Differential Privacy via Wavelet Transforms
近年来，隐私保护数据发布吸引了相当大的研究兴趣。在现有的解决方案中，{ \em $ε$ -差分隐私}提供了最强的隐私保证之一。然而，实现$ε$ -差分隐私的现有数据发布方法提供很少的数据效用。特别地，如果输出数据集用于回答计数查询，则查询答案中的噪声可能与数据中的元组数量成比例，这使得结果无用。在本文中，我们开发了一种数据发布技术，确保$ε$ -差分隐私，同时为{ \em范围计数查询}提供准确的答案，即，count查询，其中每个属性上的谓词都是范围。我们的解决方案的核心是一个框架，适用于{ \em小波变换}的数据之前，添加noise it. We提出的序数和名义数据的建议框架的实例，我们提供了一个理论分析，他们的隐私和效用的保证。通过对真实数据和合成数据的大量实验研究，我们证明了我们的解决方案的有效性和效率。
2009-09-30 cs.DB
Differentially Private Trajectory Data Publication
随着位置感知设备的日益普及，轨迹数据已经在各种应用领域中生成和收集。轨迹数据包含丰富的信息，对许多数据分析任务都很有用。然而，轨迹数据的不当发布和使用可能会危及个人隐私。然而，它已被证明，现有的隐私保护的轨迹数据发布方法，从基于分区的隐私模型，例如k-匿名，无法提供足够的隐私保护。本文以蒙特利尔地区公共交通机构Societe de transport de Montreal（STM）的数据发布为背景，研究了严格差分隐私模型下的轨迹数据发布问题。我们提出了一个有效的数据依赖性，但差异私人消毒算法，这是适用于不同类型的轨迹数据。我们的方法的效率来自自适应缩小输出域，通过建立一个嘈杂的前缀树的基础上的底层数据。此外，作为后处理步骤，我们利用前缀树的固有约束进行约束推理，这导致更好的实用性。这是第一篇介绍在差分隐私下发布大量轨迹数据的实用解决方案的论文。我们从计数查询和频繁序列模式挖掘的角度研究了净化数据的实用性。对STM真实轨迹数据的大量实验表明，我们的方法具有很高的实用性，并且可扩展到大型轨迹数据集。
2011-12-09 cs.DB
Privacy-Preserving Data Publishing in Process Mining
流程挖掘旨在基于事件数据提供对实际流程的洞察。这些数据通常由信息系统记录，并广泛提供。然而，它们通常包含敏感的私人信息，应该负责任地进行分析。因此，进程挖掘中的隐私问题最近受到了更多的关注。隐私保护技术显然需要修改原始数据，但同时，它们应该保持数据效用。数据的隐私保护转换可能会导致不正确或误导性的分析结果。因此，需要设计新的基础设施来发布隐私感知事件数据，其目的是提供关于事件数据上的隐私相关变换的元数据，而不泄露隐私保护技术或受保护信息的细节。在本文中，我们提供了正式的定义，主要的匿名化操作，在过程挖掘中使用的隐私模型。这些用于创建用于记录隐私元数据的基础设施。我们提倡在实践中提出的隐私元数据的XES标准的隐私扩展和一般的数据结构的事件数据，而不是在标准的事件日志的形式设计。
2021-01-04 cs.CR cs.DB
Preserving Individual Privacy in Serial Data Publishing
虽然以前的隐私保护串行数据发布的工作考虑的情况下，敏感值可能会持续多个数据发布，我们发现，没有以前的工作提供了足够的保护敏感值，可以随时间变化，这应该是更常见的情况。在这项工作中，我们建议研究这种瞬态敏感值的隐私保证，我们称之为全球保证。我们正式定义的问题，实现这一保证，并得出这个问题的一些理论性质。我们发现，在数据匿名化中使用的匿名组的大小是一个关键因素，在保护个人隐私的连续出版物。我们提出了两种策略的匿名化目标在最小化的平均组大小和最大组大小。最后，我们在一个医疗数据集上进行了实验，结果表明，我们的方法是高效的，也产生了非常高实用性的已发布数据。
2009-03-04 cs.CR cs.DB
PRIPEL: Privacy-Preserving Event Log Publishing Including Contextual Information
事件日志根据已执行的活动及其执行上下文捕获业务流程的执行。由于日志包含有关过程中涉及的个人的潜在敏感信息，因此在发布之前应对其进行预处理，以保护个人隐私。然而，用于这种预处理的现有技术仅限于过程的控制流，而忽略了上下文信息，诸如属性值和持续时间。因此，这排除了任何形式的涉及背景因素的过程分析。为了弥合这一差距，我们引入PRIPEL，一个隐私感知事件日志发布框架。与现有的工作相比，PRIPEL采取了一个根本不同的角度，并确保在个别情况下，而不是完整的日志的水平隐私。通过这种方式，上下文信息以及长尾流程行为被保留，这使得能够应用丰富的流程分析技术。我们证明了我们的框架的可行性与现实世界的事件日志的案例研究。
