读数据安全架构设计与实践24隐私保护增强技术

1. 隐私保护增强技术

1.1. Privacy Enhancing Technologies，隐私增强技术

• 1.1.1. PET

1.2. 默认不展示并且在具体查询时记录了日志，一方面提高了批量查询的难度，另一方面会让查询者产生敬畏心理，知道自己的查询会被记录，因此停止批量查询行为

1.3. 插入正常业务访问不到但可定位到数据流转接收方的伪数据记录（行数据）​、插入特征跟踪字段（列数据）​、数字水印等DLP技术，可用于数据泄露定位

1.4. 典型场景

• 1.4.1. 数据集提供给研究机构，数据经过清洗（匿名化等）措施后再提供

• 1.4.2. 数据集不直接提供给研究机构，只提供一个接口，研究机构可以跟这个接口交互，根据查询条件，由接口返回统计结果

• 1.4.3. 互联网用户的浏览记录，可用于分析需求量比较大的商品、商品广告推荐、社会关注热点等，但这些记录本身涉及用户隐私，一般是不能直接提供给其他组织的，甚至连企业内部的不同业务团队，也不能直接提供

• 1.4.4. 输入法的文字输入、表情的使用记录等，用于候选文字推荐、候选表情推荐等

• 1.4.4.1. 当输入专业词汇，或新的流行语出现时，它就能很快出现在候选词列表，以提高用户输入效率及体验；但用户的输入却是个人隐私

1.5. 数据集对外发布的隐私保护技术

• 1.5.1. 主要包括匿名化（含K -匿名）​、假名化（使用假名替换真名）等去标识化手段

• 1.5.2. 将数据集清洗后提供给第三方，目的是让第三方无法从发布的数据集定位到真实的自然人，保护自然人的隐私

1.6. 针对统计聚合数据添加噪声的差分隐私技术，主要用于对外开放的交互式统计查询接口、用户侧数据统计等场景

2. 去标识化

2.1. 去标识化就是通过使用匿名、假名等方法，让攻击者无法从处理后的数据记录定位到自然人的过程

2.2. 匿名化

• 2.2.1. 就是通过一定的算法，不可逆地去除数据集中的身份标识信息，使得无法从中定位到任何自然人

• 2.2.2. 匿名化是一个目标，匿名化之后，无法定位到任何自然人，也就不会泄露个人数据了，可以不再看成是个人数据

• 2.2.3. 匿名化是一个非常难以达成的目标

• 2.2.4. 简单地删除敏感字段或假名化（姓名替换为假名）​，并不足以保护个人隐私

2.3. 假名化

• 2.3.1. 就是对可标识的用户身份信息用假名替换

• 2.3.2. 假名化的数据，仍是有很大概率找出对应的自然人，难以达到去标识化的目的

• 2.3.3. 假名化的数据仍将被视为个人数据，需要跟明文数据一样加以保护

• 2.3.4. Pseudonymisation

• 2.3.5. Pseudonymization

• 2.3.6. 源于pseudonym，笔名或假名

2.4. K -匿名

• 2.4.1. k-anonymity

• 2.4.2. 由Pierangela Samarati和Latanya Sweeney提出的隐私保护模型，它通过引入等价类的概念，保障每条隐私数据都能找到相似的数据，从而降低了单条数据的识别度

• 2.4.3. 使用场景主要是数据集发布或数据集提供给第三方研究机构

• 2.4.4. 要求发布的数据中k条记录为一组，其中的每一条记录都要与其他至少k-1条记录不可区分

• 2.4.5. k值越大，隐私保护的强度越强

• 2.4.6. k值越大，丢失的信息更多，数据的可用性就越低

• 2.4.7. 任何一条记录，都可以再找到k-1条相似的记录

• 2.4.8. 一致性攻击

• 2.4.9. L-Diversity（L -多样性）隐私保护模型在K -匿名的基础上，要求保证任意一个等价类中的敏感属性都至少有L个不同的值

• 2.4.9.1. 就算满足L-Diversity，仍有可能导致隐私泄露

• 2.4.10. 为解决L-Diversity模型的缺陷，引入T-Closeness模型，保证在一个等价类中，敏感信息的分布情况与整个数据集的敏感信息分布情况接近（close）​，不超过阈值t

