張 帥 趙 炎

（1. 湖北水利水電職業(yè)技術(shù)學(xué)院，湖北 武漢 430070;（2. 宿遷經(jīng)貿(mào)高等職業(yè)技術(shù)學(xué)校，江蘇 宿遷 223800）

面向移動終端情景隱私保護(hù)設(shè)計(jì)研究

張 帥1趙 炎2

（1. 湖北水利水電職業(yè)技術(shù)學(xué)院，湖北 武漢 430070;（2. 宿遷經(jīng)貿(mào)高等職業(yè)技術(shù)學(xué)校，江蘇 宿遷 223800）

基于情境的個(gè)性化服務(wù)已經(jīng)廣泛應(yīng)用在人們的日常生活中，并且在不斷擴(kuò)展服務(wù)的應(yīng)用范圍。然而，在這些個(gè)性化服務(wù)體驗(yàn)的背后，也隱藏著不容忽視的隱私問題。因此，研究情景隱私的保護(hù)有迫切的現(xiàn)實(shí)需要。本論文重新分析移動端重情境隱私保護(hù)的隱私模型，突破當(dāng)前情境隱私保護(hù)的狹隘概念，完善情境隱私保護(hù)的理論基礎(chǔ)，提出新的情境隱私的保護(hù)方法，擬將解決當(dāng)前情境隱私保護(hù)中理論基礎(chǔ)不完善的現(xiàn)狀，促進(jìn)密碼學(xué)、網(wǎng)絡(luò)安全與軟件安全技術(shù)的發(fā)展與情境隱私保護(hù)方法的實(shí)用化。

移動終端;情景隱私;隱私模型;情景數(shù);隱私保護(hù)

1 背景

移動智能設(shè)備和可穿戴設(shè)備等移動端的發(fā)展和普及為人們帶來了個(gè)性化的服務(wù)和體驗(yàn)，如基于位置服務(wù)、健康監(jiān)控服務(wù)等。這些服務(wù)通過收集并分析稱為情景的數(shù)據(jù)來為用戶提供個(gè)性化的服務(wù)。所謂情境，即任何一個(gè)能用于刻畫當(dāng)前實(shí)體狀況的信息。從數(shù)據(jù)來源上，情景可以分為兩類：第一類稱為基本情境，是指不需要使用已有的情景或?qū)鞲衅鲾?shù)據(jù)進(jìn)行計(jì)算得到的數(shù)據(jù)；第二類稱為輔助情境，是指能從任何的情況中計(jì)算得到的數(shù)據(jù)。從數(shù)據(jù)類型上，情境可以分為三類：第一類是身份，是指任何能夠?qū)?yīng)到現(xiàn)實(shí)世界實(shí)體的信息；第二類是位置，是指任何能夠刻畫實(shí)體空間狀態(tài)的信息；第三類是時(shí)間，是指任何能夠刻畫實(shí)體時(shí)間狀態(tài)的信息。個(gè)性化服務(wù)正是依賴于用戶提供各種情景的數(shù)據(jù)來作出合理的判斷，但提供的各種情境的數(shù)據(jù)也埋藏著不可忽視的隱私風(fēng)險(xiǎn)。

2 情境隱私保護(hù)存在的問題

2.1 隱私模型無法適應(yīng)情境隱私保護(hù)的需求

隱私模型是隱私保護(hù)的重要組成部分，它闡述了隱私的定義以及相應(yīng)的評估指標(biāo)。然而現(xiàn)用的隱私模型無法適應(yīng)情境隱私的保護(hù)的需求。這些模型的數(shù)據(jù)類型適應(yīng)性差，缺失對時(shí)空關(guān)聯(lián)信息的保護(hù)，缺乏個(gè)性化的隱私模型。以位置和時(shí)間的發(fā)布為例，一些研究人員認(rèn)為隱私模型即匿名模型，但GambsS等人對底特律市部分區(qū)域的GPS軌跡進(jìn)行數(shù)據(jù)分析，推斷出約85%的用戶的家庭住址，表明匿名同樣會泄漏大量的信息[1]。Andres等人將差分隱私模型引入到位置隱私保護(hù)中，但這一模型無法擴(kuò)展到情境隱私其他的數(shù)據(jù)類型[2]。這些研究表明 ，情景隱私保護(hù)需要更加合理的理論及模型的支撐。

