CN107317801A - 非完全可信用户协作无匿名区域的位置隐私保护方法 - Google Patents

Abstract

本发明公开了一种非完全可信用户协作无匿名区域的位置隐私保护方法，将所有移动用户的可信任程度进行量化，在构建匿名组之前对请求用户以及近邻用户进行信誉值校验，从而降低攻击者出现在匿名组中的概率；对所有用户的信誉值进行科学的计算，使用户可信任程度逐渐趋近真值。为了降低近邻用户位置隐私泄露风险，提出位置模糊化的策略，采取圆半径内随机偏移的方法，使得近邻用户提供的位置是在一定范围内做了模糊化的虚假位置，有效提高近邻用户位置隐私被攻击者获取难度。

Description

非完全可信用户协作无匿名区域的位置隐私保护方法

技术领域

本发明涉及隐私保护领域，特别是一种非完全可信用户协作无匿名区域的位置隐私保护方法。

背景技术

隐私保护长期以来都是学术界研究的重点，一直受到专家和学者们的高度重视。位置隐私，这一新型的隐私类型，虽然诞生的时间晚，却也得到了大量的研究。传统的位置隐私保护方法与新提出的方法不断融合交汇，互相补充。位置隐私保护技术的研究，是保障LBS正常发展的基础。

非k匿名的位置隐私保护方法研究

对于用户位置的隐私保护，在位置k-匿名提出之前通常的方法有区域覆盖、位置欺骗、密码学方法及其他方法。其中区域覆盖为研究最为广泛的方法，其思想为使用一块区域来替代原始精确位置，利用这种方法使得用户精确位置不会泄露。位置欺骗则是利用假的位置或有一定偏移量的位置来代替原始位置，使得服务器无法得到用户的真实位置。这两种方法均是对隐私性和可用性的折中，通过牺牲一定的可用性来达到隐私的保护。而密码学方法可以完美的兼顾到隐私性、可用性，如采用HR(PrivateInformation Retrieval)的方法可以使得服务器在完全不知道用户地理位置信息的情况下提供基于地理位置的服务。然而，这种密码学方法计算复杂度很大，很难运用在实际大规模的LBS应用中。此外，还有一些其他方法从其他角度来实现LBS中位置隐私的保护，如Cache方法利用缓存机制，在本地手机上缓存一部分的数据，当用户进行LBS请求时，可以查询本地缓存，从而不会将位置信息暴露给服务器。MobiCrowd则在缓存的基础上，加入了邻居间的查询，尽可能减少用户地理位置对服务器的暴露。

基于k匿名的位置隐私保护方法研究

著名的k-匿名机制最早由Sweeney等人提出来是要运用于关系数据库的隐私保护即将需要对外发布的数据处理以进行保护，其基本思想是将敏感数据的某些特征进行专门的泛化模糊之后发布，使得最后发布的数据中任意一条记录所包含的个人信息与其他k-1跳数据记录包含的个人信息达到无法区分的效果。后来的研究者借鉴他们的研究成果提出了一系列基于k-匿名的位置隐私保护方法。 Gruteser最早提出了位置k-匿名模型方案，他提出将用户关系数据库的k-匿名思想结合到位置隐私保护领域中。它的核心概念是：用户在提出查询请求，发布位置时，并不是采用用户本身的真实位置信息，而是用一个包含了用户自身与其他 k-1个用户的匿名区域代替。位置服务提供商收到用户的查询请求后，无法从请求中分辨出哪个是真实查询者，从而达到k-匿名的效果。

目前有极多的专家学者对位置隐私保护的研究集中在k-匿名方案上，而且取得了较为可观的研究成果，但是也有很多问题亟待解决。基于中心服务器的方法，是当前对于位置隐私保护方法中k-匿名模型中采用的最多的方法；而对于无中心服务器的位置隐私保护方法的研究在今年来逐渐受到重视，并且也取得了一定的进展。

