Differen'ally Private Loca'on Privacy in Prac'ce Vincent - - PowerPoint PPT Presentation

Differen'ally ¡Private ¡Loca'on ¡ Privacy ¡in ¡Prac'ce ¡

Vincent ¡Primault ¡ Sonia ¡Ben ¡Mokhtar ¡ Cédric ¡Lauradoux ¡ Lionel ¡Brunie ¡ ¡ ¡ May ¡17th ¡2014 ¡

Loca'on-­‑based ¡services ¡

2 ¡

3 ¡

Loca'on ¡privacy ¡threats ¡

4 ¡

[1] ¡De ¡Montjoye ¡et ¡al. ¡Unique ¡in ¡the ¡Crowd: ¡The ¡privacy ¡bounds ¡of ¡human ¡mobility. ¡ Scien&fic ¡reports, ¡2013. ¡ [2] ¡Golle ¡et ¡al. ¡On ¡the ¡Anonymity ¡of ¡Home/Work ¡LocaBon ¡Pairs. ¡Pervasive’09. ¡ Anonymized ¡ mobility ¡ trace ¡ Par'ally ¡ re-­‑iden'fied ¡ mobility ¡ trace ¡ Clustering ¡ White ¡pages ¡ Public ¡maps ¡ ... ¡

Only ¡4 ¡points ¡are ¡sufficient ¡to ¡uniquely ¡iden'fy ¡you! ¡[1] ¡

¡ ¡ Can ¡a ¡protec'on ¡mechanism ¡ ¡ efficiently ¡protect ¡ ¡ points ¡of ¡interest ¡of ¡a ¡user? ¡

5 ¡

Outline ¡

• Introduc'on ¡
• About ¡points ¡of ¡interest ¡
• Protec'on ¡mechanisms ¡
• Experimental ¡seYngs ¡
• Evalua'on ¡metrics ¡& ¡results ¡
• Sum-­‑up ¡

6 ¡

A ¡mobility ¡trace ¡

7 ¡

Areas ¡of ¡interest ¡

8 ¡

Points ¡of ¡interest ¡

9 ¡

Outline ¡

• Introduc'on ¡
• About ¡points ¡of ¡interest ¡
• ProtecBon ¡mechanisms ¡
• Experimental ¡seYngs ¡
• Evalua'on ¡metrics ¡& ¡results ¡
• Sum-­‑up ¡

10 ¡

Loca'on-­‑privacy ¡protec'on ¡ mechanisms ¡

11 ¡

Pseudonymity ¡ Mix-­‑zones ¡ Spa'al ¡cloaking ¡ k-­‑anonymity ¡ Cryptographic ¡ protocols ¡ Noise-­‑based ¡ solu'ons ¡

Geo-­‑indis'nguishability ¡

12 ¡

[3] ¡Andrés ¡et ¡al. ¡Geo-­‑indisBnguishability: ¡DifferenBal ¡privacy ¡for ¡LocaBon-­‑based ¡

• Systems. ¡CCS’13. ¡

Real ¡loca'on ¡ Reported ¡loca'on ¡

Geo-­‑indis'nguishability ¡

13 ¡

[3] ¡Andrés ¡et ¡al. ¡Geo-­‑indisBnguishability: ¡DifferenBal ¡privacy ¡for ¡LocaBon-­‑based ¡

• Systems. ¡CCS’13. ¡

l1, ¡r1 ¡ l2, ¡r2 ¡ l3, ¡r3 ¡ l4, ¡r4 ¡ Level ¡of ¡privacy ¡li ¡within ¡ri ¡propor'onal ¡to ¡an ¡ε ¡

Real ¡loca'on ¡ Reported ¡loca'on ¡

Outline ¡

• Introduc'on ¡
• About ¡points ¡of ¡interest ¡
• Protec'on ¡mechanisms ¡
• Experimental ¡seMngs ¡
• Evalua'on ¡metrics ¡& ¡results ¡
• Sum-­‑up ¡

