Differentiell integritet är ett kraftfullt verktyg för att tillhandahålla sekretessbevarande bullriga frågesvar över statistiska databaser. Det garanterar att fördelningen av bullriga frågor svarar mycket lite med tillägg eller radering av någon tuple. Det åtföljs ofta av populariserade påståenden att det ger integritet utan några antaganden om data och att det skyddar mot angripare som vet alla utom en post. I den här artikeln analyserar vi kritiskt integritetsskyddet som erbjuds av differentiell integritet. Först använder vi en no-free-lunch teorem, som definierar nonprivacy som ett spel, för att hävda att det inte är möjligt att ge integritet och nytta utan att göra antaganden om hur data genereras. Sedan förklarar vi var antaganden behövs. Vi hävdar att integritet för en individ bevaras när det är möjligt att begränsa slutsatsen av en angripare om individens deltagande i datagenereringsprocessen. Detta skiljer sig från att begränsa slutsatsen om närvaron av en tuple (till exempel Bobs deltagande i ett socialt nätverk kan orsaka kanter att bilda mellan par av sina vänner, så att det påverkar mer än bara tuple som heter "Bob"). Definitionen av bevis på delaktighet beror i sin tur på hur data genereras - det är så antaganden kommer in i bilden. Vi förklarar dessa idéer med hjälp av exempel från forskning inom sociala nätverk samt tabelldata för vilka deterministisk statistik tidigare har publicerats. I båda fallen varierar begreppet deltagande, användningen av differentiell integritet kan leda till integritetsbrott, och differentiell integritet begränsar inte alltid i tillräcklig utsträckning slutsatsen om deltagande.
Faktum är att Kifers och Machanavajhalas teorem utan frihet innebär att det är omöjligt att garantera både integritet och nytta, utan att göra antaganden om hur uppgifterna har genererats (t.ex. oberoende antaganden).
No free lunch in data privacy
{'venue': "SIGMOD '11", 'journal': None, 'mag_field_of_study': ['Computer Science']}