由于基于中心服务器的位置隐私保护方法具有减轻用户端计算压力以及能较好实现用户隐私需求的优点，所以当前有很多关于位置k-匿名模型的研究都是基于此的。Mokbel等人最早提出并不由用户端或者位置服务器去进行位置匿名，而是设置一个第三方的中心匿名服务器，专门负责进行用户的匿名处理，用户端和位置服务器不涉及该过程。移动用户向中心匿名服务器发起查询，请求内容中包括隐私需求参数，中心匿名服务器为用户构建一个满足k要求的匿名区域，该区域内保护用户自己以及其他k-1近邻用户。位置服务提供商参照匿名区域和查询请求计算出一个与匿名区域相对应的候选结果集并发送给中心匿名服务器，中心匿名服务器将收到的候选结果集结合自己掌握的用户真实位置信息计算出匹配查询用户的真实结果。这类方法虽然能很好满足用户隐私需求，但是中心服务器容易收到攻击而拖累整个系统。Bamba等人提出采用特定策略把空间区域分割为网格，匿名区域的计算采用自定而上的方式，这种方式增强了位置隐私保护效果，但是增加了系统的计算压力。Gedik等人提出了CliqueCloak方法，能够较好实现用户隐私需求，但是只能实现较小的隐私需求参数值。Holczer等人[35] 提出用多个区域去覆盖请求用户，而不是用单一的匿名区域，提高了隐私保护的程度，但是增加了整个系统的负荷。

当前的研究基于中心服务器的位置隐私保护方法能够较好的降低客户端计算压力，同时能够较好的满足用户的隐私需求，但是因为中心服务器担任了位置匿名处理以及筛选结果集的使命，它容易变成整个模型的性能短板。为了规避这类方法的缺点与不足，越来越多的研究聚集在无中心服务器结构的方法上。Yiu 提出采用请求用户真实的位置周围的点代替用户发起位置服务的请求，这类方法虽然对通信能力以及计算能力要求不高，对移动设备的性能需要不高，可是无法较好的达到k-匿名的效果。Lin等人提出用户自发组成小组，匿名区域为包含k 个组内用户的最小矩形，在该区域内任意选择某个用户向位置服务提供商发起查询，后者查询之后将结果发送给前者由前者转发给起查询用户，这类方法根据用户真实位置周围的近邻用户构建匿名区域，最终还是会暴露用户的大概位置。黄毅等人提出了一种用户协作无匿名区域的方法，这种方法能有效规避中心服务器的瓶颈问题，但是未考虑用户非完全可信的问题。

基于中心服务器的方法是由于中心服务器不仅要负责构建匿名组，而且担负着结果求精的任务，同时还要收集用户发出信息以及响应更新。在此情况下，中心服务器易变成整个系统的性能短板，当大量移动用户在同一时刻发起查询请求时，中心服务器可能难以承担如此大的数据处理任务。与此同时，由于中心服务器获得了所有移动用户的真实位置信息和查询请求的具体内容，很容易被攻击者列为主要攻击目标。而且一旦被攻破，中心服务器中的所有用户的位置信息都有可能直接泄露，带来无法挽回的损失。

基于上述问题，当前有相当一部分研究采用了无中心服务器的方法模型，利用用户协作构建匿名组，一方面可以免去中心服务器的庞大开销，另一方面可以杜绝中心服务器被攻击的危险。

然而在无中心服务器的模型中，前人的研究都并未考虑移动用户本身非完全可信的问题，他们都是基于用户时完全可信的。在用户发起查询请求而构建匿名组的过程中，如果构建匿名组的用户存在一个或者多个攻击者时，用户的位置隐私将极有可能泄露。这类情况给用户带来的位置隐私泄露威胁分为两种：

(1)攻击者伪装成普通用户参与匿名组构建。如图1所示，请求用户A 发起基于位置的服务查询请求，向周围的所有用户发出构建满足k 条件的匿名组的要求，本例中k为4。在收到请求用户A发起的构建匿名组的请求之后，近邻用户B、C、D提供自身的位置信息构建满足k条件的匿名组，计算构建的匿名组所有用户的位置坐标得到锚点E，以锚点E的位置信息代替请求A的位置信息发起查询请求。假如用户B、C、D都是攻击者，那么攻击者合谋可以根据锚点的位置信息以及攻击者自身的位置信息，推算出请求用户A的位置信息，获得请求用户A的位置隐私，从而向用户A发起基于位置的攻击。

(2)攻击者伪装成普通用户，发起基于位置的服务查询请求，向周围的用户请求他们的位置信息。后者直接向前者提供了位置信息，导致自身位置隐私被泄露。

如图2所示，攻击者A伪装成普通用户发起基于位置的服务查询请求，近邻用户B、C、D、E提供自身的位置信息用以构建满足k为5的匿名组。近邻用户B、C、D、E在不知道A为攻击者身份的情况下直接提供了自身的真实位置信息给攻击者了，那么攻击者可以根据自己获得的已经信息直接推算出用户B、 C、D、E的真实信息，从而获得用户的位置隐私甚至是个人隐私。