2020-06-23 cs.DB cs.SE
PrivDPR: Synthetic Graph Publishing with Deep PageRank under Differential Privacy
本文提出PrivDPR，一种基于深度PageRank的差分隐私合成图发布方法，通过向特定权重梯度加噪并利用权重归一化缓解高敏感性与隐私预算分割问题，实验证明其在多个图结构属性上保持高效用。
2025-01-04 cs.CR cs.DB
Privacy Aspects of Provenance Queries
给定一个大数据库的查询结果，why-provenance可以用来计算这个数据库的必要部分，包括所谓的证人。如果该数据库包含个人数据，则隐私保护必须防止公布这些证人。这意味着在发布原始数据（出处）和保护这些数据（隐私）之间存在自然的利益冲突。在本文中，隐私超越了个人数据保护的概念。本文将隐私权的定义扩展为知识产权保护。如果起源信息不足以重建查询结果，则必须发布诸如证人或起源多项式之类的附加数据以保证可追溯性。然而，如果可以从原始数据库中导出（明显）多于所需的元组，则发布此出处信息可能会成为一个问题。在这一点上，已经有可能违反隐私策略，只要准标识符包含在该出处信息中。通过这张海报，我们指出了根本问题，并讨论了解决方案的初步建议。
2021-01-12 cs.DB
Simultaneous Discrimination Prevention and Privacy Protection in Data Publishing and Mining
数据采掘是一种越来越重要的技术，用于提取隐藏在大量数据中的有用知识。然而，社会上对数据采掘也有一些负面的看法，其中包括潜在的隐私侵犯和潜在的歧视。自动化的数据汇集和分类等数据采掘技术为自动化决策铺平了道路，如贷款授予/拒绝，保险费计算。如果训练数据集在性别、种族、宗教等歧视性属性方面存在偏见，那么可能会出现歧视性决策。在本论文的第一部分中，我们解决了歧视预防数据采掘，并提出了新的技术适用于直接或间接的歧视预防单独或同时。我们讨论如何清理训练数据集和外包数据集，以便将直接和/或间接的歧视性决策规则转换为合法（非歧视性）分类规则。在本文的第二部分，我们认为隐私和歧视风险应该一起处理。我们探讨隐私保护数据采掘和歧视预防之间的关系，在数据采掘设计能够同时解决这两个威胁的知识发现过程中的整体方法。作为这项工作的一部分，我们已经调查了第一次的歧视和隐私意识的频繁模式发现的问题，即从交易数据库中挖掘的模式的集合的净化，以这样的方式，既不侵犯隐私，也不歧视推断可以推断出的释放模式。此外，我们调查的歧视和隐私意识的数据发布的问题，即转换的数据，而不是模式，以同时实现隐私保护和歧视预防。
2013-06-28 cs.CR cs.DB
Privacy-Enhanced Database Synthesis for Benchmark Publishing (Technical Report)
本文提出基于和积网络的差分隐私数据库合成框架PrivBench，用于基准发布场景，在保护隐私的同时保持数据分布与查询运行时间的高保真度。
2025-04-10 cs.CR cs.DB
Privacy in Search Logs
搜索引擎公司收集“意图数据库”，即用户搜索查询的历史。这些搜索日志对研究人员来说是一座金矿。然而，搜索引擎公司为了不泄露敏感信息，对发布搜索日志持谨慎态度。在本文中，我们分析算法发布频繁的关键字，查询和点击的搜索日志。我们首先展示了如何实现$k$ -匿名的变体的方法容易受到主动攻击。然后，我们证明了更强的保证$ε$ -差分隐私，不幸的是，不提供任何效用，这个问题。然后，我们提出了一个算法ZEALOUS，并展示了如何设置其参数，以实现$(ε,δ)$ -概率隐私。我们还将我们对ZEALOUS的分析与Korolova等人[17]的分析进行了对比，后者实现了$(ε',δ')$不可解释性。我们的论文的结论是一个大型的实验研究，使用真实的应用程序，我们比较ZEALOUS和以前的工作，实现$k$ -匿名的搜索日志发布。我们的研究结果表明，ZEALOUS产生类似的效用$k-$匿名，而在同一时间实现更强的隐私保障。
2011-05-11 cs.DB cs.IR
New Directions in Anonymization: Permutation Paradigm, Verifiability by Subjects and Intruders, Transparency to Users
