第10章位置信息與隱私保護-《物聯網安全導論》

第10章位置信息與隱私保護

學習任務位置服務

位置服務技術原理

GIS地理信息系統

Clicktoaddtitleinhere123本章主要涉及：4隱私保護

基于位置服務的隱私保護

510.1位置服務位置服務（LBS，LocationBasedServices）又稱定位服務，LBS是由移動通信網絡和衛星定位系統結合在一起提供的一種增值業務，通過一組定位技術獲得移動終端的位置信息(如經緯度坐標數據)，提供給移動用戶本人或他人以及通信系統，實現各種與位置相關的業務。實質上是一種概念較為寬泛的與空間位置有關的新型服務業務。10.1位置服務10.1.1位置服務的定義關于位置服務的定義有很多。1994年，美國學者Schilit首先提出了位置服務的三大目標：你在哪里(空間信息)、你和誰在一起(社會信息)、附近有什么資源(信息查詢)。這也成為了LBS最基礎的內容。10.1位置服務

2004年，Reichenbacher將用戶使用LBS的服務歸納為：定位(個人位置定位)、導航(路徑導航)、查詢(查詢某個人或某個對象)、識別(識別某個人或對象)、事件檢查(當出現特殊情況下向相關機構發送帶求救或查詢的個人位置信息)。10.1位置服務LBS位置服務

10.1位置服務在國內，基于位置的服務(LocationBasedService，LBS)通常是指通過電信移動運營商的無線電通訊網絡（如GSM網、CDMA網）或外部定位方式(如GPS)獲取移動終端用戶的位置信息（地理坐標，或大地坐標），在GIS(GeographicInformationSystem，地理信息系統)平臺的支持下，為用戶提供相應服務的一種增值業務。10.1位置服務

對于位置定義有如下幾種方法：

1)AOA(angleofarrival)指通過兩個基站的交集來獲取移動臺(Mobilestation)的位置；2)TDOA(timedifferenceofarrival)工作原來類似與GPS。通過一個移動臺和多個基站交互的時間差來定位；3)locationsignature位置標記。對每個位置區進行標識來獲取位置；4)衛星定位。10.1位置服務

而需要特別說明的是，位置信息不是單純的“位置”，而是包括：①地理位置（空間坐標）②處在該位置的時刻（時間坐標）③處在該位置的對象（身份信息）10.1位置服務10.1.2LBS發展歷史其實LBS并不是什么新東西，建設GPS系統的目的就是為了給用戶提供位置服務。早在上個世紀70年代，美國頒布了911服務規范。基本的911業務(Basic911)是要求FCC定義的移動和固定運營商實現的一種關系國家和生命安全的緊急處理業務。和我國的110/120等緊急號碼一樣。要求電信運營商在緊急情況下，可以跟蹤到呼叫911號碼的電話的所在地。

10.1位置服務10.1.3LBS位置服務應用類型1.服務種類（1）大眾應用①位置信息查詢②移動黃頁查詢③游戲娛樂④跟蹤導航10.1位置服務（2）行業應用行業用戶指的是公安消防、交通、企業、新聞媒體等領域用戶。①緊急救援②智能交通③外勤人員管理和調度④物流和資產管理⑤位置敏感商業廣告⑥巡檢管理10.1位置服務2.目前LBS提供的主要服務（1）公共安全業務（2）跟蹤業務（3）基于位置的個性化信息服務（4）導航服務（5）基于位置的計費業務10.1位置服務3.目前世界上廣泛應用的定位服務目前，全球LBS服務的主要發展區域包括北美、亞太以及歐洲三大市場，其中以亞太市場的發展最早也最快，尤其是日、韓兩國。10.1位置服務10.1.4位置服務在我國應用情況

