CN109886046A - 一种位置隐私保护方法及系统 - Google Patents

Abstract

本发明公开了一种位置隐私保护方法，该方法包括：终端使用公钥对匿名区域、查询请求内容和终端的对称密钥进行加密得到查询密文，将查询密文和相对查询网格区域发送匿名服务器，匿名服务器确定出目标查询网格区域，将查询密文和目标查询网格区域发送给位置服务器，位置服务器进行兴趣点查询，并使用对称密钥对查询结果进行加密，得到查询结果密文，将查询结果密文和兴趣点网格坐标集返回给匿名服务器，匿名服务器对兴趣点进行筛选后，将相应的查询结果密文返回给终端，终端对其进行解密即可得到相应的兴趣点查询结果。应用本发明实施例所提供的技术方案，可以有效保护用户位置隐私。本发明还公开了一种位置隐私保护系统，具有相应技术效果。

Description

一种位置隐私保护方法及系统

技术领域

本发明涉及信息安全技术领域，特别是涉及一种位置隐私保护方法及系统。

背景技术

随着移动互联网技术的快速发展，内嵌各种智能传感器的移动终端的功能越来越强大，移动终端的使用也越来越普遍。在位置服务方面，基于位置服务的应用越来越普遍，包括道路导航、兴趣点查询、信息推送等等。为了获得位置服务，用户需要将自身的位置信息发送给位置服务器(Location Based Services Server，LBSs)，位置服务器根据用户提交的查询请求返回相应的查询内容给用户。

在这个过程之中，用户的位置信息和请求信息暴露给了位置服务器，如果被攻击者非法获取，可能会导致用户个人信息的泄露，如兴趣爱好、健康状况、工作情况等。比如，用户曾经查询了周围市区的医院信息，攻击者可以推测用户在大概率上存在健康上的问题。

因此在获取位置服务的同时，如何进行位置隐私保护，让攻击者难以获取用户的位置信息和查询信息，是目前本领域技术人员急需解决的技术问题。

发明内容

本发明的目的是提供一种位置隐私保护方法及系统，以在用户使用位置服务的同时，保护用户位置隐私。

为解决上述技术问题，本发明提供如下技术方案：

一种位置隐私保护方法，包括：

通过终端接收用户的携带查询请求内容的兴趣点查询请求；确定匿名区域，所述匿名区域覆盖包括所述用户在内的至少K个用户，K为正整数；基于所述匿名区域和所述用户的当前位置，确定相对查询网格区域；生成查询请求消息，所述查询请求消息包括查询密文和所述相对查询网格区域，所述查询密文为使用所述位置服务器的公钥对所述匿名区域、所述查询请求内容和所述终端的对称密钥进行加密获得的密文；将所述查询请求消息发送给匿名服务器；

通过所述匿名服务器基于所述相对查询网格区域，确定目标查询网格区域；将所述目标查询网格区域和所述查询密文发送给位置服务器；

通过所述位置服务器使用私钥解密所述查询密文，获得所述匿名区域、所述查询请求内容和所述对称密钥；结合所述匿名区域、所述目标查询网格区域和所述查询请求内容进行兴趣点查询，获得兴趣点网格坐标集；使用所述对称密钥对查询到的每个兴趣点的查询结果进行加密，获得每个兴趣点的查询结果密文；将所述兴趣点网格坐标集和每个兴趣点的查询结果密文返回给所述匿名服务器；