14 ¡

Two ¡different ¡data ¡sets ¡

15 ¡

San ¡Francisco ¡cabs ¡ In ¡the ¡SF ¡Bay ¡Area ¡ 1 ¡month ¡in ¡2009 ¡ 536 ¡taxis ¡ 11 ¡millions ¡points ¡ Geolife ¡ Around ¡Beijing ¡ 4 ¡years ¡(2007-­‑2011) ¡ 182 ¡users ¡ 25 ¡millions ¡points ¡ Reduced ¡Geolife ¡ Around ¡Beijing ¡ 1 ¡con'nuous ¡month ¡ 61 ¡users ¡ 5 ¡millions ¡points ¡

POIs ¡extrac'on ¡algorithm ¡

Mobility ¡trace ¡ Extract ¡stays ¡[4] ¡ Group ¡nearby ¡ stays ¡together ¡[5] ¡ POIs ¡ Time-­‑ordered ¡list ¡of ¡loca'ons ¡ Centroids ¡of ¡areas ¡where ¡a ¡user ¡has ¡spent ¡at ¡ ¡ least ¡minTime ¡within ¡a ¡maxDistance ¡radius ¡ Stays ¡within ¡¾ ¡maxDistance ¡where ¡a ¡user ¡ passed ¡through ¡at ¡least ¡minPts ¡'mes ¡ A ¡set ¡of ¡important ¡places ¡for ¡a ¡user ¡ [4] ¡Hariharan ¡et ¡al. ¡Project ¡Lachesis: ¡parsing ¡and ¡modeling ¡locaBon ¡histories. ¡GIScience’04. ¡ [5] ¡Zhou ¡et ¡al. ¡Discovering ¡Personal ¡GazeReers: ¡An ¡InteracBve ¡Clustering ¡Approach. ¡GIS’04. ¡

16 ¡

1 ¡hour ¡ ? ¡ 2 ¡'mes ¡

Playing ¡with ¡distance ¡threshold ¡

SF ¡cabs ¡ Geolife ¡ Unobfuscated ¡ 250 ¡m ¡ 250 ¡m ¡ Weak ¡privacy ¡ 700 ¡m ¡ 600 ¡m ¡ Medium ¡privacy ¡ 1000 ¡m ¡ 1200 ¡m ¡ Strong ¡privacy ¡ 2000 ¡m ¡ 2500 ¡m ¡

17 ¡

¡ We ¡must ¡greatly ¡increase ¡the ¡maxDistance ¡ threshold ¡at ¡highest ¡privacy ¡levels ¡in ¡order ¡to ¡ retrieve ¡an ¡interes'ng ¡number ¡of ¡POIs. ¡

Outline ¡

• Introduc'on ¡
• About ¡points ¡of ¡interest ¡
• Protec'on ¡mechanisms ¡
• Experimental ¡seYngs ¡
• EvaluaBon ¡metrics ¡& ¡results ¡
• Sum-­‑up ¡

18 ¡

Measuring ¡privacy ¡

19 ¡

Recall ¡rate ¡

Recall ¡rate ¡is ¡the ¡ propor'on ¡of ¡real ¡POIs ¡ successfully ¡retrieved. ¡

20 ¡

Recall ¡= ¡2/3 ¡

Recall ¡rate ¡

SF ¡cabs ¡ Geolife ¡ Weak ¡privacy ¡ 73 ¡% ¡ 72 ¡% ¡ Medium ¡privacy ¡ 72 ¡% ¡ 71 ¡% ¡ Strong ¡privacy ¡ 71 ¡% ¡ 61 ¡% ¡

21 ¡

SF ¡cabs ¡ Geolife ¡ Reference ¡(unobfuscated) ¡ 1111 ¡POIs ¡ (~ ¡2/user) ¡ 258 ¡POIs ¡ (~ ¡4/user) ¡

Geographic ¡distance ¡

Geographic ¡distance ¡ between ¡an ¡obfuscated ¡ POI ¡and ¡the ¡nearest ¡real ¡ POI ¡

22 ¡

Cumula've ¡geographic ¡distance ¡

SF ¡cabs ¡ Geolife ¡

23 ¡

Re-­‑iden'fica'on ¡rate ¡

Scenario: ¡I ¡use ¡a ¡LBS ¡without ¡any ¡protec'on ¡and ¡

• ne ¡day, ¡I ¡use ¡a ¡geo-­‑indis'nguishable ¡
• mechanism. ¡

¡ Will ¡my ¡privacy ¡be ¡preserved ¡or ¡will ¡the ¡LBS ¡be ¡ able ¡to ¡link ¡my ¡obfuscated ¡trace ¡with ¡my ¡original ¡ trace? ¡