中國移動在2002年11月首次開通位置服務，如移動夢網品牌下面的業務“我在哪里”、“你在哪里”、“找朋友”等；2003年，中國聯通在其CDMA網上推出“定位之星”業務，用戶可以在較快的速度下體驗下載地圖和導航類的復雜服務；而中國電信和中國網通似乎也看到了位置服務誘人前景，啟動在PHS(小靈通)平臺上的位置服務業務。10.2位置服務技術原理ＬＢＳ是一項集成系統，是GIS、空間定位、移動通信、無線互聯網等技術的綜合體。GIS技術、移動通訊技術、定位技術（基于基站定位和基于GPS定位），三者結合形成了LBS技術。為用戶提供基于位置的信息交換、信息獲取、共享和發布服務。

LBS作為多種技術的交叉點10.2.1LBS系統組成一個完整的LBS系統主要由空間定位系統、位置服務中心、通信網絡和移動終端等部分組成。（1）移動終端移動終端可以是一個移動電話、一個PDA(個人數字助理，一般指掌上電腦)、筆記本電腦、個人電腦或者是一個應用程序接口。它其實就是既充當定位裝置同時又充當查詢和顯示設備。10.2位置服務技術原理（2）無線網絡這里的無線網絡包括2G、2.5G網絡以及以后的3G網絡，只要能準確的確定出移動終端的位置，LBS就能很好的展開。（3）定位平臺基于GPS或者MPS(移動定位系統)技術的定位系統。（4）提供位置服務的服務器LBS系統的核心部分，主要是用來處理分析并響應用戶的請求。10.2位置服務技術原理（5）提供位置服務的應用程序來實現LBS服務的應用程序（6）與位置信息相關的內容主要包括相關的地理數據信息。以上除移動終端屬于客戶端外，其他部分都屬于服務器端。服務器端的無線網絡，定位平臺都是由移動運營商擁有并進行維護。只有LBS服務器、LBS應用程序和位置信息相關的內容可以由開發者自己設計和實施。10.2位置服務技術原理

LBS系統組成10.2位置服務技術原理10.2.2LBS系統工作主要流程（1）用戶通過移動終端發出位置服務申請；（2）該申請經過電信的各種通信網關后，為位置服務中心所接受；（3）經審核認證，服務中心調用定位系統獲得用戶的位置信息（用戶若配有GPS等主動定位設備，這時可通過無線網絡主動將位置參數發送給服務中心）；（4）服務中心根據用戶的位置，對服務內容進行響應，如發送路線圖.10.2位置服務技術原理10.2位置服務技術原理LBS系統工作流程

作為地理信息系統領域的重要組成部分，LBS是移動計算環境下的GIS(MobileGIS)，是一種特殊類型的GIS，同時也是與普通大眾日常生活結合最為緊密的GIS領域。地理信息系統（GIS）是獲取，處理，管理和分析地理空間數據的重要工具和技術。10.3GIS地理信息系統從技術和應用的角度，GIS是解決空間問題的工具、方法和技術；從功能上，GIS具有空間數據的獲取、存儲、現示、編輯、處理、分享、輸出和應用等功能。凡是和空間位置相關的應用都可以采用GIS技術。10.3GIS地理信息系統地理信息系統的任務就是采集、存儲、管理、分析和顯示地球空間信息。它是以數字化的形式反映人類社會賴以生存的地球空間的現勢和變遷的各種空間數據以及描述這些空間數據特征的屬性，以模擬化的方法來模擬地球空間對象的行為，在計算機軟、硬件的支持下，以特定的格式支持輸入/輸出、存貯、顯示以及進行地理空間信息查詢、綜合分析、輔助決策的有效工具。10.3GIS地理信息系統GIS的主要特點有：（1）空間可視化空間可視化是指具有空間屬性信息的有形無形地物以可見的圖形圖像形式表達出來，到達其空間信息直觀可視的目的。(2)空間分析空間分析是GIS強大空間功能的體現。主要包括緩沖區分析、疊加分析、各種空間模擬等。空間分析需要專題元素模型、空間地學模型的支持。10.3GIS地理信息系統(3)空間思維空間思維是指GIS通過其功能引導決策者從空間信息的角度考慮分析問題，引導決策者從合理利用空間資源的出發點對問題進行分析解決。在資源管理、社會經濟活動和人們生活中，有80%以上的信息屬于具有空間位置特性的地理信息。10.3GIS地理信息系統無線移動用戶迫切想知道她當時所處環境的信息，比如，“我在哪兒？”“我附近是什么？”“我怎么能到達目的地？”“我要找的人現在在何處？”等，是任何一個移動用戶到一個陌生環境中經常要問的首要問題。10.3GIS地理信息系統10.3.1移動GIS移動GIS，是以移動互聯網為支撐、以智能手機或平板電腦為終端、結合北斗、GPS或基站為定位手段的GIS系統。相較于傳統的WEBGIS、桌面GIS，移動GIS的核心技術并沒有什么大的不同，依然是空間數據的存儲、索引、瀏覽交互、編輯、分析等，只是在移動設備上需要更多地考慮各種算法效率、服務端的通信交互、以及與其他信息的集成；