通过所述匿名服务器根据所述相对查询网格区域和所述兴趣点网格坐标集，进行兴趣点筛选；将筛选出的兴趣点对应的查询结果密文返回给所述终端；

通过所述终端使用所述对称密钥对接收到的每个兴趣点的查询结果密文进行解密，获得相应的兴趣点查询结果。

在本发明的一种具体实施方式中，所述确定匿名区域，包括：

从m＝1开始，获得所述用户的m跳通信距离内的用户数量；

确定所述用户数量是否大于或等于K；

如果是，则基于所述用户的m跳通信距离确定矩形的匿名区域；

如果否，则令m＝m+1，重复执行所述获得所述用户的m跳通信距离内的用户数量的步骤，m为正整数。

在本发明的一种具体实施方式中，所述基于所述用户的m跳通信距离确定矩形的匿名区域，包括：

确定所述用户的m跳通信距离所形成的圆形的外接正方形区域是否大于或等于预先确定的匿名参考区域；

如果是，则将所述外接正方形区域确定为匿名区域；

如果否，则将所述匿名参考区域确定为匿名区域。

在本发明的一种具体实施方式中，所述匿名区域被划分为n*n个网格。

在本发明的一种具体实施方式中，所述基于所述匿名区域和所述用户的当前位置，确定相对查询网格区域，包括：

以所述用户的当前位置为中心，以预先确定的查询距离为半径，获得圆形区域；

根据所述圆形区域与所述匿名区域的交集，确定矩形的相对查询网格区域。

在本发明的一种具体实施方式中，所述通过所述匿名服务器基于所述相对查询网格区域，确定目标查询网格区域，包括：

通过所述匿名服务器扩大所述相对查询网格区域；

将扩大的所述相对查询网格区域确定为目标查询网格区域。

在本发明的一种具体实施方式中，所述通过所述匿名服务器扩大所述相对查询网格区域，包括：

通过所述匿名服务器生成随机拉伸值；

基于所述随机拉伸值扩大所述相对查询网格区域。

在本发明的一种具体实施方式中，所述使用所述对称密钥对查询到的每个兴趣点的查询结果进行加密，包括：

针对查询到的每个兴趣点，使用所述对称密钥对该兴趣点的真实坐标、描述信息和时间戳信息进行加密。

在本发明的一种具体实施方式中，所述根据所述相对查询网格区域和所述兴趣点网格坐标集，进行兴趣点筛选，包括：

根据所述兴趣点网格坐标集，确定每个兴趣点的基于所述匿名区域的网格坐标；

筛选出网格坐标处于所述相对查询网格区域内的兴趣点。

一种位置隐私保护系统，包括终端、匿名服务器和位置服务器，其中：

所述终端，用于接收用户的携带查询请求内容的兴趣点查询请求；确定匿名区域，所述匿名区域覆盖包括所述用户在内的至少K个用户，K为正整数；基于所述匿名区域和所述用户的当前位置，确定相对查询网格区域；生成查询请求消息，所述查询请求消息包括查询密文和所述相对查询网格区域，所述查询密文为使用所述位置服务器的公钥对所述匿名区域、所述查询请求内容和所述终端的对称密钥进行加密获得的密文；将所述查询请求消息发送给所述匿名服务器；

所述匿名服务器，用于基于所述相对查询网格区域，确定目标查询网格区域；将所述目标查询网格区域和所述查询密文发送给所述位置服务器；

所述位置服务器，用于使用私钥解密所述查询密文，获得所述匿名区域、所述查询请求内容和所述对称密钥；结合所述匿名区域、所述目标查询网格区域和所述查询请求内容进行兴趣点查询，获得兴趣点网格坐标集；使用所述对称密钥对查询到的每个兴趣点的查询结果进行加密，获得每个兴趣点的查询结果密文；将所述兴趣点网格坐标集和每个兴趣点的查询结果密文返回给所述匿名服务器；

所述匿名服务器，还用于根据所述相对查询网格区域和所述兴趣点网格坐标集，进行兴趣点筛选；将筛选出的兴趣点对应的查询结果密文返回给所述终端；

所述终端，还用于使用所述对称密钥对接收到的每个兴趣点的查询结果密文进行解密，获得相应的兴趣点查询结果。

应用本发明实施例所提供的技术方案，终端使用位置服务器的公钥对匿名区域、查询请求内容和终端的对称密钥进行加密得到查询密文，将查询密文和相对查询网格区域发送匿名服务器，匿名服务器确定出目标查询网格区域，将查询密文和目标查询网格区域发送给位置服务器，位置服务器结合匿名区域、目标查询网格区域和查询请求内容进行兴趣点查询，并使用对称密钥对查询结果进行加密，得到查询结果密文，将查询结果密文和兴趣点网格坐标集返回给匿名服务器，匿名服务器对兴趣点进行筛选后，将相应的查询结果密文返回给终端，终端对其进行解密即可得到相应的兴趣点查询结果。终端发往位置服务器的查询相关信息是经过加密的，位置服务器返回给终端的查询结果也是加密的，即这些信息在经过第三方的匿名服务器时都是加密的，在匿名服务器不可信的情况下，这些信息难以被攻击者获取，导致信息的泄露，实现了用户位置隐私的安全保护。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例中一种位置隐私保护方法的实施流程图；

