I juni 2016 gjorde Apple ett djärvt tillkännagivande om att det kommer att distribuera lokal differential integritet för en del av deras användardata insamling för att säkerställa integritet för användardata, även från Apple [21, 23]. Detaljerna i Apples strategi förblev sparsamma. Även om flera patent [17] [18] [19] sedan dess har uppträtt som en antydan om de algoritmer som kan användas för att uppnå differentiell integritet, innehöll de inte någon exakt förklaring till den metod som valts för valet av parameter för integritet. Ett sådant val och den övergripande strategin för användning och hantering av budgeten för integritetsskydd är viktiga frågor för att förstå det integritetsskydd som erbjuds genom all spridning av differentialiserad integritetsskydd. I detta arbete, genom en kombination av experiment, statiska och dynamiska kodanalys av macOS Sierra (Version 10.12) genomförande, kastar vi ljus över de val Apple gjort för integritet budgethantering. Vi upptäcker och beskriver Apples uppsättning för differentialt privat databehandling, inklusive den totala data pipeline, de parametrar som används för differentialt privat perturbation av varje del av data, och den frekvens med vilken sådana data skickas till Apples servrar. Vi finner att även om Apples distribution ser till att (differentiell) integritet förlust per varje datum som lämnas in till sina servrar är 1 eller 2, den totala integritetsförlusten som tillåts av systemet är betydligt högre, så hög som 16 per dag för de fyra ursprungligen meddelade program av Emojis, Nya ord, Deeplinks och Lookup Hints [21]. Dessutom förnyar Apple den integritetsbudget som finns tillgänglig varje dag, vilket leder till en möjlig integritetsförlust på 16 gånger antalet dagar sedan användaren opt-in till differentierat privat datainsamling för dessa fyra program. Vi applåderar Apples utbyggnad av differentiell integritet för dess djärva demonstration av genomförbarhet av innovation samtidigt som den garanterar strikt integritet. Vi hävdar dock att för att hävda de fulla fördelarna med differentierad privat datainsamling, Apple måste ge full insyn i dess genomförande och integritet förlust val, möjliggöra användarens val i områden som är relaterade till integritetsförlust, och ställa meningsfulla standardvärden på den dagliga och enhet livstid integritetsförlust tillåtet.
Apple har också utnyttjat LDP för att samla in användardata, inklusive nya ord, emojis, djupa länkar och uppslagstips inuti anteckningar REF.
Privacy Loss in Apple's Implementation of Differential Privacy on MacOS 10.12
{'venue': 'ArXiv', 'journal': 'ArXiv', 'mag_field_of_study': ['Computer Science']}