10.3GIS地理信息系統

移動端與服務端通信通常有兩種模式：1，socket通信需要在移動端和服務端分別寫socket客戶端程序和socket服務端程序，自行定義傳輸信息的內容格式，這種模式的優點是通信效率高、一直連線、易實現服務器的信息下達，缺點是通用性不好、較復雜；10.3GIS地理信息系統2，Http通信服務端以WEB服務的方式對外發布服務，移動端以Http請求的方式獲取服務端的信息，并能上傳信息至服務端，可以是KVP、SOAP或REST服務的方式，在移動端較常用的是KVP方式，通信的數據內容通常采用XML或JSON來描述。具體選擇哪種交互方式，根據具體項目需求而定；

10.3GIS地理信息系統當前主流的移動GIS開發組件有UCMap，UCMap支持矢量和瓦片地圖，支持在線和離線，在各行業得到廣泛應用，如管線巡檢、城管巡查、移動執法、林業普查、水利普查、應急聯動、農業測土配方、國土監察、實時交通、路政巡查、移動氣象、地震速報、煙草物流、軍事指揮、移動測繪、無線電監測、移動環保、LBS服務等。

10.3GIS地理信息系統10.3GIS地理信息系統移動GIS

LBS信息系統的開發工具可選用MapInfoMapX。MapX是一個基于ActiveX(OCX)技術的可編程控件。是MapInfo公司在嵌入式GIS開發領域的主打產品。MapX的主要功能包括：顯示MapInfo格式的地圖：對地圖進行放大、縮小、漫游、選擇等操作；專題地圖；圖層控制；數據綁定；動態圖層和用戶繪圖圖層；生成和編輯地圖對象；簡單地理查詢；邊界查詢，地址查詢。10.3GIS地理信息系統10.3.2定位技術定位技術是LBS的核心，移動定位技術是利用無線移動通信網絡，通過對接收到的無線電波的一些參數進行測量，根據特定的算法對某一移動終端或個人在某一時間所處的地理位置進行精確測定，以便為移動終端用戶提供相關的位置信息服務，或進行實時的監測和跟蹤。10.3GIS地理信息系統

目前全球范圍內普遍使用的移動定位技術主要有四種：分別是①CELL-ID基于移動網絡的CELL-ID（起源蜂窩小區），基站控制站會將用戶所在基站扇區的CELL-ID傳送給移動交換中心可以用這個網絡標志來確定移動終端的位置。10.3GIS地理信息系統②TOA/TDOA技術TOA(TimeofArrival)是使用到達時間定位技術，移動終端發射測量信號到達3個以上的基站，通過測量到達所用的時間|須保證時間同步,并施以特定算法的計算，實現對移動終端的定位。TDOA(TimeDifferenceofArrival)技術（到達時間差定位技術）是使用EOTO（增強型觀測時間差分）技術；10.3GIS地理信息系統10.3GIS地理信息系統TOA技術

TDOA技術

③基于終端的GPS定位技術；④網絡與終端混合的A-GPS技術。定位的精度，根據采用不同技術，從幾十米到二百米，基本可以滿足普通用戶的要求。通過在現有的移動通訊網絡中增加一個網絡節點——移動定位中心（MLC,MobileLocationCenter）,就可以實現基于手機的定位業務。10.3GIS地理信息系統現有的LBS定位技術主要有兩種，一是基于GPS技術，二是基于基站定位技術。目前手機室外定位最高國際技術標準，是由美國FCC(美國聯邦通訊委員會)所制定的，按此標準，定位精確度在50米以內的準確率達到67%，定位精度在150米以內的準確率需達到95%即為合格。