发明内容

本发明旨在提供一种非完全可信用户协作无匿名区域的位置隐私保护方法，考虑用户非完全可信的情况，充分考虑用户隐私需求，减少系统负荷。

为解决上述技术问题，本发明所采用的技术方案是：一种非完全可信用户协作无匿名区域的位置隐私保护方法，其特征在于，包括以下步骤：

1)用户提出构建匿名组的请求；

2)探寻近邻用户；

3)查看探寻到的近邻用户的信誉值；

4)若信誉值大于信任阈值，则允许对应用户参与构建匿名组，然后进入步骤5)；否则，不允许对应用户参与构建匿名组；

5)若匿名组的用户个数不小于k，则匿名组构建成功，进行位置服务查询，请求用户根据自己隐私保护程度对参与匿名组构建的用户进行评分，然后更新用户的信誉值，进入步骤6)：否则，匿名组构建失败，进入步骤 6)；

6)结束。

信誉值R的计算公式为：R＝R₁+T；其中R₁是用户的激励信誉值，T为用户的信誉反馈修正值。

R₁＝R₀+∑_ir_i；其中R₀为初始激励信誉值；r_i为用户每次成功参与其他用户匿名组构建时获得的激励信誉增值。r_i的值由系统使用者确定，i代表成功参与匿名组构建的次数，R₀的值为新加入系统的用户通过单跳或者双跳方式获得的近邻用户的信誉值的均值。

其中，T₁是请求用户对匿名组的修正评分，R_m是请求用户的信誉值；T₀是请求用户对匿名组的初次评分。如：Rm＝0.87， T0是用户在构建匿名组成功查询后的评分，本例T0＝1(表示未有隐私泄露情况，很满意)， T1是用户在截止时间内本次查询隐私泄露情况的修正评分，本例中令T1＝0.1(隐私泄露严重)。T的值根据公式计算，初次评分以及修正评分都是主观的，用户反馈的。

信任阈值的计算公式为：n为用户的个数；w_i为第i个用户的信誉值；i＝1，2，…，n。

信任阈值的取值范围为[0,1]。

与现有技术相比，本发明所具有的有益效果为：本发明将所有移动用户的可信任程度进行量化，在构建匿名组之前对请求用户以及近邻用户进行信誉值校验，从而降低攻击者出现在匿名组中的概率；本发明还对所有用户的信誉值进行科学的计算，使用户可信任程度逐渐趋近真值。同时为了降低近邻用户位置隐私泄露风险，提出位置模糊化的策略，采取圆半径内随机偏移的方法，使得近邻用户提供的位置是在一定范围内做了模糊化的虚假位置，有效提高近邻用户位置隐私被攻击者获取难度。

附图说明

图1为基于用户可信的模型受到的威胁一；

图2为基于用户可信的模型受到的威胁二；

图3为CoSecurity信任模型；

图4为本发明方法流程图；

图5为本发明位置匿名流程图。

图6为位置匿名实现过程；

图7为节点探寻流程图；

图8为位置模糊化策略示意图。

具体实施方式

如何解决背景技术中提出的两种威胁，关键是如何处理移动用户中存在攻击者即移动用户不一定完全可信的情况。对于用户协作构建匿名组的方法中，对于用户可信与非可信的区分至关重要，直接关系到使用位置服务的用户的隐私。但是目前并没有有效的方法对用户进行一个是否可信的判定，已有的研究提出给每一个参与匿名组或者匿名区域构建的用户加一个数字签名，这个数字签名定时更新以保证用户身份的确定性，真实性与可信性。然而，作为数字签名签发的第三方很难保证其可信性，而且一旦被攻击，用户的隐私同样会被泄露，同时数字证书第三方的签发与更新也会形成相当高的系统能耗，容易成为系统的瓶颈。