2.2 缺乏對軟件泄漏情景數(shù)據(jù)的有效度量的方法

當(dāng)前大部分情境隱私保護(hù)的方法主要是惡意服務(wù)器，即服務(wù)器獲得用戶提交數(shù)據(jù)之后無法威脅用戶的隱私。然而，大部分用戶的情境數(shù)據(jù)都是通過移動端上市的軟件發(fā)布，而這些軟件則是由相應(yīng)的服務(wù)提供商開發(fā)，現(xiàn)有的情境隱私保護(hù)的方法并沒有考慮到這種由軟件泄漏情境數(shù)據(jù)的情況。在2014年的CCS 會議上 Fawaz和Shin提出了一種針對移動端環(huán)境位置隱私保護(hù)框架，填補(bǔ)了這方面的空白[3]。但是，提出的框架需要大量的用戶交換，并且缺乏對導(dǎo)航的報(bào)告關(guān)鍵軟件的支持。在情境隱私保護(hù)的方法上，如何針對用戶情境大部的移動端環(huán)境作出合理的判斷與優(yōu)化仍是一個(gè)亟待解決的課題。

2.3 缺乏對服務(wù)質(zhì)量和隱私性的動態(tài)平衡

雖然情境隱私保護(hù)至關(guān)重要，但是情境數(shù)據(jù)是實(shí)現(xiàn)個(gè)性化服務(wù)的必要數(shù)據(jù)，因此保護(hù)情境隱私的同時(shí)也要考慮情境質(zhì)量對服務(wù)質(zhì)量的影響。然而，大部分情境隱私保護(hù)方法都是針對固定的目標(biāo)，即無論不同用戶的個(gè)性化服務(wù)或同一用戶在不同場景下需要何種程度的隱私保護(hù)，都會輸出類似的結(jié)果。因此，這些隱私保護(hù)方法有時(shí)候會損害服務(wù)質(zhì)量，而有時(shí)候卻會發(fā)布不必要的情景數(shù)據(jù)。

2.4 缺乏高效的數(shù)據(jù)釋放決策機(jī)制

個(gè)性化服務(wù)中的情境數(shù)據(jù)通常需要實(shí)時(shí)發(fā)布并獲取，然而大部分現(xiàn)有的情境隱私保護(hù)是從離線數(shù)據(jù)發(fā)布方法借鑒而來，因此并不滿足這個(gè)需求。例如，基于k匿名的位置隱私保護(hù)方法需要等待出現(xiàn)K滿足條件的用戶時(shí)才能繼續(xù)發(fā)布信息，這導(dǎo)致在一些情況下，用戶的服務(wù)請求無法得到實(shí)時(shí)響應(yīng)。

3 情境隱私保護(hù)設(shè)計(jì)探討

3.1 面向情境感知應(yīng)用個(gè)性化隱私模型

雖然情景隱私保護(hù)屬于數(shù)據(jù)發(fā)布的范疇，但傳統(tǒng)的用于數(shù)據(jù)發(fā)布的隱私模型，例如k匿名為代表的隱私模型就無法判斷用戶的隱私是否真正得到了保護(hù)。差分隱私對敏感數(shù)據(jù)的計(jì)算處理結(jié)果對于具體某個(gè)用戶是不敏感的，單個(gè)用戶在數(shù)據(jù)集中或者不在數(shù)據(jù)集中，對處理結(jié)果的影響微乎其微，這些模型并不適用于情境隱私保護(hù)的場景。這主要是因?yàn)榍榫硵?shù)據(jù)具有獨(dú)立發(fā)布、連續(xù)發(fā)布、情境相關(guān)、用戶相關(guān)特征。獨(dú)立發(fā)布，是指情境數(shù)據(jù)的發(fā)布往往是由用戶服務(wù)器發(fā)布的，從而具有內(nèi)在的身份可鏈接性，而傳統(tǒng)的隱私模型只針對多用戶數(shù)據(jù)集合的發(fā)布，并直接去除了身份對隱私的影響。連續(xù)發(fā)布，是指情境數(shù)據(jù)的發(fā)布通常是持續(xù)的，且前后數(shù)據(jù)之間有一定的關(guān)聯(lián)性，而大部分傳統(tǒng)的隱私模型只針對數(shù)據(jù)的一次性發(fā)布，沒有考慮到單個(gè)數(shù)據(jù)持續(xù)變化對用戶隱私的影響。情境相關(guān)和用戶相關(guān)，是指情境隱私保護(hù)的程度需要根據(jù)當(dāng)前的環(huán)境和用戶的需求進(jìn)行調(diào)整，而傳統(tǒng)的隱私模型的保護(hù)內(nèi)容和保護(hù)程度都是固定的。因此，情境數(shù)據(jù)發(fā)布的隱私模型比傳統(tǒng)數(shù)據(jù)發(fā)布的隱私模型更為復(fù)雜?？梢圆捎靡择R爾可夫鏈為主，并結(jié)合概率論與統(tǒng)計(jì)學(xué)的方法來刻畫隱私模型，解決情境數(shù)據(jù)獨(dú)立發(fā)布與連續(xù)發(fā)布帶來的隱私泄露問題，還可以采用情境感知的方法來描述情境隱私模型，以實(shí)現(xiàn)隱私模型的情境相關(guān)與用戶相關(guān)。

