CN111278015A - 一种抵抗分布相关性攻击的位置服务隐私保护方法 - Google Patents

Abstract

本发明公开一种抵抗分布相关性攻击的位置服务隐私保护方法，预先设置隐私预算ε和相关性阈值c，查询时根据真实位置p、ε和c利用拉普拉斯机制产生一个噪声位置p'；当有历史噪声位置落入以p为中心半径为p至p'欧式距离的圆内时，采用零成本预测法从圆内噪声位置集P_in ^*中选出一预测点向位置服务器请求服务；否则，计算p点与P集合点所有点的位置相关性，在位置相关性最大值小于预设相关性阈值c时以噪声位置p'向位置服务器请求服务；当最大值不小于预设相关性阈值c时采用零成本预测法从P^*中选出一预测点向位置服务器请求服务。本发明有效降低连续查询的风险累积，确保用户的每个查询位置的累积分布相关性隐私累积存在上限。

Description

一种抵抗分布相关性攻击的位置服务隐私保护方法

技术领域

本发明涉及基于位置的服务(Location-based Services，LBS)领域，尤其涉及一种抵抗分布相关性攻击的位置服务隐私保护方法。

背景技术

近几年来，随着具有定位功能的智能终端和无线通信的日益普及，各种基于位置的信息服务正迅猛发展，现已覆盖人们生活的方方面面，如导航、兴趣点推荐、签到、网络社交等等。在位置服务中，用户往往需要向服务提供商提交自身精确的位置才能获得服务。然而，不可信的服务提供商有可能因内部攻击或者出于商业目的而泄露用户的位置信息，攻击者再利用数据挖掘技术从中获取用户各种敏感信息，如家庭住址、出行目的、行为习惯、消费水平、健康状况和社交关系等。因此，现有的位置服务系统存在较为严重的隐私泄露风险。而且，由于位置信息与客观世界存在时空关联，位置信息的泄露甚至有可能导致人们的生命财产受到危害。

差分隐私是目前位置隐私保护的一种主流技术。它克服了传统k-匿名等模型普遍存在“依赖于攻击者背景知识而导致其安全性无法严格证明”的缺点，对攻击者背景知识不做任何假设，其定义是建立在严格数学统计模型上，并可通过调整隐私参数来控制隐私保护水平。而位置差分技术是利用极坐标系下的拉普拉斯扰动机制产生随机的假位置点(简称噪音点)，并用于替代用户的真实位置向服务器请求位置服务。由于拉普拉斯扰动的随机性，真实位置与周边位置(半径r的圆，r可调整)产生同一个噪音点的概率是相同(即地理不可区分)，因此从攻击者角度看，用户位置被保护在半径为r的圆中。然而，现有的位置差分隐私保护技术往往仅适用于零星查询的场景，在连续查询场景中，用户轨迹仍然存在受相关性攻击的隐患，其中包括分布相关性攻击。虽然噪音点是随机产生，攻击者无法依据单个噪音点推测出用户的真实位置。但由于这些噪音点都服从同一个分布概率，如果用户在静止的状态下连续多次请求位置服务，则每次产生的噪音点将围绕着真实位置，从而形成了一个圆圈，从而暴露出用户的真实位置。如图1所示，其中‘*’为用户的真实位置，‘.’为每次查询产生的拉普拉斯扰动位置。在实际应用场景中，当两个真实位置比较靠近时，其发布的噪音位置的分布也具有一定的重叠，因此也会给对方隐私泄露风险带来累积。

发明内容

本发明的目的在于提供一种抵抗分布相关性攻击的位置服务隐私保护方法,解决连续查询中由于分布相关性带来的隐私泄露问题。

本发明采用的技术方案是：

一种抵抗分布相关性攻击的位置服务隐私保护方法，通过以下步骤实现：

(1)离线初始化阶段

步骤S0：移动终端初始化两个隐私参数和两个历史位置集，即隐私预算为ε和分布相关性阈值为c，设置历史发布位置集

历史真实位置集

其中，P^*表示已发布的噪声位置集合；而P表示历史查询的真实位置集合；

(2)在线查询阶段

步骤S1：根据真实位置p、ε和c，利用极坐标系下的拉普拉斯机制产生一个噪声位置p'。

步骤S2：令P_in ^*＝{q|q∈P^*,q∈circle(p,d₂(p,p'))}，其中d₂(p,p')表示真实位置p到噪声位置p'的欧式距离；而circle(p,d₂(p,p'))表示以p为中心且d₂(p,p')为半径的圆；；如果

