周桃義

基于匿名軌跡和時(shí)間混淆技術(shù)的物聯(lián)網(wǎng)用戶位置隱私保護(hù)

周桃義

杭州萬向職業(yè)技術(shù)學(xué)院, 浙江 杭州 310023

隨著物聯(lián)網(wǎng)的快速發(fā)展，用戶位置隱私保護(hù)變得越來越重要。本文提出一種基于匿名軌跡和時(shí)間混淆技術(shù)的保護(hù)策略，旨在提高物聯(lián)網(wǎng)用戶位置隱私的保護(hù)級別。實(shí)驗(yàn)結(jié)果表明：采用匿名軌跡技術(shù)時(shí)，當(dāng)值越高，節(jié)點(diǎn)軌跡的隱藏程度就越深，可以長時(shí)間保護(hù)用戶位置隱私；采用時(shí)間混淆技術(shù)時(shí)，整個(gè)節(jié)點(diǎn)軌跡都是模糊的，增加了攻擊者的推測難度，用戶位置隱私得到更強(qiáng)的保護(hù)。但是考慮到服務(wù)器性能，還需要結(jié)合控制查詢方法，才能有效降低服務(wù)器的維護(hù)成本。

物聯(lián)網(wǎng); 匿名軌跡; 時(shí)間混淆; 隱私保護(hù)

物聯(lián)網(wǎng)應(yīng)用服務(wù)通常會收集用戶的位置隱私，但是物聯(lián)網(wǎng)的數(shù)據(jù)傳輸主要通過互聯(lián)網(wǎng)或電信網(wǎng)進(jìn)行的，網(wǎng)絡(luò)服務(wù)商的可信度直接影響到用戶位置隱私的安全，因此如何解決該問題成為物聯(lián)網(wǎng)技術(shù)發(fā)展的關(guān)鍵所在。當(dāng)前的物聯(lián)網(wǎng)架構(gòu)一般分為四層，包括最底部的應(yīng)用層，中間的傳輸層和處理層，最頂部的感知層[1]。為保障物聯(lián)網(wǎng)用戶的位置隱私安全，有學(xué)者提出了相關(guān)解決方案，探討了安全防御模型、交互認(rèn)證協(xié)議、數(shù)據(jù)加密協(xié)議、節(jié)點(diǎn)匿名算法等[2-5]。但是當(dāng)前的物聯(lián)網(wǎng)用戶位置隱私安全保護(hù)技術(shù)依然存在較多的問題，例如節(jié)點(diǎn)匿名算法在單個(gè)節(jié)點(diǎn)上形成隱匿區(qū)域，但有惡意程序按照時(shí)間序列追蹤全部區(qū)域，就能查詢到用戶在節(jié)點(diǎn)上的位置隱私[6]。本文提出了一種基于匿名軌跡和時(shí)間混淆技術(shù)的用戶位置隱私保護(hù)策略，在一定程度上能夠?qū)崿F(xiàn)全區(qū)域保護(hù)，防止攻擊者通過時(shí)間序列查找漏洞。

1 匿名軌跡和時(shí)間混淆技術(shù)分析

1.1 匿名軌跡技術(shù)

當(dāng)物聯(lián)網(wǎng)中的某個(gè)節(jié)點(diǎn)與匿名服務(wù)器聯(lián)系時(shí)，首先要保障該匿名服務(wù)器的可信度，然后在服務(wù)器中設(shè)定參數(shù)?？尚湃蔚哪涿?wù)器會自動(dòng)搜索相關(guān)的歷史軌跡，將不符合實(shí)際狀況的軌跡加以排除，例如過長或過短的軌跡。同時(shí)選擇－1條最為相似的軌跡放進(jìn)節(jié)點(diǎn)軌跡，構(gòu)成一條真實(shí)軌跡，并將真實(shí)軌跡模糊成條軌跡，這樣可以長時(shí)間持續(xù)降低攻擊者對節(jié)點(diǎn)軌跡的推測概率。最后對重疊的軌跡進(jìn)行檢查，使不符合長度的軌跡得到過濾。但是節(jié)點(diǎn)通常處于高密度區(qū)域，容易暴露實(shí)際位置，因此還需要結(jié)合時(shí)間混淆技術(shù)才能更好地保護(hù)物聯(lián)網(wǎng)用戶位置隱私。

1.2 時(shí)間混淆技術(shù)