图2为本发明实施例中用户1跳通信距离感知到的其他用户情况示意图；

图3为本发明实施例中用户增加通信跳数感知到的其他用户情况示意图；

图4为本发明实施例中匿名区域和相对查询网格区域的生成示意图；

图5为本发明实施例中匿名服务器对相对查询网格区域进行拉伸的示意图；

图6为本发明实施例中一种位置隐私保护系统的结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面结合附图和具体实施方式对本发明作进一步的详细说明。显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

参见图1所示，为本发明实施例所提供的一种位置隐私保护方法的实施流程图，该方法可以包括以下步骤：

S100：通过终端接收用户的携带查询请求内容的兴趣点查询请求。

在实际应用中，用户可以根据实际需要，向终端发送相应的兴趣点查询请求，兴趣点可以是咖啡厅、影院、书店、医院等。兴趣点查询请求中可以携带查询请求内容，该查询请求内容具体可以是待查询的兴趣点的相关关键词。

终端在接收到用户的兴趣点查询请求后，可以继续执行步骤S101的操作。

S101：确定匿名区域。

匿名区域覆盖包括用户在内的至少K个用户，K为正整数。

终端在接收到用户的兴趣点查询请求后，可以先确定一个匿名区域，该匿名区域可以根据预设的匿名度进行确定，确定的匿名区域中需覆盖包括当前用户在内的至少K个用户，K可以理解为匿名度，为正整数。匿名度可以根据实际情况进行设定和调整。

在本发明的一种具体实施方式中，步骤S101可以包括以下步骤：

步骤一：从m＝1开始，获得用户的m跳通信距离内的用户数量；

步骤二：确定用户数量是否大于或等于K；如果是，则执行步骤三，否则，执行步骤四；

步骤三：基于用户的m跳通信距离确定矩形的匿名区域；

步骤四：令m＝m+1，重复执行步骤一及其之后步骤。

为便于描述，将上述四个步骤结合起来进行说明。

在实际应用中，终端可以通过多跳数通信来感知周围的用户数量。终端和周围的其他终端节点进行协作，周期性更新当前用户1跳通信距离内的用户数量，并可以通过发送广播消息获取m跳通信距离内的用户数量。

如，用户a通过获取1跳通信距离内其他用户{u₁,u₂,…}发送的信息{N₁,N₂,…}来更新自己的1跳通信距离内的用户数量N(a,1)，终端通过与基站交互获得的1跳通信距离内的用户数量初始值为N₀，具体更新公式如式(1)所示：

其中，N_i为用户u_i感知到的自己1跳通信距离内的用户数量。

每当用户a的N(a,1)有变动或者直接感知范围内有新的邻居加入时，可以向周围的用户发送自身的周围用户数量，同时收集其他用户发送的消息更新自身的用户数量。

终端在接收到用户的兴趣点查询请求时，可以从m＝1开始，获得用户的1跳通信距离内的用户数量。如果该用户数量大于或等于K，则可以基于用户的1跳通信距离确定矩形的匿名区域。如果该用户数量小于K，则可以令m＝2，获得用户的2跳通信距离内的用户数量，并继续执行判断等步骤，直至用户数量大于或等于K时，基于用户的当前跳通信距离确定矩形的匿名区域。

以基于用户的2跳通信距离确定矩形的匿名区域为例，可以使用一个圆形包含用户的2跳通信范围，将该圆形的外接正方形区域确定为匿名区域。

图2所示即为用户1跳通信距离感知到的其他用户情况示意图，图3所示即为用户增加通信跳数感知到的其他用户情况示意图。

在本发明实施例中，在基于用户的m跳通信距离确定矩形的匿名区域时，具体可以先确定用户的m跳通信距离所形成的圆形的外接正方形区域是否大于或等于预先确定的匿名参考区域，如果是，则可以将外接正方形区域确定为匿名区域，如果否，则可以将匿名参考区域确定为匿名区域。