目前有两种匿名化方法：“效用优先”（使用具有合适效用特征的匿名化方法，然后根据经验评估披露风险，并且如果必要，通过可能牺牲一些效用来降低风险）或“隐私优先”（通过隐私模型强制执行目标隐私级别，例如，k-匿名或k-差分隐私，而不考虑效用）。为了获得正式的隐私保证，必须遵循第二种方法，但随后获得的数据发布没有效用保证。此外，一般来说，不清楚数据主体的匿名化如何验证（她贡献的记录的安全性如何？），什么类型的入侵者被认为是（他知道什么，想要什么？）以及匿名化对数据使用者的透明度如何（用户被告知使用的方法和参数是什么？）。我们表明，使用一个普遍适用的反向映射变换，微数据的任何匿名化可以被视为一个置换加上（也许）少量的噪音;因此，置换被证明是任何匿名化的微数据，它允许简单的实用程序和隐私指标的基本原则。从这个置换范式，一个新的隐私模型自然遵循，我们称之为（d，v）-置换隐私。通过这种方法确保的隐私可以通过贡献原始记录的每个受试者（受试者可验证性）来验证，并且还可以通过数据保护器在数据集级别进行验证。然后，我们继续定义一个最大知识入侵者模型，我们认为应该是一个考虑匿名化。最后，我们让匿名化对数据用户透明，也就是说，符合Kerckhoff的假设（只有使用的随机性，如果有的话，必须保密）。
2015-01-17 cs.CR cs.DB
The Hardness and Approximation Algorithms for L-Diversity
现有的隐私保护发布解决方案可以分为理论和启发式两大类。前者保证了可证明的低信息损失，而后者在最坏的情况下会产生巨大的损失，但经验表明，在许多实际输入上表现良好。虽然已经开发了许多启发式算法来满足高级隐私原则，例如l-多样性、t-接近度等，理论类别目前限于K-匿名，这是已知的对隐私攻击具有严重脆弱性的最早的原则。出于这一动机，我们提出了第一个理论研究L-多样性，一个流行的原则，被广泛采用的文献。首先，我们证明了最优l-多样推广是NP-难的，即使在微数据中只有3个不同的敏感值。然后，开发了（l*d）-近似算法，其中d是底层数据集的维数。这是第一个已知的算法与非平凡的信息损失的限制。大量的实验验证了所提出的解决方案的有效性和效率的真实数据集。
2009-12-30 cs.DB
Approximate DBSCAN under Differential Privacy
Hong Kong University of Science and Technology（香港科技大学）
本文在差分隐私下重新审视DBSCAN问题，提出基于跨度的DP-DBSCAN定义，设计线性时间算法并实现质量保证，同时验证了算法在合成和真实数据集上的性能。
2025-08-13 cs.CR cs.DB
Transparent Anonymization: Thwarting Adversaries Who Know the Algorithm
已经提出了许多泛化技术用于隐私保护数据发布。然而，大多数现有技术都隐含地假设对手对数据发布者所采用的匿名化算法知之甚少。因此，它们无法防范利用匿名化机制的各种特征的隐私攻击。本文为上述问题提供了一个实用的解决方案。首先，我们提出了一个分析模型，用于评估披露风险，当对手知道一切在匿名化过程中，除了敏感值。基于此模型，我们开发了一个隐私原则，透明的l-多样性，这确保了隐私保护，对这样强大的对手。我们确定了三种算法，实现透明的l-多样性，并通过大量的实验与真实数据验证其有效性和效率。
2010-03-26 cs.DB
Injecting Uncertainty in Graphs for Identity Obfuscation
如今，社交网络应用程序收集的数据为构建新颖的服务创造了迷人的机会，并扩大了我们对社会结构及其动态的理解。不幸的是，由于隐私问题，发布社交网络图表被认为是一种不明智的做法。为了缓解这个问题，已经提出了几种匿名化方法，旨在降低发布数据的隐私泄露风险，同时仍然允许分析它们并得出相关结论。在本文中，我们介绍了一种新的匿名化方法，该方法基于在社交图中注入不确定性并发布由此产生的不确定图。虽然现有的方法通过完全添加或删除边缘来混淆图数据，但我们建议使用更细粒度的扰动来部分添加或删除边缘：这样，我们可以在数据中进行更小的更改，从而保持更高的实用性。我们在真实网络上的实验证实，在相同的身份混淆水平下，我们的方法比现有的发布标准图的随机方法提供了更高的有用性。
2012-08-21 cs.DB
Can the Utility of Anonymized Data be used for Privacy Breaches?