10.3GIS地理信息系統10.3GIS地理信息系統各種定位技術的比較

10.4隱私保護“隱私”這一詞源于英文Privacy，又被稱為私生活秘密，是指私人生活安寧不受他人非法干擾,私人信息保密不受他人非法搜集和公開等。自1890年美國法學家布蘭蒂斯和華倫首次提出隱私權(therighttoprivacy)概念至今，一般都認為它是一項獨立的人格權，它的主體只限于自然人，其客體是隱私，包括個人信息、私人活動和個人領域；其內容包括隱私的隱瞞權、維護權、利用權和支配權。10.4隱私保護10.4.1隱私的定義1.隱私的定義簡單地說，隱私就是個人、機構等實體不愿意被外部世界知曉的信息。在具體應用中，隱私即為數據所有者不愿意被披露的敏感信息，包括敏感數據以及數據所表征的特性。通常我們所說的隱私都指敏感數據，如個人的薪資、病人的患病記錄、公司的財務信息等。

10.4隱私保護

從隱私所有者的角度而言，隱私可以分為兩類：1）個人隱私（Individualprivacy）：任何可以確認特定個人或與可確認的個人相關、但個人不愿被暴露的信息，都叫做個人隱私，如身份證號、就診記錄等。2）共同隱私（Corporateprivacy）：共同隱私不僅包含個人的隱私，還包含所有個人共同表現出但不愿被暴露的信息。如公司員工的平均薪資、薪資分布等信息。10.4隱私保護2.隱私的度量數據隱私的保護效果是通過攻擊者披露隱私的多寡來側面反映的。現有的隱私度量都可以統一用“披露風險”（DisclosureRisk）來描述。披露風險表示攻擊者根據所發布的數據和其它背景知識（BackgroundKnowledge），可能披露隱私的概率。通常，關于隱私數據的背景知識越多，披露風險越大。10.4隱私保護10.4.2網絡隱私權1、網絡隱私權的界定網絡隱私權并非一種完全新型的隱私權,而是作為隱私權在網絡空間的延伸。通常認為網絡隱私權是指在網絡環境中，公民享有私人生活安寧和私人信息依法受到保護，不被他人非法侵犯、知悉、搜集、利用或公開的一種人格權。10.4隱私保護2、網絡隱私權的內容個人信息、私人生活安寧、私人活動與私人領域是網絡隱私包含的重要內容,其中尤以個人信息最為重要。個人信息，又被稱為個人識別資料。結合我國的實際，通常包括姓名、性別、年齡、電話號碼、通訊地址、血型、民族、文化程度、婚姻家庭狀況、病史、職業經歷、財務資料、犯罪記錄等內容，在網絡環境中的個人信息是以個人數據的形式存在。10.4隱私保護3、網絡個人(數據)信息隱私權的內容網絡個人(數據)信息隱私權的內容具體包括：(1)知情權(2)選擇權(3)控制權(4)安全請求權10.4隱私保護4、其它此外，網絡隱私權還應包括個人有權按照自己的意志在網上從事或不從事某種與社會公共利益無關的活動(如網上交易、通信、下載文件等)，不受他人的干擾、干涉、破壞或支配。任何人包括網絡服務商、不得不當侵入他人的網絡空間和窺視、泄漏他人的私事。10.4隱私保護10.4.3侵犯網絡隱私權的主要現象1、大量的網站通過合法的手段(要求用戶填寫注冊表格)或者是隱蔽的技術手段搜集到網絡用戶的個人信息，由于缺少強有力的外部監督，網站可能不當使用個人信息(如共享、出租或轉售)從而泄露用戶的個人資料。10.4隱私保護2、由于利益的驅使，網絡中產生了大批專門從事網上調查業務的公司，進行窺探業務，非法獲取、利用他人的隱私。此類公司使用具有跟蹤功能的cookie工具瀏覽和定時跟蹤用戶站上所進行的操作、自動記錄用戶訪問的站點和內容，從而建立龐大的資料庫。任何機構和個人只需支付低廉的費用，都可以獲取他人詳細的個人資料。10.4隱私保護3、有些軟件和硬件廠商開發出的各種互聯網跟蹤工具。用于收集用戶的隱私，加之網站出于經濟利益考慮、對于此類行為有時會聽之任之，使得人們在網絡上就像生活在透明玻璃缸里的金魚，已經沒有隱私可言。10.4隱私保護4、黑客(Hacker)未經授權進入他人系統收集資料或打擾他人安寧，截獲或復制他人正在傳遞的電子信息。竊取和篡改網絡用戶的私人信息，甚至制造、傳播計算機病毒，破壞他人的計算機系統，從而引發了個人數據隱私權保護的法律問題。10.4隱私保護5、某些網絡的所有者或管理者甚至是政府機構都可能通過網絡中心監視或竊聽局域網內的其他電腦，監控網內人員的電子郵件。6、公民個人缺乏隱私權的法律意識，未經授權在網絡上公開或轉讓他人或自己和他人之間的隱私。10.4隱私保護10.4.4侵犯網絡隱私權主要技術手段1.利用在線注冊收集隱私信息2.