优秀硕士论文基于匿名机制的数据发布中隐私泄露控制技术.doc

第一章 引言 1.1研究背景 数据发布环境中存在的隐私泄露问题使得邮编邮编邮编1 41 女 734562 失眠 t2 40 女 734552 心脏病 t3 41 男 734532 失眠 t4 44 男 734555 心脏病 t5 44 男 734555 失眠 t6 45 男 734532 心脏病 t7 41 男 734561 禽流感 t8 42 男 734533 禽流感 t9 43 女 734553 禽流感 表1-2选民登记表 姓名 年龄 性别 邮编k-匿名模型(k-anonymity) 定义1.1[1] k-匿名 假设T{A1,A2,…,An}为一个数据集，QIT为与之相关的准标识符。当且仅当数据集T中每个记录的准标识符属性值在数据集中至少出现k次，则该数据集满足k-匿名。 定义1.2[1] 等价类 一个等价类即数据集T{A1,A2,…,An}中一组具有相同准标识符属性值的记录。 针对数据发布中的链接攻击，文献[1,2]提出了k-匿名技术。文献[3]提出实现k-匿名的泛化和隐匿方法，泛化是指在数据集中用抽象的属性值来代替原来具体的属性值，隐匿是指隐匿是指直接删除数据集中某些属性值或记录。k-匿名通过泛化和隐匿使得等价类中每个记录具有相同的准标识符属性值，攻击者无法将个体与某个记录对应起来，从而保护个体身份的泄露。 例如，表1-3是表1-1的一个满足3-匿名模型的匿名化表，其中，匿名参数Ｋ=３，准标识符为属性组(年龄，性别，邮编邮编1 [40-41] * 7345** 失眠 t2 [40-41] * 7345** 心脏病 t7 [40-41] * 7345** 禽流感 t4 [44-45] 男 7345** 心脏病 t5 [44-45] 男 7345** 失眠 t6 [44-45] 男 7345** 心脏病 t3 [41-43] * 7345** 失眠 t8 [41-43] * 7345** 禽流感 t9 [41-43] * 7345** 禽流感 但是， k-匿名模型存在同质性攻击和背景知识攻击的问题[4]。k -匿名模型由于忽略了敏感属性值的多样性，可能造成个体敏感属性的隐私泄露，即同质性攻击。例如，假设表1-4是表1-1的另一个满足3-匿名模型的匿名化表，表1-4中生成了3个等价类{t1，t2，t3}，{t4，t5，t6}，{t7，t8，t9}。如果攻击者从1-2选民登记表中获知杰克的信息，与表1-4链接起来时，虽然无法确定杰克与表1-4中具体的某个记录相对应，但通过准标识符属性值可以知道杰克在表1-4的{t7，t8，t9}等价类中，由于该等价类的敏感属性值均为禽流感，攻击者容易知道杰克患有禽流感，杰克的隐私被泄露。同时，k -匿名还可能遭遇攻击者利用预先知道的背景知识来进行攻击。此外，k -匿名模型由于通过泛化准标识符属性达到匿名的目的也导致大量原始信息的损失，降低了匿名数据的可用性。 表1-4 ３-匿名化表2 年龄 性别 邮编1 [40-41] * 7345** 失眠 t2 [40-41] * 7345** 心脏病 t3 [40-41] * 7345** 失眠 t4 [44-45] 男 7345** 心脏病 t5 [44-45] 男 7345** 失眠 t6 [44-45] 男 7345** 心脏病 t7 [41-43] * 7345** 禽流感 t8 [41-43] * 7345** 禽流感 t9 [41-43] * 7345** 禽流感 1.2.1.2 l-多样性模型(l-diversity) 文献[4]提出了l-多样性模型(l-diversity)以弥补k-匿名模型的不足。 定义1.3[4] l-多样性原则　一个等价类如果对于敏感属性S至少包含l个不同的敏感属性值，那么该等价类是l-多样性的。如果数据集T中的每个等价类是l-多样性的，则称该数据集满足l-多样性。 该模型除了要求满足k-匿名之外，还要求每个等价类的敏感属性值具有多样性以防止敏感属性的隐私泄露。例如，表1-5是表1-1的一个满足3-多样性模型的匿名化表，其中，l＝３，QＩ＝(年龄，性别，邮编邮编邮编1 [40-41] * 7345** 失眠 t2 [40-41] * 7345** 心脏病 t7 [40-41] * 7345* 禽流感 t4 [43-44] * 73455* 心脏病 t5 [43-44] * 73455* 失眠 t9 [43-44] * 73455* 禽流感 t3 [41-45] 男 73453* 失眠 t6 [41-45] 男 73453* 心脏病 t8 [41-45] 男 73453* 禽流感 1.2.1.3 Anatomy匿名模型 文