基于组的匿名化是隐私保护数据发布中研究最广泛的方法。这包括k-匿名性，l-多样性和t-封闭性，仅举几例。本文的目的是提出一个基本问题，目前的群体为基础的方法的隐私暴露。这一点在过去被忽视了。基于组的匿名化方法基本上将每个单独的记录隐藏在组后面，以保护数据隐私。如果没有适当的匿名化，模式实际上可以从发布的数据中获得，并被对手用来侵犯个人隐私。例如，从发布的医疗记录中，如果可以导出诸如来自某些国家的人很少患有某种疾病的模式，则可以使用该信息来暗示匿名组中的其他人与这种疾病的联系具有更高的可能性。我们把从已发布的数据中得到的模式称为前景知识。这是在对比的背景知识，对手可能会从其他渠道获得的研究在以前的一些工作。最后，我们通过实验表明，攻击是现实的隐私基准数据集下，传统的基于组的匿名化方法。
2009-05-12 cs.DB
DPCube: Differentially Private Histogram Release through Multidimensional Partitioning
差分隐私是在隐私保护数据分析或发布中保护个人隐私的一个强有力的概念。在本文中，我们研究了问题的差异私人直方图释放随机工作负载。我们研究了两种多维划分策略，包括：1）用于释放等宽单元直方图的基于基线单元的划分策略，以及2）用于释放v-最优直方图的基于创新的2阶段kd树的划分策略。我们正式分析的实用程序发布的直方图和量化的错误回答线性查询，如计数查询。我们正式表征的输入数据，这将保证算法的最优性的属性。最后，我们实现和实验评估几个应用程序使用发布的直方图，包括计数查询，分类，并阻止记录链接，并显示我们的方法的好处。
2012-02-24 cs.DB
Differentially Private Aggregated Mobility Data Publication Using Moving Characteristics
随着智能手机和定位应用的快速发展，位置隐私越来越受到人们的关注。直觉上，人们普遍认为，可以通过发布聚合的移动数据来保护位置隐私，例如某个时间某个区域中的用户数量。然而，最近的一次攻击表明，这些聚合的移动数据可以用来恢复个人轨迹。在本文中，我们首先提出了两个不同的私人基本方案的聚合移动数据发布，即直接扰动和阈值扰动，保护用户的位置隐私，特别是抵抗轨迹恢复攻击。然后，研究了移动用户的移动特性，根据移动用户的移动特性，将两种基本方案结合起来，设计了一种改进方案--静态混合扰动方案。由于静态混合扰动只适用于静态数据，这是完全可用的发布前，我们进一步调整静态混合扰动相结合的线性回归，并产生另一种改进方案称为动态混合扰动。动态混合扰动也适用于动态数据，动态数据在发布期间动态生成。隐私分析表明，所提出的方案实现了差分隐私。在模拟数据集和真实数据集上的大量实验表明，所有提出的方案都能很好地抵抗轨迹恢复攻击，改进方案的性能明显优于基本方案。
2019-08-10 cs.CR cs.DB
The Boundary Between Privacy and Utility in Data Anonymization
我们考虑了数据发布中的隐私问题：给定一个包含敏感信息的关系I，将其“匿名化”以获得视图V，使得一方面攻击者无法从V学习任何敏感信息，另一方面合法用户可以使用V来计算I上的有用统计信息。这些是相互冲突的目标。我们使用从文献中现有的隐私定义导出的隐私定义，其将给定元组t的先验概率Pr（t）与后验概率Pr（t）相关联|V），并提出了一个新颖的和相当实用的定义的效用。我们的主要结果如下。表示n为I的大小，m为从中提取I的域的大小（即n < m），则：当先验概率为Pr（t）= Omega（n/sqrt（m））时，对于某个t，不存在有用的匿名化算法，而当Pr（t）= O（n/m）时，对于所有元组t，则我们给出了一个既私密又有用的具体匿名化算法。我们的算法与文献中深入研究的k-匿名化算法有很大的不同，并且是基于对I的随机删除和插入。
2006-12-21 cs.DB