利用IP地址跟蹤用戶的位置或行蹤3.利用Cookies文件收集用戶的隱私信息4.利用特洛依木馬病毒竊取隱私信息5.利用嵌入式軟件收集隱私信息6.利用Webbeacons竊取隱私信息7利用篡改網頁收集隱私信息10.4隱私保護10.4.5網絡隱私權的相關法律保護我國《計算機信息網絡國際聯網安全保護管理辦法》第7條規定：“用戶的通信自由和通信秘密受法律保護。任何單位和個人不得違反法律規定，利用國際聯網侵犯用戶的通信自由和通信秘密。”《計算機信息網絡國際聯網管理暫行規定實施辦法》第18條規定：“不得擅自進入未經許可的計算機系統，篡改他人信息，冒用他人名義發出信息，侵犯他人隱私。”10.4隱私保護10.4.6隱私保護技術隱私保護技術需要在保護數據隱私的同時不影響數據應用。根據采用技術的不同，出現了數據失真、數據加密、限制發布等隱私保護技術。1.隱私保護技術分類沒有任何一種隱私保護技術適用于所有應用。一般將隱私保護技術分為三類：10.4隱私保護1）基于數據失真（Distorting）的技術：使敏感數據失真但同時保持某些數據或數據屬性不變的方法。例如，采用添加噪聲（AddingNoise）、交換（Swapping）等技術對原始數據進行擾動處理，但要求保證處理后的數據仍然可以保持某些統計方面的性質，以便進行數據挖掘等操作10.4隱私保護2）基于數據加密的技術：采用加密技術在數據挖掘過程中隱藏敏感數據的方法。多用于分布式應用環境中，如安全多方計算（SecureMultipartyComputation，SMC）。3）基于限制發布的技術：根據具體情況有條件地發布數據。如：不發布數據的某些域值，數據泛化（Generalization）等。10.4隱私保護2.隱私保護技術的性能評估隱私保護技術需要在保護隱私的同時，兼顧對應用的價值以及計算開銷。通常從以下三方面對隱私保護技術進行度量：1）隱私保護度：通常通過發布數據的披露風險來反映，披露風險越小，隱私保護度越高。10.4隱私保護2）數據缺損：是對發布數據質量的度量，它反映通過隱私保護技術處理后數據的信息丟失：數據缺損越高，信息丟失越多，數據利用率（Utility）越低。具體的度量有：信息缺損（InformationLoss）、重構數據與原始數據的相似度等。10.4隱私保護3）算法性能：一般利用時間復雜度對算法性能進行度量。均攤代價（AmortizedCost）是一種類似于時間復雜度的度量，它表示算法在一段時間內平均每次操作所花費的時間代價。除此之外，在分布式環境中，通訊開銷（CommunicationCost）也常常關系到算法性能，常作為衡量分布式算法性能的一個重要指標。10.4隱私保護3.物聯網隱私保護技術在物聯網發展過程中,大量的數據涉及到個體隱私問題(如個人出行路線、消費習慣、個體位置信息、健康狀況、企業產品信息等)],物聯網會得到廣泛應用必備的條件之一便是保護隱私。如果無法保護隱私，物聯網可能面臨由于侵害公民隱私權從而無法大規模商用化。因此隱私保護是必須考慮的一個問題。10.4隱私保護業務應用常依賴地點作為判定決策的參變量，手機用戶通過手機查詢遠程數據庫，尋找的離自己最近的事件地點，例如，火車站、加油站等。這項業務依賴當時用戶所處的地點。但是，使用手機查詢的客戶卻不希望泄露自己的地理位置，從而保護自己不受到跟蹤。10.4隱私保護保護用戶的地點隱私就成為普適計算應用的重要問題之一。這個問題可以敘述為使用用戶的地點信息，但是不把地點信息透漏給服務的提供者或者第三方。這類隱私保護問題可以采用計算幾何方法解決。在移動通信的場景下，對于地點以及2G／3G移動系統的身份隱私問題，可以使用安全多方計算解決空間控制和地點隱私的方案，隱私保護協議描述為三路身份認證。10.4隱私保護同樣，在近距離通信環境中，RFID芯片和RFID閱讀器之間通信時，由于RFID芯片使用者的距離和RFID閱讀器太近,以至于閱讀器的地點無法隱藏.保護使用者的地點的惟一方法便是使用安全多方計算的臨時密碼組合保護并隱藏RFID的標識。10.4隱私保護從技術角度看,當前隱私保護技術主要有2種方式:1)采用匿名技術,主要包括基于代理服務器、路由和洋蔥路由的匿名技術。2)采用署名技術,主要是P3P技術即隱私偏好平臺。然而P3P僅僅是增加了隱私政策的透明性,使用戶可以清楚地知道個體的何種信息被收集、用于何種目的以及存儲多長時間等,其本身并不能保證使用它的各個web站點是否履行其隱私政策。10.4隱私保護