匿名参考区域可以根据兴趣点查询请求中的查询距离预先确定，即以用户的当前位置为中心，以查询距离为半径做圆，将该圆的外接正方形区域确定为匿名参考区域。如果兴趣点查询请求没有携带查询距离的信息，则可以将默认数值确定为查询距离，按照上述方法预先确定匿名参考区域。

最后确定的匿名区域会大于或等于匿名参考区域，这样可以使得匿名区域所覆盖范围大于用户对兴趣点的查询范围。

也就是说，匿名区域的确定可以基于两个因素，一个是匿名度，一个是匿名参考区域。根据匿名度来确定匿名区域的大小，当周围的用户数量较多时，生成的匿名区域M就比较小，当周围的用户稀少时，为了保证隐私性，终端会尝试搜索更高跳数范围的其他用户，生成匿名区域M就比较大。

如图4所示，可以建立一个坐标系，该坐标系的横轴与匿名区域M的一条边平行，该坐标系的纵轴与匿名区域的另一条相邻边平行。匿名区域M可以用左下角经纬度坐标(x_L,y_L)和右上角经纬度坐标(x_R,y_R)来表示，即M＝{(x_L,y_L),(x_R,y_R),n}，匿名区域M被划分为n*n个网格，每个网格的相对坐标(c,r)可以根据公式(2)计算，其中网格的真实坐标为(x_i,y_i)。

用户与周围的其他用户进行协作形成匿名区域，向位置服务器获取位置服务，位置服务器无法知悉获取服务的是匿名区域中的哪个用户，从而可以保护用户的隐私信息。

S102：基于匿名区域和用户的当前位置，确定相对查询网格区域。

终端在确定匿名区域后，可以进一步基于匿名区域和用户的当前位置，确定相对查询网格区域。

在本发明的一种具体实施方式中，步骤S102可以包括以下步骤：

第一个步骤：以用户的当前位置为中心，以预先确定的查询距离为半径，获得圆形区域；

第二个步骤：根据圆形区域与匿名区域的交集，确定矩形的相对查询网格区域。

在本发明实施例中，终端可以预先确定查询距离。具体的，查询距离可以由用户指定，如查询1km以内的兴趣点，用户在发送兴趣点查询请求时可以携带查询距离的信息，终端通过兴趣点查询请求中携带的查询距离的信息，确定查询距离。或者，如果用户没有指定，则可以将预设的默认值确定为查询距离，如500m。

以用户的当前位置为中心，以预先确定的查询距离为半径，可以获得一个圆形区域。

将该圆形区域与之前确定的域名区域M相交，得到交集，计算该交集所占用网格的网格坐标，形成矩形的相对查询网格区域。

如图4所示的灰色区域即为相对查询网格区域，(c_L,r_L)表示相对查询网格的左下角网格坐标，(c_R,r_R)表示相对查询网格的右上角网格坐标。

S103：生成查询请求消息。

查询请求消息包括查询密文和相对查询网格区域，查询密文为使用位置服务器的公钥对匿名区域、查询请求内容和终端的对称密钥进行加密获得的密文。

在本发明实施例中，终端可以预先获得位置服务器的公钥，并生成一个对称密钥，使用位置服务器的公钥对匿名区域、查询请求内容和对称密钥进行加密，得到查询密文。

将查询密文和相对查询网格区域合并成查询请求消息。

S104：将查询请求消息发送给匿名服务器。

终端生成查询请求消息后，可以将查询请求消息发送给匿名服务器。

即在终端和位置服务器中间加入了第三方的匿名服务器(Anonymous Server，AS)，匿名服务器可以对用户的查询请求进行匿名化处理以及转发请求消息，对位置服务器的查询结果进行筛选返回给用户。