Improving data utility in differential privacy and k-anonymity
本文重点研究了两种主流的隐私模型：k-匿名和差分隐私。一旦选择了一个隐私模型，目标是在尽可能多地保留数据效用的同时实施它。本论文的主要目的是提高k-匿名和差异隐私数据发布中的数据效用。k-匿名性有几个缺点。在披露限制方面，缺乏对属性披露和知情入侵者的保护。在数据实用程序方面，处理大量的准标识符属性是有问题的。我们建议放宽k-匿名处理这些问题。差分隐私通过噪声添加来限制披露风险。拉普拉斯分布通常用于随机噪声。我们发现，拉普拉斯分布是不是最佳的：相同的披露限制保证可以通过增加更少的噪音。最佳的单变量和多变量噪声的特征和构造。实现差分隐私的常见机制不考虑用户的先验知识;它们隐含地假设关于查询响应的初始知识为零。我们提出了一种机制，专注于限制知识增益超过先验知识。基于微聚合的k-匿名和差分隐私可以结合起来，以产生具有差分隐私的强隐私保证和改进的数据准确性的微数据发布。最后一个贡献是深入研究了t-贴近度和差分隐私之间的关系。我们看到，对于一个特定的距离，并在一些合理的假设下，入侵者的知识，t-接近导致差分隐私。
2013-07-03 cs.CR cs.DB
Privacy-Aware Data Cleaning-as-a-Service (Extended Version)
数据清理是企业普遍存在的问题，因为他们试图从数据中获得价值。网络和云计算技术的最新进展推动了称为数据库即服务的新计算范例，其中数据管理任务被外包给大型服务提供商。在本文中，我们考虑一种数据清理即服务模型，该模型允许客户端与托管精选数据和敏感数据的数据清理提供商进行交互。我们介绍PACAS：隐私感知数据清洗即服务模型，其促进具有对数据的客户端查询请求的各方之间的交互，以及使用根据数据敏感度计算价格的数据定价方案的服务提供者。我们提出了新的扩展模型来定义广义的数据修复，混淆敏感数据，允许客户端和服务提供商之间的数据共享。我们提出了一个新的语义距离度量来量化这种修复的效用，我们重新定义了广义值存在下的一致性概念。PACAS模型使用（X，Y，L）-匿名，扩展了现有的数据发布技术，以考虑数据中的语义，同时保护敏感值。我们对真实数据的评估表明，PACAS保障语义相关的敏感值，并提供较低的修复错误相比，现有的隐私意识的清洁技术。
2020-08-02 cs.DB
Privately Answering Queries on Skewed Data via Per Record Differential Privacy
针对偏态数据隐私发布问题，提出每条记录零集中差分隐私（PzCDP）形式化方法及相应机制，通过使隐私损失依赖于记录值，有效克服标准DP在重尾统计发布中的困难。
2024-12-18 cs.CR cs.DB
How to Get Actual Privacy and Utility from Privacy Models: the k-Anonymity and Differential Privacy Families
本文评估主要隐私模型，指出k-匿名和差分隐私在保护与效用间的缺陷，并提出语义重构k-匿名以在不损效用下增强隐私。
2025-10-17 cs.CR cs.DB
Improving Suppression to Reduce Disclosure Risk and Enhance Data Utility
在隐私保护数据发布中，已经开发了各种隐私模型，用于在敏感的个人级别数据集上采用匿名化操作，以便发布数据以供公众访问，同时保护数据集中个人的隐私。然而，在保护隐私和数据效用之间总是存在权衡;我们对机密数据集进行的更改越多，以降低披露风险，数据丢失的信息就越多，保留的数据效用就越小。最佳隐私技术是一种能够产生具有最小披露风险和最大数据效用的数据集的技术。在本文中，我们提出了一种改进的抑制方法，它降低了披露风险，提高了数据效用的目标是最高风险的记录，并保持其他记录的完整性。我们已经通过在真实世界的机密数据集上的实验证明了我们方法的有效性。