除了上述2種方式外,隱私保護技術還有2個主要的發展方向:一是對等計算(peertopeer,P2P),指通過直接交換共享計算機資源和服務;二是語義web,語義web是通過規范定義和組織信息內容,使之具有語義信息,能被計算機理解,從而實現與人的溝通。

10.5基于位置服務的隱私保護隱私保護不是指要保護用戶的個人信息不被他人使用，而是指用戶對個人信息進行有效控制的權利。位置信息是一種特殊的個人隱私信息，對其進行保護就是要給予所涉及的個人決定和控制自己所處位置的信息何時、如何及在何種程度上被他人獲知的權利。10.5基于位置服務的隱私保護目前，已有多種針對LBS中用戶位置信息的隱私保護方法，如通過立法或行業規范的方式進行保護、通過匿名的方式進行保護、通過區域模糊的方式進行保護、通過隱私策略的方式進行保護等。用戶分別設置相應的隱私策略來保護個人的隱私成為目前眾多隱私信息保護方法中最有效的方法之一。10.5基于位置服務的隱私保護10.5.1隱私保護問題1.應用分類根據服務面向對象不同，基于位置的服務可以分為面向用戶和面向設備兩種。兩種服務的主要區別在于，面向用戶的基于位置的服務，用戶對服務擁有主控權；面向設備的基于位置的服務，用戶或物品屬于被動定位，對服務無主控權。10.5基于位置服務的隱私保護2.基于位置的服務與隱私很多調查研究顯示，消費者非常關注個人隱私保護。歐洲委員會通過的《隱私與電子通信法》中對于電子通信處理個人數據時的隱私保護問題給出了明確的法律規定。明確指出位置數據只有在匿名或用戶同意的前提下才能被有效并必要的服務使用。這突顯了位置隱私保護的重要性與必要性。