在節(jié)點(diǎn)移動(dòng)的過程中，可信任的匿名服務(wù)器會隨機(jī)發(fā)送查詢，包括查詢的時(shí)間及時(shí)間序列，并通過隨機(jī)的機(jī)制確定查詢初始位置，提高匿名服務(wù)器的節(jié)點(diǎn)模糊化水平。在通常情況下，查詢初始位置是節(jié)點(diǎn)軌跡隨機(jī)選擇的。例如某節(jié)點(diǎn)即使未到達(dá)查詢的初始位置，匿名服務(wù)器依然可以提前發(fā)送查詢，直到節(jié)點(diǎn)與查詢初始位置重疊，進(jìn)而使節(jié)點(diǎn)模糊化，防止攻擊者探索到節(jié)點(diǎn)的當(dāng)前位置?？尚湃蔚哪涿?wù)器一般不會根據(jù)時(shí)間順序發(fā)出查詢，而是將每一個(gè)查詢時(shí)間進(jìn)行隨機(jī)化，這樣可以降低節(jié)點(diǎn)軌跡重構(gòu)的可能性。當(dāng)攻擊者獲取服務(wù)器查詢請求，但是難以分辨歸屬于哪一個(gè)節(jié)點(diǎn)，無法準(zhǔn)確獲知節(jié)點(diǎn)軌跡。而且可信任的匿名服務(wù)器對有效緩存結(jié)果進(jìn)行重復(fù)，減少用戶的查詢總數(shù)，在加強(qiáng)服務(wù)器查詢效率的同時(shí)，還間接提高了用戶位置隱私的級別。

1.3 控制查詢的方法

由于可信任匿名服務(wù)器的查詢結(jié)果存在超時(shí)可能性，因此要采用控制查詢的方法，對隨機(jī)生成的查詢位置與移動(dòng)節(jié)點(diǎn)當(dāng)前位置的距離進(jìn)行限制。第一步是計(jì)算節(jié)點(diǎn)當(dāng)前的移動(dòng)速度，按照節(jié)點(diǎn)速度與超時(shí)緩存量作為最大搜索距離；第二步是通過該距離對節(jié)點(diǎn)搜索圓周進(jìn)行定義，確定搜索半徑；第三步采用時(shí)間混淆技術(shù)測算出查詢邊界，由此限定查詢范圍。在這種情況下，可信任匿名服務(wù)器僅能獲取查詢邊界的單組位置，進(jìn)而減少查詢數(shù)量，降低緩存結(jié)果失效的可能性。

2 實(shí)驗(yàn)與分析

本實(shí)驗(yàn)的數(shù)據(jù)集采自上海交通網(wǎng)，搜集上海市區(qū)400輛出租車的全球定位坐標(biāo)，并以其中的200輛出租車坐標(biāo)構(gòu)建模擬數(shù)據(jù)。從百度地圖捕獲4780個(gè)道路段，正方形的網(wǎng)格單元邊長為100~500 m不等，100m2單元為9638個(gè)，200m2單元為2409個(gè)，300m2單元為1086個(gè)，400m2單元為620個(gè)，500m2單元為330個(gè)。鑒于節(jié)點(diǎn)隱私要求，將值設(shè)置成5~20。通過參數(shù)模擬，假設(shè)每一次查詢時(shí)間呈指數(shù)分布，從20~80 min不等，則每一個(gè)查詢結(jié)果的超時(shí)定時(shí)器可設(shè)置成1~4 min。

2.1 匿名軌跡技術(shù)在實(shí)驗(yàn)中的應(yīng)用結(jié)果

節(jié)點(diǎn)的值為5~20，采用匿名軌跡技術(shù)劃分網(wǎng)格，取5之前和之后的網(wǎng)格、20之前和之后的網(wǎng)格，結(jié)果如圖1所示。網(wǎng)格中間位置的箭頭代表節(jié)點(diǎn)移動(dòng)方向，分區(qū)大小選用200m2網(wǎng)格單元。

圖 1 匿名軌跡技術(shù)劃分網(wǎng)格圖

從圖1結(jié)果可以看出，當(dāng)值增加時(shí)，網(wǎng)格分布也會變大，節(jié)點(diǎn)的實(shí)際軌跡也更加容易隱藏。尤其當(dāng)值達(dá)到20之后，節(jié)點(diǎn)軌跡的隱藏程度更深，這使得軌跡暴露的可能性幾乎沒有。以上結(jié)果表明匿名軌跡技術(shù)可以長時(shí)間保護(hù)用戶位置隱私。