2019-01-08 cs.CR cs.DB
Hybrid Microaggregation for Privacy-Preserving Data Mining
微聚合的k-匿名是最常用的匿名技术之一。这种成功是由于在信息损失和身份泄露风险之间实现了利益权衡。然而，该方法可能具有一些缺点。在披露限制方面，缺乏对属性披露的保护。在数据实用程序方面，处理真实的数据集是一项具有挑战性的任务。事实上，后者的特点是其大量的属性和噪声数据的存在，这样的离群值，甚至，数据与缺失值。生成对数据采掘任务有用的匿名个体数据，同时减少噪声数据的影响是一项迫切需要实现的任务。在本文中，我们介绍了一种新的微聚集方法，称为HM-PFSOM，基于模糊可能性聚类。我们提出的方法通过混合方式操作。这意味着匿名化过程是按相似数据块应用的。因此，我们可以帮助减少匿名化过程中的信息丢失。HMPFSOM方法提出研究每个子数据集内机密属性的分布。然后，根据后一种分布，以保持匿名化微数据内的机密属性的多样性的方式确定隐私参数k。这允许降低机密信息的泄露风险。
2018-12-04 cs.CR cs.DB cs.IR
Group-Based Privacy Preservation Techniques for Process Mining
流程挖掘技术有助于使用事件数据改进流程。这种数据在信息系统中广泛存在。然而，它们通常包含高度敏感信息。例如，保健信息系统记录事件数据，过程挖掘技术可以利用该事件数据来改进治疗过程、减少患者的等待时间、提高资源生产率等。然而，记录的事件数据包括与治疗活动相关的高度敏感信息。负责任的流程挖掘应该提供关于底层流程的见解，但同时，它不应该泄露敏感信息。在本文中，我们讨论了直接应用现有的众所周知的基于组的隐私保护技术的挑战，例如，k-匿名性、l-多样性等。我们提供了正式的攻击模型的定义，并介绍了一个有效的基于组的隐私保护技术的进程挖掘。我们的技术涵盖了流程挖掘的主要视角，包括控制流、时间、案例和组织视角。所提出的技术提供了可解释和可调整的参数来处理不同的隐私方面。我们采用现实生活中的事件数据，并评估数据效用和结果效用，以显示隐私保护技术的有效性。我们还比较了这种方法与其他基于组的隐私保护事件数据发布的方法。
2021-05-25 cs.CR cs.DB
Unique in the Smart Grid -The Privacy Cost of Fine-Grained Electrical Consumption Data
通过智能电表收集电力消耗时间序列随着雄心勃勃的全国智能电网计划而增长。这些数据既高度敏感又非常有价值：关于个人数据的强有力的法律保护它，而关于开放数据的法律旨在在保护隐私的数据发布过程后将其公开。在这项工作中，我们研究了大规模现实生活中的细粒度电力消耗时间序列的独特性，并显示其与隐私威胁的联系。我们的研究结果表明，在这样的数据集的唯一性率高得令人担忧。特别是，我们表明，知道5个连续的电力措施可以重新识别平均超过90%的家庭在我们的250万半小时电力时间序列数据集。此外，即使数据严重退化，唯一性仍然很高。例如，当数据四舍五入到最接近的100瓦时，知道7个连续的电力测量可以重新识别平均超过40%的家庭（相同的数据集）。我们还研究了唯一性与熵、唯一性与耗电量、耗电量与温度之间的关系，表明它们之间有很强的相关性。
2022-11-14 cs.CR cs.DB
Composition Attacks and Auxiliary Information in Data Privacy