10.5基于位置服務的隱私保護3.隱私泄露基于位置服務中的隱私內容涉及兩個方面：位置隱私和查詢隱私。位置隱私中的位置指用戶過去或現在的位置；查詢隱私指涉及敏感信息的查詢內容，如查詢距離我最近的艾滋病醫院。任何一種隱私泄露，都有可能導致用戶行為模式、興趣愛好、健康狀況和政治傾向等個人隱私信息的泄露。所以，位置隱私保護即防止用戶與某一精確位置匹配；類似地，查詢隱私保護要防止用戶與某一敏感查詢匹配。10.5基于位置服務的隱私保護4.位置服務VS隱私保護我們似乎正面臨一個兩難的抉擇。一方面，定位技術的發展讓我們可以隨時隨地獲得基于位置的服務；而另一方面，位置服務又將泄露我們的隱私……當然，你可以放棄隱私，獲得精確的位置，享受完美的服務；或者，你可以關掉定位設備，為了保護隱私而放棄任何位置服務。是否存在折中的方法，即在保護隱私的前提下享受服務呢？可以，位置隱私保護研究所做的工作就是要在隱私保護與享受服務之間尋找一個平衡點。10.5基于位置服務的隱私保護10.5.2隱私保護方法為對LBS服務中的用戶位置隱私進行保護，整個使用過程分為2部分：訪問權限設置和訪問控制決策。首先，所有某一位置信息相關的隱私相關者設置相對于該位置信息對所有信息請求者的訪問權限。通過權限的設置，隱私相關者可以設置哪些信息請求者、可以在什么環境下(如時間、地點等)獲取該位置信息的全部或某些部分。

10.5基于位置服務的隱私保護在訪問控制矩陣中設置了所有的權限之后，訪問決策部分對訪問請求者提出的具體的訪問請求按照矩陣中的設置做出具體的允許或拒絕訪問的決策。在每次信息訪問請求者提出訪問位置信息的請求時，系統中的訪問控制決策機制將查詢設置在三維訪問控制矩陣中的隱私權限，并根據隱私權限確定允許或拒絕訪問請求。10.5基于位置服務的隱私保護

下面將介紹在基于位置服務中的三種基本的隱私保護方法。1.假位置第一種方法是通過制造假位置達到以假亂真的效果。如在下圖中，用戶尋找最近的餐館。白色方塊是餐館位置，紅色點是用戶的真實位置。當該用戶提出查詢時，為其生成兩個假位置，即啞元（如圖中的黑色點）。真假位置一同發送給服務提供商。從攻擊者的角度，同時看到三個位置，無法區分哪個是真實的哪個是虛假的。10.5基于位置服務的隱私保護假位置

10.5基于位置服務的隱私保護2.時空匿名第二種方法是時空匿名，即將一個用戶的位置通過在時間和空間軸上擴展，變成一個時空區域，達到匿名的效果。以空間匿名為例，延續上圖尋找餐館的例子，當用戶提出查詢時，用一個空間區域表示用戶位置，如下圖中的紅色框。從服務提供商角度只能看到這個區域，無法確定用戶是在整個區域內的哪個具體位置上。10.5基于位置服務的隱私保護

時空匿名

10.5基于位置服務的隱私保護3.空間加密第三種方法是空間加密，即通過對位置加密達到匿名的效果。繼續前面的例子，首先將整個空間旋轉一個角度（如圖10.10），在旋轉后的空間中建立希爾伯特（Hilbert）曲線。每一個被查詢點P（即圖10.10中的白色方塊）對應的希爾伯特值如該點所在的方格數字所示。10.5基于位置服務的隱私保護當某用戶提出查詢Q時，計算出加密空間中Q的希爾伯特值。在此例子中，該值等于2。尋找與2最近的希爾伯特值所對應的P，即P1。將P1返回給用戶。由于服務提供商缺少密鑰，在此例子中即旋轉的角度和希爾伯特曲線的參數，故無法反算出每一個希爾伯特值的原值，從而達到了加密的效果。10.5基于位置服務的隱私保護加密

