Lokala tjänster (LBS) ger värdefulla tjänster, med bekväma funktioner för mobila användare. Placeringen och annan information som sprids genom varje förfrågan till LBS undergräver dock användarnas integritet. Detta är en oro särskilt eftersom LBS leverantörer kan vara ärlig-men-nyfiken, samla in frågor och spåra användares var och sluta känsliga användardata. Detta motiverade både centraliserad och decentraliserad plats sekretesssystem för LBS: anonymisera och fördunkla LBS-frågor för att inte avslöja exakt information, medan fortfarande få användbara svar. Decentraliserade system övervinner nackdelar med centraliserade system, eliminera anonymiserare, och förbättra användarnas kontroll över känslig information. Ett osäkert decentraliserat system skulle dock kunna skapa allvarliga risker utöver det privata informationsläckaget. Att angripa ett felaktigt utformat decentraliserat system för skydd av personuppgifter i LBS kan dessutom vara ett effektivt och billigt steg för att bryta mot användarnas integritet. Vi tar itu med just detta problem genom att föreslå säkerhetsförbättringar för mobila datadelningssystem. Vi skyddar användarnas integritet samtidigt som vi bevarar ansvarsskyldigheten för användaraktiviteter, utnyttjar pseudonym autentisering med mainstream kryptography. Vi visar vår plan kan användas med off-the-shälf enheter baserat på en experimentell utvärdering av en implementering i en statisk bil testbädd. Ytterligare nyckelord och fraser: Platsintegritet, ärlig-men-nyfiken, pseudonym autentisering En plats-baserad tjänst (LBS) frågemål en plats/region och uttrycker en eller flera specifika användarintressen; LBS-servern svarar med den mest aktuella relevanta informationen, t.ex. den senaste menyn för en restaurang, filmer på en biograf, återstående parkeringsplatser på ett köpcentrum, eller trafikförhållanden i området. Under denna process, användarens nuvarande eller framtida var och intressen avslöjas till LBS-servern genom deras frågor. All inlämnad information anses vara nödvändig för att bäst betjäna användare, och LBS-servern anförtros rika data. Många studier [5, 15, 62] visar dock att tjänsteleverantörer kan vara ärliga men nyfikna, aggressivt samla in information till profilanvändare, t.ex. identifiera hem eller arbetsplatser eller dra slutsatser om intressen för kommersiella ändamål. Sekretessen för LBS studeras ingående. Plats k-anonymity [16] säkerställer att minst k − 1 andra användare är involverade i en obfuscated region, R, som används som querier plats. Därför, även i närvaro av en lokal observatör i R, kan inte frågan kopplas till en viss användare; LBS-servern lär sig bara querier är en bland k-användare i R. Skydd kan uppnås genom centraliserade system [16, 45, 46] som introducerar en anonymizer, en proxy mellan användare och LBS-servern, som anonymiserar användarfrågor innan du skickar dem till LBS-servern. Men den förmodade anonymiseraren pålitlighet bara "förskjuter" tilliten från LBS-servern till anonymizern, håller rik information på samma sätt som LBS-servern skulle. Enkelt uttryckt, en anonymisering kan vara i sig själv ärlig-men-nyfiken. Decentraliserade tillvägagångssätt [19, 53] kan eliminera behovet av en anonymiserare och skydda användarnas integritet på ett samarbete sätt: till exempel bilda ett obfuscerat område med k-användare inom varandras kommunikationsområde [19]. Men om sådana k-användare är för nära, t.ex. i en kyrka, ett köpcentrum eller en biograf, kan sådana symboliska "adresser" fortfarande avslöjas. Det är därför svårt att definiera hur stor k ska vara för att säkerställa en lämplig skyddsnivå. En alternativ samarbetsstrategi för integritetsskydd är att skicka/dela LBS-baserad information bland användare, för att minska exponeringen för LBS-servern [31, 55]. Delningsmetoden kräver 1 arXiv:2001.07583v2 [cs.CR] 22 Jan 2020 noder för att cache information som mottagits från LBS och skicka den till grannar på begäran. Dessutom är delning (och därmed minskad exponering för LBS-servern) ortogonal till platsen obfuscation; de två skulle kunna komplettera varandra. Att öppna upp systemets funktionalitet är dock ett tveeggat svärd: delning minskar användarens exponering för den nyfikna leverantören (LBS eller anonymizer) men det exponerar henne också för eventuellt felaktiga, dåligt uppförande eller nyfikna kamrater. I själva verket visar studier om peer-to-peer (P2P) system [32, 40, 63] att osäkra decentraliserade system står inför allvarliga problem: känslig