隐私是数据发布的一个越来越重要的方面。然而，关于隐私的推理充满了陷阱。其中最重要的是辅助信息（也称为外部知识、背景知识或辅助信息），对手从其他渠道（如网络、公共记录或领域知识）收集这些信息。本文探讨了如何在面对丰富的，现实的辅助信息来源的原因隐私。具体来说，我们调查了当前匿名化方案在保护隐私方面的有效性，当多个组织独立发布重叠人群的匿名数据时。1.我们调查组合攻击，其中对手使用独立的匿名发布违反隐私。我们解释了为什么最近提出的模型有限的辅助信息无法捕捉组合攻击。我们的实验表明，即使是一个简单的组合攻击的实例可以在实践中侵犯隐私，目前提出的技术的一大类。这个类包括k-匿名和几个最近的变体。2.从更积极的方面来看，某些基于随机化的隐私概念（如差分隐私）可证明可以抵抗组合攻击，事实上，可以抵抗任意边信息的使用。这种阻力使匿名方案的独立设计成为可能，而不需要显式地跟踪其他版本。我们给出了这一性质的精确表达式，并证明了一类重要的差分隐私松弛也满足这一性质。这显著地扩大了已知的能够实现模块化设计的协议的类别。
2008-03-31 cs.CR cs.DB
SoK: Chasing Accuracy and Privacy, and Catching Both in Differentially Private Histogram Publication
直方图和合成数据在数据分析中是至关重要的。然而，研究人员已经表明，即使是直方图等聚合数据，不包含明显的敏感属性，也可能导致隐私泄露。为了实现数据分析，需要一个强有力的隐私概念，以避免意外侵犯隐私的风险。这种强烈的隐私概念是差分隐私，这是一种统计隐私概念，使隐私泄露可以量化。关于差分隐私的警告是，虽然它对隐私有很强的保证，但隐私是以准确性为代价的。尽管这种权衡是采用差分隐私的一个核心和重要问题，但在文献中关于提供对权衡的理解以及如何适当地解决它存在差距。通过系统的文献综述（SLR），我们调查的国家的最先进的准确性提高差异隐私算法的直方图和合成数据发布。我们的贡献是双重的：1）我们识别直方图和合成数据的差分隐私领域的贡献中的趋势和联系，以及2）我们通过将不同维度具体化以提高准确性来提供对隐私/准确性权衡挑战的理解。因此，我们将这些想法与彼此和外部工作相关联，并将其定位和可视化，并解构每个算法以分别检查构建块，目的是确定每个技术/方法的准确性改进目标。因此，这种知识的系统化（SoK）提供了对在哪些维度以及如何在不牺牲隐私的情况下追求准确性改进的理解。
2020-09-21 cs.CR cs.DB
Frequency-based Randomization for Guaranteeing Differential Privacy in Spatial Trajectories
随着GPS设备的普及，大量的轨迹数据被不断收集，各种基于位置的服务也被开发出来，极大地造福了我们的日常生活。然而，发布的轨迹也带来了对个人隐私的严重关注，最近的一些研究表明，空间轨迹中存在个人身份信息。由于在隐私保护和效用保存之间进行权衡，轨迹匿名化是不平凡的。此外，恢复攻击还没有得到很好的研究，在目前的文献。为了解决这些问题，我们提出了一个基于频率的随机化模型，具有严格的差分隐私保证轨迹数据发布。特别是，我们引入了两个随机机制，通过注入拉普拉斯噪声来扰动轨迹中重要位置的局部/全局频率分布。我们设计了一个分层索引以及一个新的搜索算法，以支持有效的轨迹修改，确保修改后的轨迹满足扰动分布，而不损害隐私保证或数据效用。在真实轨迹数据集上进行的大量实验验证了该方法在抵抗个体重识别和恢复攻击的同时保持了期望的数据效用以及在实践中的可行性。
2022-07-08 cs.CR cs.DB
Anonymization with Worst-Case Distribution-Based Background Knowledge
背景知识是隐私保护数据发布中的一个重要因素。基于分布的背景知识是背景知识中研究得最多的一种。然而，据我们所知，有没有现有的工作考虑在最坏的情况下，基于分布的背景知识，我们的意思是，对手有准确的知识，根据一些元组属性的敏感值的分布。考虑这种最坏的情况是必要的，因为我们不能忽视任何违约的可能性。在本文中，我们提出了一个算法，匿名数据集，以保护个人隐私，考虑到这个背景知识。我们证明了我们提出的算法生成的匿名数据集保护个人隐私。我们的实证研究表明，我们的方法保留了较高的效用，同时公布的数据。
2009-09-07 cs.CR cs.DB