3.2 軟件的情境隱私相關(guān)行為的度量方法

軟件隱私行為的度量是一個(gè)前沿的研究領(lǐng)域，目前已有的研究方法主要是根據(jù)軟件收集了什么隱私數(shù)據(jù)、收集了多少隱私數(shù)據(jù)或者收集隱私數(shù)據(jù)是否經(jīng)過了用戶的授權(quán)來判斷，并簡單地將軟件分為危害隱私和不危害隱私兩類。然而，這些方法都沒有考慮軟件自身的需求和當(dāng)前的情景，因此并不能正確判斷一個(gè)軟件是否正在危害隱私。例如一個(gè)導(dǎo)航軟件需要使用用戶的精確位置，但并不能一次判斷它是個(gè)危害隱私的軟件。簡單地分為有危害和無危害兩類，無法滿足軟件功能的多樣性和情境的復(fù)雜性，應(yīng)該根據(jù)實(shí)際情況將軟件從信賴程度和隱私程度兩個(gè)方面劃分為不同等級。信賴程度，是指軟件是否在用戶不知情的情況下傳輸隱私數(shù)據(jù)或進(jìn)行其他設(shè)計(jì)隱私的行為。隱私程度，是指軟件使用的隱私數(shù)據(jù)若被攻擊者掌握，則可能帶來的風(fēng)險(xiǎn)的程度。

因此，軟件的情境隱私相關(guān)行為的度量應(yīng)該考慮軟件本身的安全性、用戶使用的情境和情境數(shù)據(jù)帶來的風(fēng)險(xiǎn)三個(gè)方面?？紤]采用軟件逆向工程等方法來分析軟件本身的安全性，并采用機(jī)器學(xué)習(xí)等方法實(shí)現(xiàn)對軟件使用情境的分析和對情境數(shù)據(jù)帶來的風(fēng)險(xiǎn)評估，實(shí)現(xiàn)自適應(yīng)、細(xì)粒度的軟件行為度量。

3.3 情境感知應(yīng)用的服務(wù)質(zhì)量與隱私保護(hù)的動態(tài)平衡

現(xiàn)有的情境隱私保護(hù)方法通常以犧牲數(shù)據(jù)質(zhì)量為代價(jià)，通過降低情境數(shù)據(jù)的質(zhì)量，例如準(zhǔn)確度、精度、可信度等，來實(shí)現(xiàn)隱私的保護(hù)。例如，以實(shí)現(xiàn)K匿名為目標(biāo)的位置信息保護(hù)方法，或用可信第三方的位置代替用戶的位置，從而降低了用戶位置的準(zhǔn)確度，或用一片區(qū)域代替用戶的位置，從而降低了用戶位置的精度。在一些情況下，這種情境質(zhì)量的降低不會影響用戶獲得的服務(wù)質(zhì)量，但在更多情況下，可能會導(dǎo)致用戶的服務(wù)質(zhì)量下降，甚至功能失效。然而，目前大部分情境隱私保護(hù)方法缺乏對服務(wù)質(zhì)量需求的考慮，簡單地根據(jù)預(yù)設(shè)的隱私保護(hù)需求（例如K匿名中的K）來處理情境數(shù)據(jù)，這無疑會犧牲用戶的體驗(yàn)。雖然已有一些研究考慮了服務(wù)質(zhì)量與情境隱私的平衡，但這些研究只針對單個(gè)的情境質(zhì)量目標(biāo)（如位置、時(shí)間等），尚缺乏對服務(wù)質(zhì)量的完善評估。

因此，在保護(hù)情境隱私保護(hù)同時(shí)，也應(yīng)該將服務(wù)質(zhì)量的需求納入考慮。通過完善情境感知服務(wù)的度量，并采用博弈論和動態(tài)規(guī)劃的方法對情境感知服務(wù)中的隱私保護(hù)與服務(wù)質(zhì)量進(jìn)行動態(tài)平衡與優(yōu)化。