information kan utsättas för peers och skadliga noder kan överföra falska data. Undertecknade LBS-serversvar kan vara självverifierbara när de skickas till kamrater [55] och delvis ta itu med den andra ovan nämnda oron för skadliga noder. Men, frågor och cachad information från olika användare kan vara olika, vilket gör det nödvändigt att dela en eller flera kompletta LBS-inhämtade svar (var och en med en signatur bifogad), även om endast en delmängd av varje LBS-inhämtade svar kan behövas av den frågande kamraten. Till exempel kan frågan vara Vad är menyn på restaurang A? och hur många parkeringsplatser finns tillgängliga på B? medan en annan nod kan fråga Vad är öppettiderna för restaurang A? och Vilka butiker finns i köpcentrum B? Det är inte enkelt att avgöra om de inbördes svaren omfattar information som om svaret erhölls direkt från LBS-servern, vilket garanterar tjänsternas kvalitet. Även om noder kan bedöma fullständigheten hos samlade peer-svar [44] och vänta tills den erforderliga fullständigheten uppnås, kan peer-svar som motsvarar ett LBS-svar vara svåra att uppnå; och i vilket fall som helst drabbas betydande förseningar och overhead, dvs. överflödiga kryptografiska fält och information. Sist men inte minst, peer frågor, öppet underkastad noder "grannskap, kunde utsätta användare för andra noder och passiva tjuvlyssnare. Dessa utmaningar hanteras här genom vår säkerhetsarkitektur för säkert och motståndskraftigt decentraliserat/kollektivt integritetsskydd för LBS. Vi föreslår nya komponenter ortogonal till LBS funktionalitet. Vi utnyttjar pseudonym autentisering för att tillhandahålla integritetsfrämjande meddelandeautentisering och integritet för kommunikation med andra användare/användare och med infrastrukturenheter. Vi utnyttjar också proaktiv caching av Point of Interest (POI) data (t.ex., för en region) av en liten del av användare (bestående servering noder) som tjänar andra, dela cachad POI data. Detta säkerställer att peer-svar kan ge samma kvalitet som direkta LBS-svar utan att extra kommunikation uppstår genom att använda ett obfuscerat område. Detta gör det också möjligt att dubbelkolla flera kamratsvar på samma fråga, för att upptäcka falska svar från skadliga noder. Bördan balanseras mellan användarna genom en periodiskt randomiserad rolltilldelning från infrastrukturen. Medan användare drar nytta av systemet för informationsutbyte minimerar vårt system deras exponering för LBS-servern och begränsar exponeringen för nyfikna servernoder (tack vare krypterad sökning och servering av nodkommunikation). Vår utvärdering visar både effektiv exponering minskning och mycket framgångsrik giltig POI tillhandahållande i en realistisk intelligent transport inställning, även med en mycket hög (i praktiken) fraktion (t.ex., 20 %) av nyfikna eller skadliga noder. Bidragen i detta dokument är: (1) användning av pseudonym autentisering för integritetsbevarande användarautentisering, (2) integritetshöjande randomiserad servertilldelning och krypterat P2P-frågesvarsutbyte, (3) korskontroll av P2P-svar och integritetsbevarande proaktiv LBS-svarsvalidering, (4) kvalitativa och omfattande kvantitativa simuleringsbaserade säkerhets- och integritetsanalyser, (5) jämförelse med toppmoderna, MobiCrowd [55], när det gäller uppnådd integritet och säkerhet, och effektivitet (särskilt kommunikation overhead) och (6) experimentell utvärdering med hjälp av en testbädd för fälttester av fordonskommunikation, som efterliknar verkliga förhållanden i världen. Resten av tidningen är organiserad enligt följande: Vi diskuterar relaterade arbete i Sec. 2. Utgångspunkten är följande: Vi beskriver systemet och kontradiktoriska modeller, samt krav i Sec. 3. Vad är det som händer? Sedan presenterar vi det föreslagna systemet i Sec. 4. Vad är det som händer? Vi tillhandahåller en kvalitativ säkerhets- och sekretessanalys i Sec. 5.1, följt av en omfattande kvantitativ simuleringsbaserad utvärdering i Sec. Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning. Vi visar experimentella utvärderingsresultat med vårt system implementerat på en testbädd för fordon, och diskuterar designval för dess installation i verkliga scenarier (Sec. 6) innan vi avslutar (Sec. 7) och av följande skäl: Användarfrågor, inklusive användarplatser och intressen, är viktig information för LBS för att bäst tjäna användare; samma information kan också användas för att bryta användarnas integritet. Frågor från samma användare kan länkas och så småningom användas för att rekonstruera användarspår och dra slutsatser om användaraktiviteter, t.ex. hem- eller arbetsadresser. Anonymisering eller pseudonymisering, dvs. borttagning av användaridentiteter eller deras ersättning med pseudonyma identiteter, hindrar LBS-servern från att korrelera verkliga användaridentiteter med frågor. LBS- servern ser bara en pool av användarfrågor utan någon information som omedelbart identifierar de frågande användarna. Studier har dock visat att bara ta bort identiteter från frekventa frågor inte kan förhindra spårning och ens profilering (t.ex., sluta verkliga namn) av specifika användare [24, 26, 28]. Plats obfuscation: Plats obfuscation använder dolda områden eller perturbed platser för att representera faktiska användarplatser. Klokade områden [4, 9] kan användas så att LBS-servern bara lär sig det område användaren befinner sig i och sedan svarar med den information som gäller för hela området. Men en bestämd angripare kunde lära sig vilka användare som finns i detta område. Om, i en obestridligt sällsynt situation, användaren är den enda som ingår i detta område, angriparen lätt kan länka frågan med den enda användaren "sedd" i detta område. Plats k-anonymity [23, 37] används för att bilda ett obfuscated område som involverar minst k-användare, så att användaren inte skulle sticka ut från det obfuscated området. Att bara använda k-anonymitet kunde dock inte garantera ett område byggt på k-användare tillräckligt stort för att dölja symbolisk adress (t.ex. kyrka, köpcentrum och bensinstation). Därför, i tätbefolkade områden, den perturbed/obfuscated regionen bör vara tillräckligt stor så att alla noder inom området inte är nära samlade. Samtidigt skulle kvaliteten på LBS-svaret påverkas om platsen i frågan inte är tillräckligt exakt. Det är därför svårt att definiera hur stor den ska vara för att säkerställa en lämplig nivå av skydd av privatlivet. Geo-oskiljbarhet [1, 3, 13] använder perturbed platser för att representera användarplatser, lägga Laplacian buller till användarplatser baserat på den nödvändiga graden av integritet. Detta avlastar noggrannheten av POI-data för högre integritet. Båda tillvägagångssätten kan misslyckas med att skydda nod integritet när flera frågor kan korreleras [1, 56]. Dessutom kan system baserade på k-anonymitet vara sårbara för det så kallade centrum för anonymiserad rumslig region (ASR) attack: sannolikheten för att den begärande noden är den nod som ligger närmast centrum för ASR är större än 1/k [19, 33]. Ett sådant angrepp kan förhindras genom att tillämpa en K-anonymity algoritm på en av grannarna. Dessa grannar upptäcks genom att tillämpa K-anonymity-algoritmen på sig själv. Detta skapar en kamouflerad region som inte nödvändigtvis är centrerad kring sig själv. Centraliserade och decentraliserade metoder: Både centraliserade och decentraliserade varianter av ovan nämnda integritetshöjande tekniker föreslogs. Centraliserade tillvägagångssätt introducera en betrodd tredje part (TTP) som fungerar som en så kallad anonymizer för de frågor som skickas till LBS-servern. Anonymizern kunde hitta k − 1 närmaste grannar till den frågande användaren och skicka förfrågningar från alla k-användare till LBS-servern [4]. Anonymizern kan också ta bort användaridentiteter från frågorna innan du skickar dem till LBS-servern, samtidigt som den behåller information som matchar användarens identiteter och frågor lokalt, så att den på lämpligt sätt kan svara på varje användare den information som behövs. Det kan dock finnas en inneboende kontrovers här: vi antar att LBS-servern är ärlig-men-nyfiken, men anonymören kan vara ärlig-men-nyfiken också. Den (centraliserade) anonymizern kunde samla in användarfrågor och använda informationen på samma sätt som LBS-servern skulle göra. Decentraliserade tillvägagångssätt motverkar ärlig men nyfiken infrastruktur genom att förlita sig på användarna. För att uppnå k-anonymitet med decentraliserade system kan användare söka efter k − 1 grannar i ett ad-hoc-nätverk och använda området inklusive dessa k-användare som det kamouflerade området [10].
Utöver detta dokument kan SECMACE vara mycket fördelaktigt inom andra tillämpningsområden, t.ex. säker och integritetsbevarande LBS-bestämmelse Ref.
Resilient Privacy Protection for Location-Based Services through Decentralization
{'venue': 'ACM Transactions on Privacy and Security (TOPS), 22(4), 21:1-36, 2019', 'journal': None, 'mag_field_of_study': ['Computer Science']}