则采用零成本预测方法从P_in ^*中选出一个预测位置点o'，即o'＝predict(P_in ^*)；然后以o'为报告位置向位置服务器请求服务，并令P^*＝P^*∪{o'}，P＝P∪{p}，最后结束本次查询。否则，执行下一步；

步骤S3:计算P集合与p点的最大位置相关性，即c_m＝max_pj∈Pc(p,p_j)；如果c_m≤c，则p'为报告位置向位置服务器请求服务，且P^*＝P^*∪{p'}，P＝P∪{p}。并结束本次查询。否则执行下一步；

步骤S4：则采用零成本预测方法从P^*中选出一个位置点o'，即o'＝predict(P^*)；然后以o'为报告位置向位置服务器请求服务，并且P^*＝P^*∪{o'}，P＝P∪{p}，并结束本次查询。

进一步地，所述的零成本预测方法y＝predict(X)，其具体步骤如下：

步骤S21：以输入的位置集X为基准中心点，生成维诺图。维诺图定义为：Z＝∪z_i,x_i∈z_i,x_i∈X,

其中Z为平面区域，z_i为维诺图中的区域。

步骤S22：令p*＝min_xi∈Xdistance(x_i,p’)，其中distance()函数表示两点的欧氏距离，计算：

步骤23：如果ε_c≠0，令X＝X-{p*}，返回步骤S21；否则，令y＝p*并输出y作为预测位置点o'；

进一步地，所述位置相关性计算方法,具体的计算公式如下：

其中，G表示整个地理分布区域。

本发明采用以上技术方案，预先设置隐私预算ε和相关性阈值c，查询时根据真实位置p、ε和c利用拉普拉斯机制产生一个噪声位置p'；当有历史噪声位置点落入以p为中心p至p'距离为半径的圆内时，则采用零成本预测方法从圆内的噪声位置集P_in ^*中选出一个预测点向位置服务器请求服务；否则，计算获取p点与P集合点的位置相关性，并在位置相关性最大值小于预设相关性阈值c时以噪声位置p'向位置服务器请求服务；当最大值不小于预设相关性阈值c时采用零成本预测方法从P^*中选出一个预测点向位置服务器请求服务。本发明有益效果在于：1、有效降低连续查询的风险累积；而且确保用户的每个查询位置的累积分布相关性隐私累积存在上限；2、本发明不依赖于第三方服务器，仅有终端自行完成位置隐私保护处理。

附图说明

以下结合附图和具体实施方式对本发明做进一步详细说明；

图1为现有的分布相关性攻击示意图；

图2为本发明一种抵抗分布相关性攻击的位置服务隐私保护方法的架构示意图；

图3为本发明一种抵抗分布相关性攻击的位置服务隐私保护方法的维诺图调整示意图。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本申请实施例的组件可以以各种不同的配置来布置和设计。因此，以下对在附图中提供的本申请的实施例的详细描述并非旨在限制要求保护的本申请的范围，而是仅仅表示本申请的选定实施例。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

下面将结合附图，对本申请中的技术方案进行描述。

如图1至图3之一所示，本发明公开了一种抵抗分布相关性攻击的位置服务隐私保护方法，通过以下步骤实现：

(1)离线初始化阶段

步骤S0：移动终端初始化两个隐私参数和两个历史位置集，即隐私预算为ε和分布相关性阈值为c，设置历史发布位置集

历史真实位置集

(2)在线查询阶段

步骤S1：根据真实位置p、ε和c，利用极坐标系下的拉普拉斯机制产生一个噪声位置p'。

步骤S2：令P_in ^*＝{q|q∈P^*,q∈circle(p,d₂(p,p'))}，其中circle(p,d₂(p,p'))表示以p为中心且d₂(p,p')为半径的圆；如果

则采用零成本预测方法从P_in ^*中选出一个预测位置点o'，即o'＝predict(P_in ^*)；然后以o'为报告位置向位置服务器请求服务，并令P^*＝P^*∪{o'}，P＝P∪{p}，最后结束本次查询。否则，执行下一步；