S105：通过匿名服务器基于相对查询网格区域，确定目标查询网格区域。

匿名服务器接收到查询请求消息后，即可获得查询密文和相对查询网格区域。基于相对查询网格区域，可以进一步确定目标查询网格区域。

在本发明的一种具体实施方式中，步骤S105可以包括以下步骤：

步骤一：通过匿名服务器扩大相对查询网格区域；

步骤二：将扩大的相对查询网格区域确定为目标查询网格区域。

在本发明实施例中，匿名服务器接收到查询请求消息后，可以保存相对查询网格区域，并对相对查询网格区域进行扩大处理。具体的，可以生成一个随机拉伸值，基于该随机拉伸值扩大相对查询网格区域。如图5所示，将相对查询网格区域中的左下角网格坐标和右上角网格坐标附加一个随机的拉伸值，替换查询请求消息中的相对查询网格区域中相应的网格坐标，得到目标查询网格区域。可通过调节拉伸值的范围控制隐私度和服务质量。

当然，在实际应用中，匿名服务器也可以直接将相对查询网格区域确定为目标查询网格区域。

S106：将目标查询网格区域和查询密文发送给位置服务器。

匿名服务器确定目标查询网格区域后，可以将目标查询网格区域和查询密文发送给位置服务器，以获得位置服务器的位置服务。

S107：通过位置服务器使用私钥解密查询密文，获得匿名区域、查询请求内容和对称密钥。

位置服务器接收到目标查询网格区域和查询密文后，可以使用自己的私钥对查询密文进行解密。解密后，可以获得匿名区域、查询请求内容和终端生成的对称密钥。

S108：结合匿名区域、目标查询网格区域和查询请求内容进行兴趣点查询，获得兴趣点网格坐标集。

位置服务器可以结合匿名区域、目标查询网格区域和查询请求内容进行兴趣点查询，查询到多个兴趣点。可以利用公式(2)计算每个兴趣点在匿名区域上的网格坐标，得到兴趣点网格坐标集。兴趣点网格坐标集可以表示为β＝{(c_i,r_i)}，0＜i≤t，t为查询到的兴趣点个数。

S109：使用对称密钥对查询到的每个兴趣点的查询结果进行加密，获得每个兴趣点的查询结果密文。

位置服务器查询到多个兴趣点，每个兴趣点对应一个查询结果，该查询结果可以包括兴趣点真实坐标、描述信息等。

使用对称密钥对查询到的每个兴趣点的查询结果进行加密，可以获得每个兴趣点的查询结果密文。

在本发明的一种具体实施方式中，步骤S109可以包括以下步骤：

针对查询到的每个兴趣点，使用对称密钥对该兴趣点的真实坐标、描述信息和时间戳信息进行加密。

兴趣点的查询结果密文的集合可以表示为ζ＝{KL<(x_i,y_i),info_i,TIME_i>}，其中，KL为对称密钥，(x_i,y_i)为第i个兴趣点的真实坐标，TIME为时间戳。

S110：将兴趣点网格坐标集和每个兴趣点的查询结果密文返回给匿名服务器。

位置服务器查询到兴趣点后，将兴趣点网格坐标集和每个兴趣点的查询结果密文返回给匿名服务器。

S111：通过匿名服务器根据相对查询网格区域和兴趣点网格坐标集，进行兴趣点筛选。

匿名服务器接收到兴趣点网格坐标集和每个兴趣点的查询结果密文后，可以根据相对查询网格区域和兴趣点网格坐标集，进行兴趣点的筛选。

在本发明的一种具体实施方式中，步骤S111可以包括以下步骤：

第一个步骤：根据兴趣点网格坐标集，确定每个兴趣点的基于匿名区域的网格坐标；

第二个步骤：筛选出网格坐标处于相对查询网格区域内的兴趣点。

可以理解的是，位置服务器查询得到的兴趣点是在目标查询网格区域内的，目标查询网格区域可能会大于相对查询网格区域。所以，匿名服务器接收到兴趣点网格坐标集后，可以确定出每个兴趣点的基于匿名区域的网格坐标，根据每个兴趣点的网格坐标，可以筛选出网格坐标处于相对查询网格区域内的兴趣点，这样筛选出的兴趣点才能符合用户需求。