因此本发明提出了一种量化移动用户信任程度的策略，将移动用户的信任程度具体化为[0,1]的值即信誉值。面对前文指出的第一种威胁，当采取用户协作构建匿名组的位置隐私保护策略中，参与匿名组构建的用户信任程度越高即信誉值越大，那么请求用户的位置隐私信息被泄露的可能性就越低，因此考虑引入一个个性化的参数阈值(由发起请求的移动用户定义)，使得小于这个参数阈值的近邻用户无法参与该请求用户的位置隐私保护匿名组构建；面对前文阐述的第二种威胁，当攻击者假扮成普通用户发起LBS查询请求时，近邻用户提供自身的位置信息无疑是危险。如果可以在这个时刻之前对发起请求者进行信任程度校验，那么攻击者有极大可能会被检查出来，被定义为疑似攻击者，然后可以采取限制其发起位置服务请求的策略从而降低近邻用户提供位置后位置隐私泄露的风险。

因此本发明提出一个基于激励与反馈的信任模型，采取将信任度量化的方法，对所有用户的信任度进行评分，得到一个0与1区间的值。信誉值越大，代表用户越可信，信誉值越低，代表用户越不可信。极端情况，0代表用户完全不可信， 1代表用户完全可信。提出查询请求的用户，首先系统会校验其自身的信誉值，若小于系统的全局信任阈值，则不允许获得位置服务反馈结果，若大于系统的全局信任阈值则允许使用位置服务。通过全局信任阈值校验的查询请求用户会个性化地规定隐私需求参数即信任阈值w，向周围的信任值大于自身指定的信任阈值的用户请求他们的位置信息成功构建满足考的匿名组，进行位置服务查询之后，参与匿名组构建的近邻用户都会得到信誉值的被动提升，同时提出查询请求用户会根据自己隐私保护程度对整个参与匿名组构建的用户进行反馈评分。这个评分会通过特定的算法加权到用户的信任值中。

1CoSecurity信任模型相关定义

以下将对CoSecurity信任模型中涉及的重要定义进行阐述分析，它们是CoSecurity信任模型运行的关键。

定义1-1全局信任阈值

系统中定义的一个阈值变量，值在[0，1]区间，用以限制低信誉值的移动用户即疑似攻击者使用位置服务。当移动用户自身信誉值低于系统的全局信任阈值时，该用户被判定为疑似攻击者，不允许使用位置相关的查询服务；当移动用户自身信誉值高于系统的全局信任阈值时，该用户将被允许使用位置相关的查询服务。

全局信任阈值的引入，主要是针对攻击者作为请求用户的场景。当攻击者发起位置服务查询请求，采用用户协作构建匿名组的方法时，近邻用户需要向请求用户提供自身的位置信息以保证匿名组成功构建，但是如果请求用户是攻击者时近邻用户的位置隐私将直接暴露在攻击者眼前。采用全局信任阈值，对低信誉值的移动用户进行限制，使高风险移动用户尤其是攻击者无法使用位置服务，从而达到降低近邻用户位置隐私信息泄露的风险。

全局信任阈值由系统动态调整，当系统内大部分用户信誉值提升时，全局信任阈值也对应增大，当系统内大部分用户信誉值降低时，全局信任阈值也对应减少。全局信任阈值的动态调整，可以更好地适应用户信誉值的变化，从而更好地把控发起请求的校验条件。系统中的n个移动用户的集合U＝{u₁,u₂,…,u_n}，对应的用户信誉值集合可以表示为W＝{w₁,w₂,…,w_n}，全局信任阈值的计算方法如公式(3-1)：

全局信任阈值的引入可以使得系统中有相当一部分的移动用户可以正常使用基于位置的服务查询，同时也会使得系统中有相当一部分的移动用户被认为是疑似攻击者从而无法获得正常的位置相关的服务。需要注意的是，系统中存在低信誉值的普通用户时，当其信誉值小于全局信任阈值时会被认为是疑似攻击者因此无法获取位置相关的服务，这样会损害普通用户的服务体验。

定义1-2用户信誉值

加入系统的所有移动用户，都会获得一个量化的信任评分，取值区间是 [0,1],代表该用户的可信任程度。信誉值越大代表移动用户可信程度越高，相反信誉会越小代表移动用户可信任程度越低。极端情况，0代表完全不可信，1代表完全可信。在本发明提出的CoSecurity信任模型中，完全可信和完全不可信的用户都是不存在的，本发明的前提也是基于用户非完全可信的。当一个用户信誉值降低到一定程度时，他将无法发起位置服务的请求，同时他将难以参与到其他用户的匿名组构建之中，从而他的信誉值将无法再有大幅调整，通常只有攻击者才会出现这种情况。

