基于地理敏感度空间模糊方法.docVIP

基于地理敏感度空间模糊方法 　　【摘 要】随着基于位置的服务（location-based services，简称LBS）的广泛应用，个人位置信息的保护越来越受到人们关注。由于传统的位置隐私保护方法将用户真实位置用粗粒度位置来代替，并没有考虑用户所处的地理位置环境，所以很容易受到空间推理攻击，威胁用户位置隐私。本文通过考虑地理位置环境相关信息，提出一种基于地理敏感度的空间模糊方法，用以模糊用户位置，并做了相关实验来评估该方法的性能和精确性。 　　【关键词】位置隐私 粗粒度 空间推理 地理敏感度 　　1 引言 　　近年来，基于位置的服务（location-based services，简称LBS[1]）不断发展，用以实现物联网中的实时、快速、可扩展的物体位置搜索。但是，由于用户在使用LBS服务时，需要向LBS服务器提供自身的位置信息，而LBS服务器又不是绝对可靠的，所以基于位置的服务给用户的位置隐私带来了极大的威胁。为了确保位置隐私，研究者提出了很多不同的方法，大多数都是基于模糊技术，旨在隐匿用户真实位置，向LBS服务器提供非精确的位置信息，实现一定程度上的位置隐私保护。k-匿名[2]技术就是其中之一，它通过确保每个用户的位置与其他k-1个用户的位置难以区分，来达到模糊效果。 　　上述方法有一个共同缺点，那就是没有考虑用户所处的地理位置环境，攻击者可以根据已有的空间上下文环境，推理出用户真实位置的精确边界，进而进行位置推理，威胁位置隐私。上述方法的另一个大的缺点是，没有考虑用户对于不同位置的敏感度需求，也就是说，并不是所有位置对用户都具有相同的敏感程度，如图1所示地理环境。 　　图1 空间地理环境 　　在图1中，假设一个LBS用户位于医院之内，而医院对于这个用户是敏感的，考虑图1.a的地理环境：医院H靠近湖L和居住区R，H，L和R都是多边形区域。假设湖L是不可达的，并且攻击者知道这一地理信息，进一步假设用户真实位置被区域模糊了。如果位于图1.b的位置，攻击者可以很容易推理得知用户位于一个敏感区域H内；如果位于图1.c的位置，因为用户的位置不可能位于湖L之内，唯一的可能位置便会是医院H内，模糊位置仍就是敏感的，在此种情况下攻击者只需将用户模糊位置同湖L不可达这一公共信息相结合，便可推理出用户精确位置的相关信息，这就是空间位置推理。如果位于图1.d的位置，我们可以认为模糊位置在一定程度上是敏感的。 　　为了解决这一问题，本文首先对区域的敏感度进行量化处理，然后提出一种可靠的体系结构，最后提出一种基于地理敏感度的空间模糊方法，实现对敏感位置的空间模糊，从而达到更好的位置隐私保护效果。 　　2 敏感度数学模型 　　本文提出的数学模型主要包括四个方面：空间模型，敏感度度量，隐私属性和模糊位置。 　　2.1 空间模型 　　我们把LBS应用所涉及的区域称之为参考空间，由一个二维空间的有界区域组成，位于中的几何物体有一个包含地理空间标准[3]的空间类型。依据地理空间标准，我们用空间特征（Spatial Feature）来描述在位置隐私方面不同区域的差别，每个特征都有一个类型（Feature Type，简称ft），每个类型的特征在二维空间上都有一定大小的区域，本文假设不同类型特征所在的区域是不重合的。 　　定义函数表示所有特征类型所在区域的并集，FT表示特征类型集。特征类型可以分为敏感的和非敏感的，定义，其中表示敏感特征类型集，当区域r满足条件时，我们认定区域r是敏感的。 　　2.2 敏感度度量 　　定义函数表示实体空间位置的概率密度函数，表示用户处于区域r内的概率，对于参考空间来说，，。如果区域r不可达，那么，如果区域r可达，存在子区域，使得。 　　我们用上述概率模型来定义区域的敏感度，区域敏感度是一个[0，1]的值，用来描述一个区域到底有多敏感，对于特征类型，定义为区域r关于的敏感度，表述如下： 　　当区域r不可达时，敏感度为0；当区域r被完全覆盖时，敏感度为1。根据概率密度函数，可以将 表示如下： 　　在图2情况下计算。区域r与类型为Hospital的两个特征H1、H2有重叠的部分，而Hospital是敏感特征类型，H1与部分重合，H2与完全重合，并且区域包含湖。假设是不可达的，用户位置在空间上等可能分布，那么区域r关于Hospital的敏感度计算如下： 　　图2 敏感区域示例图 　　2.3 隐私属性 　　用户隐私属性主要指用户隐私需求，可以用序对表示，表示用户定义的敏感特征类型集，表示特征类型对应的阈值集，对于，定义阈值函数，，表示的敏感度阈值，表示特征类型根本不敏感，这种情况没有研究意义。表示特征类型绝对敏感，绝对敏感只有当没有实例的时候才存在，没有研究意义。本文中，区域r的敏感度需满足。