2.2 時(shí)間混淆技術(shù)在實(shí)驗(yàn)中的應(yīng)用結(jié)果

時(shí)間混淆技術(shù)是對匿名軌跡技術(shù)的一項(xiàng)有效補(bǔ)充。由于時(shí)間混淆技術(shù)可以提高節(jié)點(diǎn)模糊化水平，當(dāng)網(wǎng)格的模糊程度越高，說明用戶位置隱私保護(hù)的級別越高。本實(shí)驗(yàn)在測試時(shí)間混淆技術(shù)之外，還測試了傳統(tǒng)的歷史軌跡法和共享法，通過對比分析，突出時(shí)間混淆技術(shù)優(yōu)越性。實(shí)驗(yàn)結(jié)果如圖2所示。在時(shí)間混淆技術(shù)測試中，超時(shí)定時(shí)器設(shè)置成1 min，箭頭代表節(jié)點(diǎn)移動(dòng)方向，即出租車在道路上的行駛方向，網(wǎng)格的顏色標(biāo)識有多種，顏色越淺的網(wǎng)格單元，查詢時(shí)間越早。

（a）歷史軌跡法 Historical trajectory method （b）共享法 Shared method （c）時(shí)間混淆技術(shù) Time obfuscation technique

在圖2（a）中，雖然歷史軌跡中包含了條軌跡，但沒有考慮查詢時(shí)間，整個(gè)查詢序列與出租車行駛方向完全一致，網(wǎng)格清晰，攻擊者有很大可能性獲取節(jié)點(diǎn)軌跡。在圖2（b）中，同樣沒有考慮到查詢時(shí)間，攻擊者容易查到出租車的行駛方向，并且還可以分析出租車速度，進(jìn)一步剔除不合理節(jié)點(diǎn)，推斷出節(jié)點(diǎn)軌跡，網(wǎng)格顏色分布清晰。在圖2（c）中，采用時(shí)間混淆技術(shù)發(fā)出的查詢是隨機(jī)的，極大地提高了攻擊者的推測難度，整個(gè)節(jié)點(diǎn)軌跡包括出租車方向都是模糊的，網(wǎng)格顏色分布不存在層次性，深色和淺色混雜在一起。這種查詢比前兩種方法要混亂得多，用戶位置隱私得到更強(qiáng)的保護(hù)。

2.3 時(shí)間混淆技術(shù)對服務(wù)器的性能影響分析

時(shí)間混淆技術(shù)可能引發(fā)較多的查詢，需要服務(wù)器更多的處理時(shí)間。通過重復(fù)查詢測試和控制查詢方法，分析時(shí)間混淆技術(shù)對服務(wù)器性能的影響。第一步測試未進(jìn)行控制的重復(fù)查詢數(shù)量，結(jié)果發(fā)現(xiàn)查詢數(shù)量較多，對服務(wù)器性能造成很大的影響。第二步采用控制查詢方法，結(jié)果發(fā)現(xiàn)重復(fù)查詢的數(shù)量大幅降低，尤其是查詢超時(shí)的時(shí)間被延長，重復(fù)查詢的數(shù)量減少更明顯。并且單元格大小采用100m2和200m2時(shí)，通過控制查詢方法，只能發(fā)送一個(gè)查詢。這兩種單元格最為有效，能夠大幅降低服務(wù)器的維護(hù)成本。

3 討論

近幾年，物聯(lián)網(wǎng)用戶位置隱私保護(hù)引起了學(xué)界的廣泛討論。Weber等基于物聯(lián)網(wǎng)位置服務(wù)的定位技術(shù)原理，深入分析了用戶位置信息暴露的原因，制定綜合性的隱私保護(hù)方案，旨在為物聯(lián)網(wǎng)用戶位置隱私保護(hù)提供一定的探索方向[7]。Alaba等以節(jié)點(diǎn)隨機(jī)角度的轉(zhuǎn)化為基礎(chǔ)，通過均勻劃分法使物聯(lián)網(wǎng)節(jié)點(diǎn)能夠在不同角度下動(dòng)態(tài)產(chǎn)生，目的是延長節(jié)點(diǎn)移動(dòng)路徑，從而使源節(jié)點(diǎn)位置隱私得到更強(qiáng)的保護(hù)[8]。Tay等認(rèn)為物聯(lián)網(wǎng)路由協(xié)議需要提高源節(jié)點(diǎn)的安全時(shí)間，以最短距離路由為基礎(chǔ)的節(jié)點(diǎn)位置隱私保護(hù)，包含了源節(jié)點(diǎn)初始化與路徑改進(jìn)過程，結(jié)果發(fā)現(xiàn)能夠大幅提升源節(jié)點(diǎn)安全實(shí)際，進(jìn)而確保源節(jié)點(diǎn)位置隱私安全[9]。Shah等提出一種以位置語義為基礎(chǔ)的物聯(lián)網(wǎng)用戶位置隱私保護(hù)技術(shù)，該方法通過空間匿名的形式，對用戶位置隱私的個(gè)性化需求進(jìn)行了充分考慮，盡量隱藏位置語義的敏感數(shù)據(jù)，防止攻擊者獲取更多的關(guān)聯(lián)信息[10]。從總體情況看，物聯(lián)網(wǎng)用戶位置隱私保護(hù)的相關(guān)研究取得了一定進(jìn)展，但還需要進(jìn)一步創(chuàng)新研究方向，才能使物聯(lián)網(wǎng)用戶位置隱私得到更好的保護(hù)。