将用户信任程度以用户信誉值的形式表现，能够将用户信任程度以数值量化的方式表示，比传统意义上的直接定义用户可信或者非可信更加具有客观性，而且直接定义用户可信或者不可信很不可取，因为目前很难有确切的根据去直接判断用户可信非可信，进行判别这个动作本身就是泄露用户隐私的。用户信誉值的概念可以在不了解用户真实身份的前提下，根据用户的历史行为与当前行为，对用户当前的信任程度做一个客观的评价。根据本发明定义的模型，用户的信誉值是动态调整的，非攻击者的普通用户的信誉值会逐渐趋近于真值，即普通用户的信誉值会趋近于增长，而攻击者的信誉值会趋近于减少。

移动用户的信誉值是一个动态调整的过程，用户新加入系统会获得初始的激励值，然后根据CoSecurity模型参与匿名组构建之后再对信誉值进行修正。本发明提出用户的初始激励值R₀为用户采取P2P单跳以及双跳能获得的系统中近邻用户信誉值的均值。这样可以保证初始的激励值R₀能确实获取到，而且更能反映该用户所处位置区域真实的信任分布，当他周围存在一个或多个攻击者时，新加入的用户的初始激励值就会偏低，当他周围不存在攻击者时，那么该用户获得的初始激励值也就越高。而用户的信誉值修正处在匿名组构建成功，请求用户获得位置服务之后。

定义1-3信任阈值

信任阈值是参与构建匿名组用户自身信任值对比的一个参考值，取值区间是[0,1]，由发起位置服务请求的用户自定义。信任阈值反应了用户的隐私保护需求，发起请求的用户设置的信任阈值越大，则参与匿名匿名组构建的近邻用户要求的信誉值就越高，匿名组构建成功后组内用户整体的信任程度也就越高。

当发出基于位置服务请求的用户并非攻击者，而参与构建的匿名组用户中存在一个或多个攻击者时，那么攻击者根据自己掌握的知识可以发起单点攻击或者多点攻击，以获取请求用户或者其他近邻用户的位置隐私信息。引入信任阈值，对于加入匿名组的近邻用户校验，只有高于请求用户自定义的信任阈值的近邻用户才能参与匿名组的构建。这样，可以将相对信誉值较低的用户排除在匿名组之外，可以有效降低组内用户位置隐私泄露的风险。

2 CoSecurity信任模型前提假设

以下对攻击者与普通用户的特征进分析，提出了一系列支撑CoSecurity信任模型的基本假设前提。

在真实的移动互联网环境中，任何一个环节都有可能造成用户位置隐私信息的泄露。以下本发明提出的信任模型的前提：

假设2-1近邻用户通常不愿意主动提供自己的位置信息去参与别人位置服务请求中的位置服务匿名组的构建。

移动用户发起基于位置服务的查询请求，需要k-1个近邻用户提供自身的位置信息用以构建满足k-匿名的匿名组。然而近邻用户一旦提供了自己的位置信息，他自身的位置隐私就有可能被泄露。一个区域内愿意提供自身位置以供他人构建匿名组的用户越少，这个区域内用户构建匿名组的成功率也就越低，构建匿名组的响应时间也就越长。因此，如何提高区域内愿意提供自身位置构建匿名组的用户密度，也应该是位置隐私保护方法考虑的重点。

根据这个假设前提，本发明提出的CoSecurity信任模型中提出的信誉值激励的策略很好的解决上述问题。当用户自身信誉值不低于全局信任阈值时，用户才能很好的使用基于位置的服务，参与匿名组构建可以被动提升用户自身的信誉值，这种策略可以提高用户参与匿名组构建的积极性，提高匿名组构建的成功率，缩短构建匿名组的处理时间。当然，本发明还提出了一种位置模糊化的策略，目的是降低近邻用户提供自身位置之后该用户位置隐私信息泄露的风险，这一部分将在第四章详细描述。

假设2-2一旦攻击者存在于某个用户发出位置服务请求之后构建的匿名组当中，攻击者就会发动攻击行为，用户位置隐私就会泄露。

攻击者，特殊的移动用户，目的是获取其他普通用户的位置隐私乃至个人隐私，并且以此发动攻击。他拥有移动用户的一切特征，然而不同的是攻击者参与请求用户的匿名组构建的目的并不单纯，他们的目的就是获取普通移动的位置隐私乃至个人隐私，从而以此达到获取利益甚至恶意破坏的目标。