步骤S3:计算P集合与p点的最大位置相关性，即c_m＝max_pj∈Pc(p,p_j)；如果c_m≤c，则p'为报告位置向位置服务器请求服务，且P^*＝P^*∪{p'}，P＝P∪{p}。并结束本次查询。否则执行下一步；

步骤S4：则采用零成本预测方法从P^*中选出一个位置点o'，即o'＝predict(P^*)；然后以o'为报告位置向位置服务器请求服务，并且P^*＝P^*∪{o'}，P＝P∪{p}，并结束本次查询。

进一步地，所述的零成本预测方法y＝predict(X)，其具体步骤如下：

步骤S21：以输入的历史位置集X为基准中心点，生成维诺图。维诺图定义为：Z＝∪z_i,x_i∈z_i,x_i∈X,

其中Z为平面区域，z_i为维诺图中的区域。

步骤S22：令p*＝min_xi∈Xdistance(x_i,p’)，其中distance()函数表示两点的欧氏距离，计算：

步骤23：如果ε_c≠0，令X＝X-{p*}，返回步骤S21；否则，令y＝p*并输出y作为预测位置点o'；

进一步地，所述位置相关性计算方法,具体的计算公式如下：

其中，G表示整个地理分布区域。

下面就本发明具体的工作原理做详细的说明：本发明分为初始化阶段和终端在线查询阶段。

一、初始化阶段

用户终端设定两个阈值：设置隐私预算ε和分布相关性阈值c。其中，隐私预算ε代表隐私保护水平。

二、终端在线查询阶段：当用户需要请求位置服务时，按如下策略进行服务查询

(1)利用极坐标系下的拉普拉斯机制，对于真实位置p产生一个噪声位置p'。其中噪音位置的生成方法是：首先，在[0,2π)中随机选取一个点θ。然后，在[0,1)中随机选取一个点z，令

其中W_-1是朗伯W函数。最后噪音位置p'＝(x+rcosθ,y+rsinθ)，其中(x,y)是真实位置p的坐标。

(2)如果在以p为中心且半径r＝d₂(p,p')的圆内有历史发布的位置点，则采用零成本预测方法预测圆内的历史发布的位置点，如果成功则退出；否则进行位置相关性检测。

(3)如果真实位置p与之前发布的真实位置的相关性最大值小于设置的阈值c，则使用新的噪声位置p'作为发布位置；否则利用零成本预测方法从历史发布位置中预测查询位置。

本发明的方案说明：如图1所示：p为用户的真实位置，p'为位置p的噪音位置，星号位置代表历史发布位置，圆心代表历史真实位置。如果在以p为中心且半径r＝d₂(p,p')的圆内有历史发布位置，利用零成本预测方法，选择圆圈内的位置作为查询位置。否则，检测p与之前发布的真实位置的相关性最大值是否小于相关性阈值c。根据距离与相关性的关系，距离越大，相关性越小，因此如果lc为半径圆内没有真实位置点，则发布噪音位置p'。否则，将利用零成本预测方法预测当前位置，其中lc为相关性为c时对应的距离。

本发明的零成本预测方法：首先以历史发布位置点为基准点，将所有基准点连线的垂直平分线的交点连线则生成维诺图。维诺图将平面划分区域，保证以中心点生成的区域内任意一点到中心点的距离都要小于其到其他中心点的距离。然后，以噪音位置p'最近的历史位置作为发布点，并在维诺图子区域中计算隐私成本ε_c，如果ε_c＝0，则预测成功，发布该点查询，否则删除与真实位置最近的历史发布位置，重新生成维诺图，计算隐私成本ε_c，直到预测成功，结束退出。其中，ε_c计算为：

z_i为维诺图的子区域。如图2所示，将维诺图子区域z_i设为半径为600米的圆，以及ε_c＝0.2。可以发现，当用户不靠近区域边界时，LBS查询的隐私成本可能接近“零”，然而，当用户靠近区域边界时(大约距离中心超过400米)，隐私成本迅速增加并达到最大值0.2。因此本发明通过删除基准点，使得隐私成本为0。如图3所示，以o₁，o₂，o₃和o₄为基准点生成维诺图如图3中的(a)所示，p点为用户真实位置，p点位于o₄所在的维诺图的子区域边界，隐私成本不为0，删除o₄后，形成维诺图如图3中的(b)所示，此时发布o₃隐私成本为0。