S112：将筛选出的兴趣点对应的查询结果密文返回给终端。

匿名服务器筛选出兴趣点后，将筛选出的兴趣点对应的查询结果密文返回给终端。

S113：通过终端使用对称密钥对接收到的每个兴趣点的查询结果密文进行解密，获得相应的兴趣点查询结果。

终端收到查询结果密文后，可以使用对称密钥对接收到的每个兴趣点的查询结果密文进行解密，获得相应的兴趣点查询结果。

本发明实施例在用户请求位置服务时，通过与其他用户进行协作感知范围内的用户数量，确保匿名区域覆盖足够的用户数量；在面对不可信的第三方匿名服务器时，通过加密匿名区域和查询请求内容，传递相对查询网格区域，使得匿名服务器仅能获得相对于匿名区域的相对查询网格区域，难以获得用户的具体位置和查询请求内容，位置服务器由于相对查询网格区域的扩大难以得知用户的准确位置信息和用户的身份信息。在面对不可信的匿名服务器和位置服务器的应用环境时，能够保护用户的位置隐私信息。

也就是说，在本发明实施例中，第三方匿名服务器难以获知用户的位置和查询请求内容，位置服务器难以获知用户的确切位置和用户的身份信息，同时敏感的匿名区域和用户的查询请求内容都使用了加密算法，使得攻击者即使拦截了发送的信息，在没有解密钥的情况下，难以获得相应的内容信息，因此，该方法能够保证用户的位置隐私信息和查询请求信息不被除了自己以外的服务器或用户知道，保护了用户的隐私信息。

应用本发明实施例所提供的方法，终端使用位置服务器的公钥对匿名区域、查询请求内容和终端的对称密钥进行加密得到查询密文，将查询密文和相对查询网格区域发送匿名服务器，匿名服务器确定出目标查询网格区域，将查询密文和目标查询网格区域发送给位置服务器，位置服务器结合匿名区域、目标查询网格区域和查询请求内容进行兴趣点查询，并使用对称密钥对查询结果进行加密，得到查询结果密文，将查询结果密文和兴趣点网格坐标集返回给匿名服务器，匿名服务器对兴趣点进行筛选后，将相应的查询结果密文返回给终端，终端对其进行解密即可得到相应的兴趣点查询结果。终端发往位置服务器的查询相关信息是经过加密的，位置服务器返回给终端的查询结果也是加密的，即这些信息在经过第三方的匿名服务器时都是加密的，在匿名服务器不可信的情况下，这些信息难以被攻击者获取，导致信息的泄露，实现了用户位置隐私的安全保护。

相应于上面的方法实施例，本发明实施例还提供了一种位置隐私保护系统，下文描述的一种位置隐私保护系统与上文描述的一种位置隐私保护方法可相互对应参照。

参见图6所示，该系统包括终端610、匿名服务器620和位置服务器630，其中：

终端610，用于接收用户的携带查询请求内容的兴趣点查询请求；确定匿名区域，匿名区域覆盖包括用户在内的至少K个用户，K为正整数；基于匿名区域和用户的当前位置，确定相对查询网格区域；生成查询请求消息，查询请求消息包括查询密文和相对查询网格区域，查询密文为使用位置服务器的公钥对匿名区域、查询请求内容和终端的对称密钥进行加密获得的密文；将查询请求消息发送给匿名服务器620；

匿名服务器620，用于基于相对查询网格区域，确定目标查询网格区域；将目标查询网格区域和查询密文发送给位置服务器630；

位置服务器630，用于使用私钥解密查询密文，获得匿名区域、查询请求内容和对称密钥；结合匿名区域、目标查询网格区域和查询请求内容进行兴趣点查询，获得兴趣点网格坐标集；使用对称密钥对查询到的每个兴趣点的查询结果进行加密，获得每个兴趣点的查询结果密文；将兴趣点网格坐标集和每个兴趣点的查询结果密文返回给匿名服务器620；