因此，我们假设攻击者所有的行为都是具有攻击性，都是会直接导致位置隐私泄露的。一旦攻击者参与到匿名组的构建中，本发明即假设移动用户的位置隐私信息将被泄露。

假设2-3攻击者是排斥参与其他用户匿名组构建的。

根据假设3.2，攻击者一旦参与他人的匿名组构建，一定会产生攻击行为。请求用户的位置隐私一旦被泄露，整个匿名组中所有的用户的信誉值都会被降低，包括攻击者。攻击者一旦发起攻击，其攻击者身份就会暴露，就可以确定他存在于某个匿名组中。然而当前我们暂时无法确认具体是匿名组中某一个或某几个，因此本发明将整个存在攻击者的匿名组中所有用户信誉值降低。攻击者参与构建的次数越多，他的信誉值也就会降得越低。攻击者的信誉值越低，他能够参与的匿名组构建次数也就越少，那么他能发起的攻击次数也就越少。

根据以上假设，可以分析得知本发明提出的CoSecurity信任模型的合理性以及可行性。CoSecurity信任模型中将移动用户的信任程度进行具体量化，得到[0, 1]区间的值，信誉值越大则代表移动用户越可信，信誉值越小则代表移动用户越不可信。根据前面的假设，在移动用户以及攻击者参与多次匿名组的减构建之后，攻击者的信誉值会逐渐趋于降低，而普通用户的信誉值会逐渐趋于升高。

3 CoSecurity方法隐私保护要求

本发明假设移动用户在移动互联网中使用基于位置的服务将会提出两大类的要求，分别是：

(1)位置隐私保护的要求。

在之前的研究中，两个参数可以反映用户的隐私保护需求，即“k”和“匿名成功率”。本发明提出的信任阈值也要作为隐私需求参数考虑到位置隐私保护方法中去。“k”代表用户对k区域中用户数量的要求，即用户在k区域中与其他k-1 个用户无法分辨，任何一个用户都有可能是发起查询的用户。匿名成功率反映的是用户构建匿名组时能不能找到足够多的满足信任阈值条件的用户的概率。用户密度越大，相对来说形成匿名组的匿名成功率越高。

(2)生成匿名组算法效率的要求。

在满足匿名需求参数k、匿名成功率以及信任阈值等相关的要求之外，匿名过程的通信时间与通信次数也是需要考虑的。对于算法效率的要求，通常用“t”和“通信次数”这两个参数来表示。“t”指的是所提出的算法生成的k匿名组所耗费的最久时间，t越大说明用户等待的时间越长，影响用户体验。通信次数指的是用户构建满足k匿名的匿名所需要所有通讯的次数。较长的等待时间会影响用户使用体验，较多的通信量会导致系统压力过大，浪费了移动用户的通讯带宽。

4 CoSecurity信任模型

根据前面所述的基本前提假设以及隐私保护要求，本发明提出CoSecurity 信任模型。CoSecurity信任模型具体分为两个模块：信誉值校验模块和信誉值计算模块。

用户信誉值校验模块

在本信任模型中，所有的移动用户都拥有一个确定的信誉值，这个值代表用户的可信任程度。针对本发明中提出的两个威胁，可以采用该信任模型来进行处理。

面对第一种威胁：普通用户发起位置服务查询请求，参与构建匿名组的近邻用户中存在一个或者多个攻击者。本发明提出，在请求用户发出查询请求时，在请求参数中包含有信任阈值这一个性化的参数，在进行近邻用户探寻时进行信誉值的校验，如果近邻用户的信誉值大于给定的信任阈值则可以认为该近邻用户满足请求用户设定的隐私需求条件，允许将该近邻用户纳入到请求用户的匿名组构建中，如果近邻用户的信誉值小于给定的信任阈值则可以认为该近邻用户不满足请求用户设定的隐私需求条件，不允许参与请求用户的匿名组构建中。CoSecurity信任模型会筛选满足请求用户设定的信任阈值的近邻用户参与匿名组的构建，从而可以使得匿名组中用户信誉值处在一个可以信赖的水平线之上。而当请求用户匿名组构建失败时，说明当前系统中信誉值满足请求用户设定的信任阈值条件的近邻用户个数较少，无法达到k匿名的要求，则可以提示请求用户降低隐私需求参数或者调低信任阈值的值以达到成功构建满足k匿名条件的匿名组的目的。