本发明采用以上技术方案，预先设置隐私预算ε和相关性阈值c，查询时根据真实位置p、ε和c利用拉普拉斯机制产生一个噪声位置p'；当有历史噪声位置点落入以p为中心p至p'欧式距离为半径的圆内时，则采用零成本预测方法从圆内历史噪声位置P_in ^*中选出一个预测点向位置服务器请求服务；否则，计算获取p点与P集合点的位置相关性，并在位置相关性最大值小于预设相关性阈值c时以噪声位置p'向位置服务器请求服务；当最大值不小于预设相关性阈值c时采用零成本预测方法从P^*中选出一个预测点向位置服务器请求服务。本发明的有益效果在于：1、有效降低连续查询的风险累积；而且确保用户的每个查询位置的累积分布相关性隐私累积存在上限；2、本发明不依赖于第三方服务器，仅有终端自行完成位置隐私保护处理。以上所述仅为本发明的较佳实施例，凡依本发明申请发明范围所做的均等变化与修饰，皆应属本发明的涵盖范围。

Claims (5)

1.一种抵抗分布相关性攻击的位置服务隐私保护方法，其特征在于：分为初始化阶段和在线查询阶段，具体包括以下步骤：

(1)初始化阶段：

步骤S0：初始化阶段,移动终端初始化两个隐私参数和两个历史位置集：设置隐私预算为ε、分布相关性阈值为c、历史发布位置集

历史真实位置集

(2)在线查询阶段：

步骤S1：根据真实位置p、ε和c，利用极坐标系下的拉普拉斯机制产生一个噪声位置p'；

步骤S2：令内点集合P_in ^*＝{q|q∈P^*,q∈circle(p,d₂(p,p'))}，其中，d₂(p,p')表示真实位置p到噪声位置p'的欧式距离；而circle(p,d₂(p,p'))表示以p为中心且d₂(p,p')为半径的圆；

当

时，则采用零成本预测方法从P_in ^*中选出一个预测点o'，即o'＝predict(P_in ^*)；

然后以o'为报告位置向LBS位置服务器请求服务，并且令P^*＝P^*∪{o'}，P＝P∪{p}；最后结束本次查询；否则，执行下一步；

步骤S3:计算P集合与p点的最大位置相关性，即c_m＝max_pj∈Pc(p,p_j)；P集合是所有的p点集合；

当c_m≤c，则p'为报告位置向位置服务器请求服务，并且令P^*＝P^*∪{o'}，P^＝P∪{p}；最后结束本次查询；否则执行下一步；

步骤S4：采用零成本预测方法从P^*中选出一个位置点o'，即o'＝predict(P^*)；然后以o'为报告位置向位置服务器请求服务，并且P^*＝P^*∪{o'}，P＝P∪{p}，结束本次查询。

2.根据权利要求1所述的一种抵抗分布相关性攻击的位置服务隐私保护方法，其特征在于：步骤S2的零成本预测方法的具体包括以下步骤：

步骤S21：以历史发布噪声位置点为基准点，将所有基准点连线的垂直平分线的交点连线则生成维诺图；

步骤S22：令p*＝min_xi∈Xdistance(x_i,p')，其中distance()函数表示两点的欧氏距离，计算获取隐私成本ε_c：

步骤23：判断隐私成本ε_c是否为零；当ε_c≠0时，则令X＝X-{p*}，X为输入的位置集，并返回步骤S21；否则，输出p*作为预测点o'。

3.根据权利要求2所述的一种抵抗分布相关性攻击的位置服务隐私保护方法，其特征在于：步骤21中以输入的位置集X为基准中心点生成维诺图，维诺图定义为：Z＝∪z_i,x_i∈z_i,x_i∈X,

其中Z为平面区域，z_i为维诺图中的子区域，X为输入的位置集，x_i为位置集内的位置点。

4.根据权利要求2所述的一种抵抗分布相关性攻击的位置服务隐私保护方法，其特征在于：维诺图将平面划分区域，使得以中心点生成的区域内任意一点到中心点的距离小于其到其他中心点的距离。

5.根据权利要求1所述的一种抵抗分布相关性攻击的位置服务隐私保护方法，其特征在于：位置相关性计算公式如下；

其中，G表示整个地理分布区域。

Images