匿名服务器620，还用于根据相对查询网格区域和兴趣点网格坐标集，进行兴趣点筛选；将筛选出的兴趣点对应的查询结果密文返回给终端610；

终端610，还用于使用对称密钥对接收到的每个兴趣点的查询结果密文进行解密，获得相应的兴趣点查询结果。

应用本发明实施例所提供的系统，终端使用位置服务器的公钥对匿名区域、查询请求内容和终端的对称密钥进行加密得到查询密文，将查询密文和相对查询网格区域发送匿名服务器，匿名服务器确定出目标查询网格区域，将查询密文和目标查询网格区域发送给位置服务器，位置服务器结合匿名区域、目标查询网格区域和查询请求内容进行兴趣点查询，并使用对称密钥对查询结果进行加密，得到查询结果密文，将查询结果密文和兴趣点网格坐标集返回给匿名服务器，匿名服务器对兴趣点进行筛选后，将相应的查询结果密文返回给终端，终端对其进行解密即可得到相应的兴趣点查询结果。终端发往位置服务器的查询相关信息是经过加密的，位置服务器返回给终端的查询结果也是加密的，即这些信息在经过第三方的匿名服务器时都是加密的，在匿名服务器不可信的情况下，这些信息难以被攻击者获取，导致信息的泄露，实现了用户位置隐私的安全保护。

在本发明的一种具体实施方式中，终端610，具体用于：

从m＝1开始，获得用户的m跳通信距离内的用户数量；

确定用户数量是否大于或等于K；

如果是，则基于用户的m跳通信距离确定矩形的匿名区域；

如果否，则令m＝m+1，重复执行获得用户的m跳通信距离内的用户数量的步骤，m为正整数。

在本发明的一种具体实施方式中，终端610，具体用于：

确定用户的m跳通信距离所形成的圆形的外接正方形区域是否大于或等于预先确定的匿名参考区域；

如果是，则将外接正方形区域确定为匿名区域；

如果否，则将匿名参考区域确定为匿名区域。

在本发明的一种具体实施方式中，匿名区域被划分为n*n个网格。

在本发明的一种具体实施方式中，终端610，具体用于：

以用户的当前位置为中心，以预先确定的查询距离为半径，获得圆形区域；

根据圆形区域与匿名区域的交集，确定矩形的相对查询网格区域。

在本发明的一种具体实施方式中，匿名服务器620，具体用于：

通过匿名服务器扩大相对查询网格区域；

将扩大的相对查询网格区域确定为目标查询网格区域。

在本发明的一种具体实施方式中，匿名服务器620，具体用于：

通过匿名服务器生成随机拉伸值；

基于随机拉伸值扩大相对查询网格区域。

在本发明的一种具体实施方式中，位置服务器630，具体用于：

针对查询到的每个兴趣点，使用对称密钥对该兴趣点的真实坐标、描述信息和时间戳信息进行加密。

在本发明的一种具体实施方式中，匿名服务器620，具体用于：

根据兴趣点网格坐标集，确定每个兴趣点的基于匿名区域的网格坐标；

筛选出网格坐标处于相对查询网格区域内的兴趣点。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的技术方案及其核心思想。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以对本发明进行若干改进和修饰，这些改进和修饰也落入本发明权利要求的保护范围内。

Claims (10)

1.一种位置隐私保护方法，其特征在于，包括：

通过终端接收用户的携带查询请求内容的兴趣点查询请求；确定匿名区域，所述匿名区域覆盖包括所述用户在内的至少K个用户，K为正整数；基于所述匿名区域和所述用户的当前位置，确定相对查询网格区域；生成查询请求消息，所述查询请求消息包括查询密文和所述相对查询网格区域，所述查询密文为使用所述位置服务器的公钥对所述匿名区域、所述查询请求内容和所述终端的对称密钥进行加密获得的密文；将所述查询请求消息发送给匿名服务器；

通过所述匿名服务器基于所述相对查询网格区域，确定目标查询网格区域；将所述目标查询网格区域和所述查询密文发送给位置服务器；

通过所述位置服务器使用私钥解密所述查询密文，获得所述匿名区域、所述查询请求内容和所述对称密钥；结合所述匿名区域、所述目标查询网格区域和所述查询请求内容进行兴趣点查询，获得兴趣点网格坐标集；使用所述对称密钥对查询到的每个兴趣点的查询结果进行加密，获得每个兴趣点的查询结果密文；将所述兴趣点网格坐标集和每个兴趣点的查询结果密文返回给所述匿名服务器；