如图4，用户A发起基于位置服务的查询请求，隐私需求参数k为4，信任阈值为0.8，而近邻用户B、C、D、E响应用户A构建匿名组的请求，其中D 为攻击者伪装的，他们的信誉值分别是0.85、0.83、0.78、0.89。用户B、C、D 为A单跳获得的用户，E为A双跳获得的。B、C、D并非直接参与匿名组的构建，而需求通过CoSecurity信任模型先进行信誉值校验，显然攻击者D会被排除在匿名组之外，而再进行双跳获得用户的信誉值校验。最终，满足k为4，包含用户A、B、C、E的匿名组成功构建，且有效排除了攻击者D的参与。

面对第二种威胁：攻击者伪装成普通用户发起基于位置的服务查询请求，并且以此获得近邻用户的位置信息。根据本发明提出的CoSecurity信任模型，当移动用户发起查询请求时，系统对请求用户自身的信誉值进行校验，对比系统的全局信任阈值。如果请求用户自身的信誉值小于全局信任阈值时，则系统将该用户判定为可能会泄露近邻用户位置隐私的意思攻击者，不同意该用户构建匿名组的请求；当请求用户自身的信誉值大于后者等于全局信任阈值时，说明该用户满足CoSecurity模型中的请求用户的信誉值校验，允许其发起的构建匿名组的请求。通过CoSecurity模型中的请求用户信誉值校验模块，可以减小攻击者伪装成普通用户发起位置服务查询请求的概率。

例如，攻击者A冒充普通用户发起基于位置服务的请求，A的信誉值为0.65，系统的全局信任阈值为0.67。在A提出请求之后广播构建匿名组消息之前，先对其信誉值进行校验，由于其信誉值低于系统的全局信任阈值，因此系统判断A 为疑似攻击者，不允许发起基于位置的服务。

用户信誉值计算模块

CoSecurity信任模型的信誉值计算模块与信誉值校验模块相辅相成，相互支撑。移动用户的信誉值改变是一个动态调整的过程，用户新加入系统会获得初始的激励值，然后根据CoSecurity模型参与匿名组构建之后再对信誉值进行修正。本发明提出的信任评分方法主要基于系统激励与用户反馈。系统激励即系统对于成功参与匿名组构建的移动用户进行信誉值奖励，用户反馈即提出请求的用户对参与构建匿名组的用户进行多次评分，评分的依据是使用某次位置服务之后自身隐私的保护程度。由于位置隐私泄露的滞后性，本发明提出用户多次反馈评分的方法。在使用位置服务的标准评分时间之后，根据自身位置隐私泄露情况可以进行修正评分，而修正的评分会比初次评分的影响力更大。

用户的信誉值由三部分组成，新加入系统时获得的初始激励信誉值R₀，每次构建匿名组成功获得信誉激励值r_i，以及获得的每次构建匿名组之后的被评价信誉值。

用户的初始激励值R₀为用户采取P2P单跳以及双跳能获得的系统中近邻用户信誉值的均值。这样可以保证初始的激励值R₀能确实获取到，而且更能反映该用户所处位置区域真实的信任分布，当他周围存在一个或多个攻击者时，新加入的用户的初始激励值就会偏低，当他周围不存在攻击者时，那么该用户获得的初始激励值也就越高。例如新加入到系统中用户x，通过P2P单跳以及双跳获得的所有近邻用户的集合U＝{u₁,u₂,…,u_m}，对应的用户信誉值集合可以表示为W{w₁,w₂,…,w_m}，用户x的初始激励信誉值计算方法如如公式(2)：

基于假设3.1,3.2,3.3，我们可以推知普通用户参与构建他人(非攻击者)匿名组次数越多，那么他的信誉值在多次反馈评价之后可能会越高，然而攻击者参与构建他人(非攻击者)匿名组次数越多，那么他的信誉值在多次反馈评价之后可能就越低。因此本发明提出，对于用户主动提供自身位置信息参与匿名组构建，系统给以他某种特定算法的信誉值奖励。

这种策略一方面可以使普通用户以及攻击者的信誉值越接近真值，同时可以增加系统内能够获取到的可以用来构建匿名组的用户密度，可以增加请求用户发起位置k匿名构建满足k的匿名组的成功率，同时可以缩短查询的响应时间。

基于激励机制的被动提升用户信誉值R₁的方法可以如公式(3)：

R₁＝R₀+∑_ir_i 公式(3)