4 結(jié)論

在物聯(lián)網(wǎng)的快速發(fā)展下，用戶位置隱私問題也變得更加突出。本文提出一種基于匿名軌跡和時(shí)間混淆技術(shù)的保護(hù)策略，能夠有效提高用戶位置隱私的保護(hù)級別。實(shí)驗(yàn)結(jié)果表明：采用匿名軌跡技術(shù)時(shí)，當(dāng)值越高，節(jié)點(diǎn)軌跡的隱藏程度就越深，可以長時(shí)間保護(hù)用戶位置隱私；采用時(shí)間混淆技術(shù)時(shí)，整個(gè)節(jié)點(diǎn)軌跡都是模糊的，極大地提高了攻擊者的推測難度，用戶位置隱私得到更強(qiáng)的保護(hù)。但是考慮到服務(wù)器性能，還需要結(jié)合控制查詢方法，盡量采用100m2和200m2單元格，才能大幅降低服務(wù)器的維護(hù)成本。

[1] Porambage P, Ylianttila M, Schmitt C,. The Quest for Privacy in the Internet of Things[J].IEEE cloud computing,2016,3(2):36-45

[2] González-Manzano L, de Fuentes JM, Pastrana S,. PAgIoT - Privacy-preserving Aggregation protocol for Internet of Things[J]. Journal of network and computer applications, 2016,71(6):59-71

[3] Alrawais A, Alhothaily A, Hu CQ,. Fog Computing for the Internet of Things: Security and Privacy Issues[J]. IEEE internet computing, 2017,21(2):34-42

[4] Shafiq SI, Szczerbicki E, Sanin C. Manufacturing Data Analysis in Internet of Things/Internet of Data (IoT/IoD) Scenario[J]. Cybernetics and Systems, 2018,49(5-6):280-295

[5] Arias O, Jacob W, Hoang K,. Privacy and Security in Internet of Things and Wearable Devices[J]. IEEE transactions on multi-scale computing systems, 2015,1(2):99-109

[6] Perera C, Ranjan R, Wang LZ,. Big Data Privacy in the Internet of Things Era[J]. IT professional, 2014,17(3):32-39

[7] Weber RH. Internet of things: Privacy issues revisited[J]. Computer law & security report,2015,31(5):618-627

[8] Alaba FA, Othman M, Hashem I AT,. Internet of Things security: A survey[J]. Journal of network and computer applications, 2017,88(4):10-28

[9] Sun M, Tay WP, He X. Toward Information Privacy for the Internet of Things: A Nonparametric Learning Approach[J]. IEEE Transactions on Signal Processing, 2018,66(7):1734-1747

[10] Ullah I, Shah MA, Wahid A,. ESOT: a new privacy model for preserving location privacy in Internet of Things[J]. Telecommunication systems: Modeling, Analysis, Design and Management, 2018,67(4):553-575

Protection against Location Privacy of Users on Internet of Things Based on Anonymous Trajectory and Time Obfuscation Technology

ZHOU Tao-yi

310023,

With the rapid development of the Internet of Things, user location privacy protection becomes more and more important. This paper proposes a protection strategy based on anonymous trajectory and time obfuscation technology aiming at improving the protection level of location privacy of Internet of Things users. The experimental results show that when using anonymous trajectory technology, the higher the r value, the deeper the hidden degree of the trajectory of the node and the user's location privacy can be protected for a long time. When using time obfuscation technology, the whole trajectory of the node is blurred, which increases the difficulty of the attacker's speculation, and the user's location privacy can be better protected. However, considering the performance of the server, we need to combine the control query method to effectively reduce the maintenance cost of the server.

Internet of Things; anonymous trajectory; time confusion; privacy protection

TP309

A

1000-2324(2019)02-0270-04

10.3969/j.issn.1000-2324.2019.02.021

2018-06-02

2018-09-03

2015年度浙江省教育廳訪問工程師校企合作項(xiàng)目:基于地磁的室內(nèi)定位系統(tǒng)研究(訪工2015185)

周桃義(1978-),男,本科,講師,主要研究方向?yàn)榇髷?shù)據(jù)、物聯(lián)網(wǎng). E-mail:zhoutaoyi@163.com