通过所述匿名服务器根据所述相对查询网格区域和所述兴趣点网格坐标集，进行兴趣点筛选；将筛选出的兴趣点对应的查询结果密文返回给所述终端；

通过所述终端使用所述对称密钥对接收到的每个兴趣点的查询结果密文进行解密，获得相应的兴趣点查询结果。

2.根据权利要求1所述的方法，其特征在于，所述确定匿名区域，包括：

从m＝1开始，获得所述用户的m跳通信距离内的用户数量；

确定所述用户数量是否大于或等于K；

如果是，则基于所述用户的m跳通信距离确定矩形的匿名区域；

如果否，则令m＝m+1，重复执行所述获得所述用户的m跳通信距离内的用户数量的步骤，m为正整数。

3.根据权利要求2所述的方法，其特征在于，所述基于所述用户的m跳通信距离确定矩形的匿名区域，包括：

确定所述用户的m跳通信距离所形成的圆形的外接正方形区域是否大于或等于预先确定的匿名参考区域；

如果是，则将所述外接正方形区域确定为匿名区域；

如果否，则将所述匿名参考区域确定为匿名区域。

4.根据权利要求2所述的方法，其特征在于，所述匿名区域被划分为n*n个网格。

5.根据权利要求3所述的方法，其特征在于，所述基于所述匿名区域和所述用户的当前位置，确定相对查询网格区域，包括：

以所述用户的当前位置为中心，以预先确定的查询距离为半径，获得圆形区域；

根据所述圆形区域与所述匿名区域的交集，确定矩形的相对查询网格区域。

6.根据权利要求1至5之中任一项所述的方法，其特征在于，所述通过所述匿名服务器基于所述相对查询网格区域，确定目标查询网格区域，包括：

通过所述匿名服务器扩大所述相对查询网格区域；

将扩大的所述相对查询网格区域确定为目标查询网格区域。

7.根据权利要求6所述的方法，其特征在于，所述通过所述匿名服务器扩大所述相对查询网格区域，包括：

通过所述匿名服务器生成随机拉伸值；

基于所述随机拉伸值扩大所述相对查询网格区域。

8.根据权利要求6所述的方法，其特征在于，所述使用所述对称密钥对查询到的每个兴趣点的查询结果进行加密，包括：

针对查询到的每个兴趣点，使用所述对称密钥对该兴趣点的真实坐标、描述信息和时间戳信息进行加密。

9.根据权利要求6所述的方法，其特征在于，所述根据所述相对查询网格区域和所述兴趣点网格坐标集，进行兴趣点筛选，包括：

根据所述兴趣点网格坐标集，确定每个兴趣点的基于所述匿名区域的网格坐标；

筛选出网格坐标处于所述相对查询网格区域内的兴趣点。

10.一种位置隐私保护系统，其特征在于，包括终端、匿名服务器和位置服务器，其中：

所述终端，用于接收用户的携带查询请求内容的兴趣点查询请求；确定匿名区域，所述匿名区域覆盖包括所述用户在内的至少K个用户，K为正整数；基于所述匿名区域和所述用户的当前位置，确定相对查询网格区域；生成查询请求消息，所述查询请求消息包括查询密文和所述相对查询网格区域，所述查询密文为使用所述位置服务器的公钥对所述匿名区域、所述查询请求内容和所述终端的对称密钥进行加密获得的密文；将所述查询请求消息发送给所述匿名服务器；

所述匿名服务器，用于基于所述相对查询网格区域，确定目标查询网格区域；将所述目标查询网格区域和所述查询密文发送给所述位置服务器；

所述位置服务器，用于使用私钥解密所述查询密文，获得所述匿名区域、所述查询请求内容和所述对称密钥；结合所述匿名区域、所述目标查询网格区域和所述查询请求内容进行兴趣点查询，获得兴趣点网格坐标集；使用所述对称密钥对查询到的每个兴趣点的查询结果进行加密，获得每个兴趣点的查询结果密文；将所述兴趣点网格坐标集和每个兴趣点的查询结果密文返回给所述匿名服务器；

所述匿名服务器，还用于根据所述相对查询网格区域和所述兴趣点网格坐标集，进行兴趣点筛选；将筛选出的兴趣点对应的查询结果密文返回给所述终端；

所述终端，还用于使用所述对称密钥对接收到的每个兴趣点的查询结果密文进行解密，获得相应的兴趣点查询结果。