其中R₀为用户加入CoSecurity系统时获得初始激励信誉值，它是该用户采用 P2P单跳以及双跳方式能通信到的所有近邻用户的信誉值均值；r_i为用户每次成功参与其他用户匿名组构建时获得激励信誉增值。

可以得到的是，用户包括攻击者，参与到他人的匿名组构建的次数越多，获得的激励信誉值也就越大。

由于目前我们无法推知精确的位置隐私泄露时间，可能在我们进行评分之后位置隐私才泄露，因此本发明提出对构建匿名组的用户进行多次评分的方法。根据用户习惯，我们将标准的评分时间设置为24h，不进行评分则系统默认1，24h 之前的评分为初次评分，而24h之后的评分则为修正评分。修正评分更为真实反映用户隐私泄露程度，因此优先级别更高，将以更高比重计算到用户的信誉值当中。修正的信誉值方法可以表示为公式(4)：

公式(4)中T₀是请求用户对匿名组的初次评分，T₁是请求用户对匿名组的修正评分，R₁是用户的激励信誉值，R_m是请求用户的信誉值。可以推知，当请求用户给的评分高于参与构建匿名组用户自身的信誉值时，用户的信誉值会有小幅度增加，说明用户隐私没有被泄露，请求用户没有受到攻击行为，这个匿名组之中没有攻击者，整个匿名组所有成员信誉值都得到提升。当用户反馈的信任评分很低时，说明用户受到攻击者的攻击，位置隐私发生泄漏，那么匿名组当中存在攻击者，低评分会将整个匿名组的成员的信誉值评分相应降低。

当然，这里存在一个问题，就是普通用户受到攻击者牵连而被误杀。可以推知的是，一旦请求用户隐私被泄露，说明这个匿名组中存在攻击，相应降低整个组信誉值时合理的，因为信誉值被降低的普通用户参与其他不包含攻击者的匿名组之后其信誉值还是会相应增加而趋近于真值的，而攻击者的信誉值只会越来越低。同时从系统性能方面考虑，批量增加或降低匿名组的信誉值是合理的。

对于构建匿名组的用户，每次协作之后都会受到提出查询请求用户的反馈评分。受到的反馈评分次数越多，说明其参与构建匿名组的次数越多，更重要的是其信信誉越真实。新加入用户的信誉值初始值为区域内通过P2P单跳方式能通信到近邻用户信誉值的均值。

用户最终加权信誉值R可以用公式表示如公式(5)：

R＝R₁+T 公式(5)

其中R₁是用户的激励信誉值，T为用户的信誉反馈修正值。

Claims (6)

1.一种非完全可信用户协作无匿名区域的位置隐私保护方法，其特征在于，包括以下步骤：

1)用户提出构建匿名组的请求；

2)探寻近邻用户；

3)查看探寻到的近邻用户的信誉值；

4)若信誉值大于信任阈值，则允许对应用户参与构建匿名组，然后进入步骤5)；否则，不允许对应用户参与构建匿名组；

5)若匿名组的用户个数不小于k，则匿名组构建成功，进行位置服务查询，请求用户根据自己隐私保护程度对参与匿名组构建的用户进行评分，然后更新用户的信誉值，进入步骤6)：否则，匿名组构建失败，进入步骤6)；k为用户设置的隐私参数；

6)结束。

2.根据权利要求1所述的非完全可信用户协作无匿名区域的位置隐私保护方法，其特征在于，信誉值R的计算公式为：R＝R₁+T；其中R₁是用户的激励信誉值，T为用户的信誉反馈修正值。

3.根据权利要求2所述的非完全可信用户协作无匿名区域的位置隐私保护方法，其特征在于，R₁＝R₀+∑_ir_i；其中R₀为初始激励信誉值；r_i为用户每次成功参与其他用户匿名组构建时获得的激励信誉增值。

4.根据权利要求3所述的非完全可信用户协作无匿名区域的位置隐私保护方法，其特征在于，其中，T₁是请求用户对匿名组的修正评分，R_m是请求用户的信誉值；T₀是请求用户对匿名组的初次评分。

5.根据权利要求1所述的非完全可信用户协作无匿名区域的位置隐私保护方法，其特征在于，信任阈值的计算公式为：n为用户的个数；w_i为第i个用户的信誉值；i＝1，2，…，n。

6.根据权利要求1所述的非完全可信用户协作无匿名区域的位置隐私保护方法，其特征在于，信任阈值的取值范围为[0,1]。