终端）能够找到互相找到，并且节点名称为对应的设备名称，则完成了身份鉴定。

对于问题2，移动用户行动轨迹的预测如图2和图3所示。在图2中，行驶方向是有移动终端通过位置变化计算出来的当前行驶方向，目的地方向是和当前位置到移动用户预先输入的目的地点连线。不同移动用户之间的此两种向量的夹角表示了此移动用户的混淆区域。图3所示为根据混淆区域预测具体路径与位置的方法。根据地图信息获得道路状况，根据道路的连通情况和移动用户的当前位置可以预测此用户可能行驶的路径。移动用户的当前位置处在此路径的起点，终点与混淆区域边界相交，结果可能并不唯一。

对于问题3，假路径的生成与混淆如图4和图5所示，涉及假路径生成的方法，与关于假路径不会被鉴别出来的证明。图4中左边的子图表示两个移动用户的真实行驶路径，彼此并不相交。右边的子图表示通过假路径生成的方法，可以使得两者互相混淆。具体假路径生成的方法是以当前位置为起点，以对方的预测位置为终点在地图上找到最短路径。图5左边的子图为其中一个用户A负责生成的路径，因为用户真实行动特征很难模拟，所以这种方法生成的假路径可能可以与真实路径互相区分。右边的子图为我们解决此问题的方法，用户A以同样的路径生成算法，以当前位置为起点，以自己的预测位置为终点生成一条逼近真实路径的假路径。此时这条假路径F2将不再含有额外的信息可以暴露其行动特征。简单证明如下：如果图5中F1和F2两条路径可以区分，则对于任意MixZone的端点，使用相同路径生成方法可以得到不同用户的假路径，则这些路径也可以区分。由此得证使用假路径的本发明的安全性不比未使用假路径的MixZone低。

图6为一个本发明的应用例子。三个用户记为A，B，C基于完全两分图理论生成假路径，可以使得三者路径不可分辨从而实现隐私保护。在此过程中，A，B，C三者首先基于Wi-FiDirect进行身份鉴定以及进行对称密钥交换，再分别预测行动轨迹和位置，接下来各自利用地图信息在本地对预测结果进行修正，据此生成假路径并最终实现真假路径的混淆。

本发明具体应用途径很多，以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进，这些改进也应视为本发明的保护范围。

Claims (5)

1.一种移动终端进行位置隐私保护的方法，其特征在于包括以下步骤：

1）每个移动终端通过移动网络发现靠近的其余移动终端，并相互交换彼此间的位置信息和行动方向；该过程是通过移动网络中的一个服务器来负责发现并告知彼此靠近的移动终端,具体为：

1.1）预先定义一个公开的位置泛化方法，由移动终端调用此方法根据移动用户的精确位置生成粗略位置；

1.2）移动网络中的一个服务器负责收集于管理所有移动用户的粗略位置，并据此发现并告知彼此靠近的移动终端；

1.3）在随后被告知移动用户的协作中，上述服务器作为通讯媒介；

2）根据每个移动终端的实际位置和行动方向预测一段时间后这些终端持有者的预测位置，并根据地图信息对此预测位置进行修正；

3）每个移动终端以自己目前的实际位置为起点，其余移动终端的预测位置为终点生成假路径，并与真路径相混淆；所有的真路径和假路径组成完全两分图，移动终端的实际位置与预测位置即为图的顶点，真假路径即为图的边，每个移动终端在图的顶点处更换使用的假名，并负责自己生成的假路径上假位置的信息发布，则这些移动终端彼此不可区分，至此实现了位置隐私保护。

2.根据权利要求1所述的移动终端进行位置隐私保护的方法，其特征在于，所述步骤1.3）中，为保证协作中涉及的信息在移动网络中的机密性，使用WiFi-Direct进行移动用户之间的身份鉴定，使用Diffie-Hellmen对称密钥交换机制交换密钥进行移动用户之间的加密解密。

3.根据权利要求1或2所述的移动终端进行位置隐私保护的方法，其特征在于，所述步骤2）中位置的预测基于移动用户的行动方向和目的地方向的夹角，其中行动方向由位置变化计算而得，在确定夹角区域后，使用地图的道路信息细化和修正预测的位置。

4.根据权利要求1或2所述的移动终端进行位置隐私保护的方法，其特征在于，所述步骤3）中假路径的生成采用地图服务中的最短路径导航，同时移动用户的真实路径也采用该方法进行加工以保证与假路径不可区分。

5.根据权利要求1或2所述的移动终端进行位置隐私保护的方法，其特征在于，所述步骤3）中的完全两分图，记为G=(V1+V2,E)，其中V1为两分图的第一组端点，V2为两分图的第二组端点，E为图上连接V1与V2的边，该完全两分图G具有如下特征：

（1）V1为两分图的第一组端点，表示所有移动终端的真实当前位置的集合；

（2）V2为两分图的第二组端点，表示这些移动用户所有预测位置的集合；

（3）E为图上连接V1与V2的边，表示通过假路径生成算法计算而得的路径集合；

（4）根据预测算法，一个移动设备可能会产生预测位置，此时|V1|≠|V2|；

（5）在端点处，即移动用户的目前位置与抵达预测位置的时刻，每个移动设备需要变更假名，从而混淆完全两分图中的所有路径，最终实现隐私保护。