• 2.4.11. K -匿名在实践中，总是不断地被发现存在缺陷以及不断地改进

• 2.4.12. 基于当前知识判断不会造成隐私泄露，也不能排除将来有攻击者从中找出真实的自然人的隐私，因此直接提供数据集的方式所面临的风险还是非常高的

3. 差分隐私

3.1. Differential privacy, DP

3.2. 在差分隐私出现后，我们可以不必再直接提供经过K -匿名处理的数据集，而是提供经差分隐私保护的统计查询接口（查询的数值结果上添加噪声）​，可以更好地保护个人隐私

3.3. 是为了解决差分攻击而引入的解决方案，是微软研究院的Dwork在2006年提出的一种隐私保护模型，可以有效防止研究人员从查询接口中找出自然人的个人隐私数据

3.4. 其原理是在原始的查询结果（数值或离散型数值）中添加干扰数据（即噪声）后，再返回给第三方研究机构

• 3.4.1. 加入干扰后，可以在不影响统计分析的前提下，无法定位到自然人，从而防止个人隐私数据泄露

3.5. 主要适用于统计聚合数据（连续的数值，或离散的数值）​，如交互式统计查询接口、API接口、用户侧数据统计等

3.6. 原理

• 3.6.1. 在一次统计查询的数据集中增加或减少一条记录，可获得几乎相同的输出

• 3.6.2. 任何一条记录，它在不在数据集中，对结果的影响可忽略不计，从而无法从结果中还原出任何一条原始的记录

• 3.6.3. 用于对两个临近数据集进行运算时，该差分隐私运算称为ε-差分隐私运算。在所有的临近数据集上获得基本相同的输出的概率基本相等，这样的算法才满足ε-差分隐私（或写作ε-DP）的保护要求

• 3.6.4. ε被称为隐私保护预算，用于控制隐私保护算法A()在邻近数据集上获得相同输出的概率比值

• 3.6.5. ε越小，隐私泄露的风险就越小，但是引入的噪声就越大，输出的数据集的研究价值也越小

• 3.6.6. 如果ε= 0，则表示该差分隐私算法在所有邻近数据集上获得了完全相同的输出，即不可能泄露任何用户的隐私，但这样对研究机构来说就没有研究价值了

• 3.6.7. 差分隐私从数学上证明了，即使攻击者已掌握除某一条指定记录之外的所有记录信息（即最大背景知识假设）​，它也无法确定这条记录所包含的隐私数据

• 3.6.8. 差分隐私同时也对隐私保护水平给出了严谨的定义和量化评估方法

3.7. 噪声添加机制

• 3.7.1. 拉普拉斯（Laplace）机制，在查询结果里加入符合拉普拉斯分布的噪声（也可以在输入或中间值加噪声）​，用于保护数值型敏感结果

• 3.7.2. 指数（Exponential）机制，用于保护离散型敏感结果

3.8. 数值型差分隐私

• 3.8.1. 曼哈顿距离，就是所有维度上的距离之和，而不是直线距离

• 3.8.2. 局限性

• 3.8.2.1. 差分隐私的全局敏感度对于单个返回值的场景表现较好，但不太适合复杂的具有多个返回值的复杂查询场景，特别是多个返回值不在同一量级时

• 3.8.2.2. 如果使用局部敏感度，可能会造成隐私泄露

3.8.2.2.1. 需要引入新的敏感度或算法

3.9. 离散型差分隐私

3.10. 案例

• 3.10.1. 本地化差分隐私

• 3.10.1.1. 当隐私数据从用户侧采集时（比如手机APP）​，如用户的浏览记录，按就近处理的原则，使用本地差分隐私，将本地的抽样统计数据加入噪声后再上传

• 3.10.2. 中心化差分隐私

• 3.10.2.1. 当隐私数据存在于服务器侧交互式查询接口时，如医疗数据，按就近处理的原则，使用中心化差分隐私，查询结果添加噪声后再提供