3.4 情境數(shù)據(jù)的在線釋放決策方法

情境數(shù)據(jù)的釋放與傳統(tǒng)的數(shù)據(jù)發(fā)布以及被廣泛研究的位置信息發(fā)布的最大區(qū)別在于情境數(shù)據(jù)的實(shí)時(shí)性、多樣性和差異性。傳統(tǒng)的數(shù)據(jù)發(fā)布多是離線進(jìn)行的，既然數(shù)據(jù)的發(fā)布者有足夠的時(shí)間對數(shù)據(jù)進(jìn)行分析、處理并發(fā)布，而情境數(shù)據(jù)的釋放需要在線進(jìn)行，這使得傳統(tǒng)數(shù)據(jù)發(fā)布中的隱私保護(hù)方法大都無法在情景隱私保護(hù)中使用。目前有部分工作針對位置信息的發(fā)布提出了實(shí)時(shí)決策的方法，但是位置信息只是情境數(shù)據(jù)的一部分，情境數(shù)據(jù)還包含范圍更廣的各種類型的隱私數(shù)據(jù)，如狀態(tài)、活動等、數(shù)據(jù)類型的多樣性使得大部分位置信息發(fā)布的隱私保護(hù)方法不能全面地保護(hù)情境隱私。此外，情境數(shù)據(jù)釋放決策往往具有時(shí)空依賴性，即情境數(shù)據(jù)的釋放沒有通用準(zhǔn)則，釋放數(shù)據(jù)的規(guī)則需要根據(jù)當(dāng)前的情景決定，而大部分已有的數(shù)據(jù)發(fā)布算法并不考慮每一次數(shù)據(jù)發(fā)布時(shí)的情境差異。

因此，情境數(shù)據(jù)的釋放決策方法是一種在線的決策過程，并需要綜合考慮數(shù)據(jù)發(fā)布的情境、情境數(shù)據(jù)的質(zhì)量以及用戶的隱私需求?？梢圆捎靡噪[馬爾可夫模型和條件隨機(jī)場等理論，設(shè)計(jì)滿足情境數(shù)據(jù)在線釋放需求的決策方法。

4 結(jié)語

本研究將繼續(xù)提出較為完善的情境隱私保護(hù)理論模型，為研究并設(shè)計(jì)情境隱私保護(hù)方法，成為充分保護(hù)用戶的個(gè)人隱私堅(jiān)實(shí)的理論基礎(chǔ)；本研究將繼續(xù)針對情境隱私數(shù)據(jù)發(fā)布的特征，設(shè)計(jì)高效的面向移動終端的情境隱私保護(hù)方法，在充分保護(hù)用戶的個(gè)人隱私的同時(shí)，盡可能保障情景數(shù)據(jù)質(zhì)量；擬設(shè)計(jì)實(shí)現(xiàn)面向終端的情境隱私保護(hù)原型系統(tǒng)，提出情境隱私保護(hù)方法。

[1]G a m b s S，K i l l i i j i a nM O ，C o r t e z M NdP ． Sh o wm e h o wy o um o v e a n dIw i l l t e l l y o uw h oy o ua r e． T r a n s． o nD a t a Pr i v a c y，2011，2(4)：103-126．

[2]A ND R éS ME，B O R D ENA B E N E，C H A T Z IK O K O LA K IS K ，PA LA M ID ESSI C ． G e o-i n d i s t i n g u i s h a b i l i t y：d i f f e r e n t i a l p r i v a c yf o r l o c at i o n-b a s e ds y s t e m s[C]//Pr o c e e d i n g s o f t h e 2013A C MSIG SA C c o n f e r e n c e o nC o m p u t e r a n dc o m m u n i c a t i o n s s e c u r i t y，Ne wY o r k，NY ，U SA ，2013：901-914．

[3]FA W A Z K ，SH IN KG ． Lo c a t i o nPr i v a c yPr o t e c t i o nf o r Sm a r tp h o n eU s e r s[C]//Pr o c e e d i n g s o f t h e2014A C MSIG SA C C o n f e r e n c eo n C o m p u t e r a n d C o m m u n i c a t i o n s Se c u r i t y，2014：239-250．

Research on Scenario Privacy Protection Design for Mobile Terminal

Zhang Shuai1Zhao Yan2
(1.HuBei Water Resources Technical College,Hubei 430070,Wuhan) (2Suqian Economic and Trade Occupation School,Suqian 223800,Jiangsu)

Context-based personalized service has been widely used in people's daily life,and in the continuous expansion of the scope of service applications.However,behind these personalized service experiences,there are hidden privacy issues that cannot be ignored.Therefore,the study of the protection of situational privacy is an urgent need to achieve.This paper analyzes the privacy model of privacy protection in mobile context,breaks through the narrow concept of current situation privacy protection,improves the theoretical basis of situational privacy protection,puts forward the new protection method of situational privacy,and tries to solve the theoretical basis of current situation privacy protection imperfect status quo,to promote the development of cryptography, network security and software security technology and the practical application of situational privacy protection methods.

mobile terminal;scenario privacy;privacy model;number of scenes;privacy protection

TP309

A

1008-6609(2017)05-0038-03

張帥（1983－），女，安徽宿州人，碩士研究生，講師，研究方向?yàn)橛?jì)算機(jī)多媒體與網(wǎng)絡(luò)。

湖北水利水電職業(yè)技術(shù)學(xué)院院級課題，項(xiàng)目編號：h b s y 2014j s j 03。