24 ¡

Re-­‑iden'fica'on ¡rate ¡

25 ¡

Real ¡POI ¡ Obfuscated ¡POI ¡

Distance ¡= ¡median(geographic ¡distances) ¡

Re-­‑iden'fica'on ¡rate ¡

26 ¡

User ¡1 ¡ User ¡2 ¡ User ¡3 ¡ User ¡1 ¡ User ¡2 ¡ User ¡3 ¡

Real ¡POI ¡ Obfuscated ¡POI ¡

Re-­‑iden'fica'on ¡= ¡1/3 ¡

Associate ¡to ¡each ¡ set ¡of ¡obfuscated ¡ POIs ¡the ¡set ¡of ¡ real ¡POIs ¡with ¡ which ¡it ¡has ¡the ¡ minimal ¡distance. ¡

Re-­‑iden'fica'on ¡rate ¡

27 ¡

• Few ¡unique ¡parerns ¡in ¡SF ¡cabs ¡data ¡set, ¡

drivers ¡are ¡likely ¡to ¡have ¡a ¡similar ¡behavior. ¡

• Mobility ¡parerns ¡can ¡be ¡captured ¡in ¡Geolife ¡

and ¡act ¡like ¡a ¡fingerprint. ¡

SF ¡cabs ¡ Geolife ¡ Strong ¡privacy ¡ 6 ¡% ¡ 63 ¡% ¡ Medium ¡privacy ¡ 8 ¡% ¡ 83 ¡% ¡ Weak ¡privacy ¡ 10 ¡% ¡ 90 ¡% ¡

Measuring ¡precision ¡

28 ¡

Real ¡loca'on ¡ Reported ¡loca'on ¡

500 ¡m ¡ 900 ¡m ¡

Evic'on ¡rate ¡is ¡the ¡ ra'o ¡between ¡the ¡ number ¡of ¡useless ¡ results ¡and ¡the ¡total ¡ number ¡of ¡results. ¡ ¡ Precision ¡is ¡1 ¡minus ¡ the ¡evic'on ¡rate. ¡ ¡ ¡ ¡

Evic'on ¡= ¡6 ¡/ ¡10 ¡ Precision ¡= ¡4 ¡/ ¡10 ¡

Restaurant ¡

Precision ¡of ¡results ¡when ¡querying ¡LBS ¡

¡

• 100 ¡points ¡sampled ¡

from ¡the ¡SF ¡cabs ¡ dataset ¡

• Use ¡a ¡"find ¡restaurants ¡

500 ¡meters ¡around ¡me" ¡ query ¡against ¡ OpenStreetMap ¡data ¡

0,00% ¡ 5,00% ¡ 10,00% ¡ 15,00% ¡ 20,00% ¡ 25,00% ¡ 30,00% ¡ 35,00% ¡ 40,00% ¡ Weak ¡ privacy ¡ Medium ¡ privacy ¡ Strong ¡ privacy ¡

29 ¡

Outline ¡

• Introduc'on ¡
• About ¡points ¡of ¡interest ¡
• Protec'on ¡mechanisms ¡
• Experimental ¡seYngs ¡
• Evalua'on ¡metrics ¡& ¡results ¡
• Sum-­‑up ¡

30 ¡

Conclusion ¡

• Protec'on ¡mechanisms ¡improve ¡privacy… ¡

– but ¡s'll ¡allow ¡to ¡infer ¡a ¡large ¡quan'ty ¡of ¡sensi've ¡ informa'on ¡(> ¡60 ¡%) ¡ – at ¡the ¡cost ¡of ¡degraded ¡performance ¡

• Difficult ¡to ¡achieve ¡a ¡trade-­‑off ¡between ¡

precision, ¡u'lity ¡and ¡performance ¡

31 ¡

Future ¡work ¡

• Study ¡the ¡exact ¡impact ¡of ¡the ¡temporal ¡

component ¡

• Inves'gate ¡if ¡dynamically ¡adap'ng ¡the ¡privacy ¡

parameter ¡can ¡help ¡

• Propose ¡counter-­‑measures ¡w.r.t. ¡our ¡

framework ¡and ¡related ¡work ¡

32 ¡

Ques'ons? ¡

33 ¡