10.5基于位置服務的隱私保護4.感知隱私的查詢處理在基于位置的服務中，隱私保護的最終目的仍是為了查詢處理，所以需要設計感知隱私保護的查詢處理技術。根據采用匿名技術的不同，查詢處理方式也不同：如果采用的是假數據，則可采用移動對象數據庫中的傳統查詢處理技術，因為發送給位置數據庫服務器的是精確的位置點。10.5基于位置服務的隱私保護如果采用時空匿名，由于查詢處理數據變成了一個區域，所以需要設計新的查詢處理算法。這里的查詢處理結果是一個包含真實結果的超集。如果采用空間加密技術，查詢處理算法與使用的加密協議有關。10.5基于位置服務的隱私保護5.隱私度與效率對比從匿名效率和隱私度兩方面對上述三種隱私保護方法進行對比，可以看出加密是安全度最高的方法，但是加密解密效率較低；生成假數據的方法最簡單、高效但隱私保護度較低，可根據用戶長期的運動軌跡判斷出哪些是假數據；從已有的工作來看，時空匿名在隱私度與效率之間取得了較好的平衡，也是普遍使用的匿名方法。

10.5基于位置服務的隱私保護隱私度與效率對比

10.5基于位置服務的隱私保護6.存在的挑戰（1.）隱私保護與位置服務是一對矛盾；（2）基于位置服務的請求，具有在線處理的特點，故位置匿名具有實時性要求；（3）基于位置服務中的對象，位置頻繁更新；（4）不同用戶的隱私要求大相徑庭，所以隱私保護需要滿足個性化的需求。10.5基于位置服務的隱私保護10.5.3隱私保護系統結構隱私保護系統基本實體包括移動用戶和位置服務提供商，它具有如下有四種結構：獨立結構、中心服務器結構、主從分布式結構和移動點對點結構。1.獨立式結構獨立結構是僅有客戶端（或者移動用戶）與位置服務器的客戶端/服務器（Client/Server，C/S）結構。由移動用戶自己完成匿名處理和查詢處理的工作。該結構簡單，易配置，但是增加了客戶端負擔，并且缺乏全局信息，隱私的隱秘性弱。10.5基于位置服務的隱私保護2.中心服務器結構與獨立結構相比，中心服務器結構在移動用戶和服務提供商之間加入了第三方可信匿名服務器，由它完成匿名處理和查詢處理工作。該結構具有全局信息，所以隱私保護效果較上一種好。但是由于所有信息都匯聚在匿名服務器，故可能成為系統處理瓶頸，且容易遭到攻擊。10.5基于位置服務的隱私保護3.主從分布式結構為了克服中心服務器的缺點，研究人員提出了類似主從分布式結構。移動用戶通過一個固定的通信基礎設施（如基站）進行通信。基站也是可信的第三方，與前者的區別在于它只負責可信用戶的認及將所有認證用戶的位置索引發給提出匿名需求用戶。位置匿名和查詢處理由用戶或者匿名組推舉的頭節點完成。該結構的缺點是網絡通信代價高。10.5基于位置服務的隱私保護4.移動點對點結構移動點對點結構與分布式結構工作流程類似，惟一不同的是它沒有固定的負責用戶認證的通信設施，而是利用多跳路由尋找滿足隱私需求的匿名用戶。所以它擁有與分布式結構相同的優缺點

10.5基于位置服務的隱私保護10.5.4隱私保護研究內容1.隱私保護模型k-匿名是隱私保護中普遍采用的方法。位置k-匿名的基本思想是讓一個用戶的位置與其他（k-1）用戶的位置無法區別。以位置3-匿名為例（如下圖），將三個單點用戶用同一個匿名區域表示，攻擊者只知道在此區域中有3個用戶，具體哪個用戶在哪個位置，無法確定，達到了位置隱私保護目的。10.5基于位置服務的隱私保護位置3匿名

10.5基于位置服務的隱私保護2.基于四分樹的隱私保護方法最早的匿名算法是基于四分樹的隱私保護方法。它解決了面對大量移動用戶高效尋找滿足位置k-匿名模型的匿名集的問題。其解決方法是：自頂向下地劃分整個空間，如果提出查詢的用戶所在的區域的用戶數大于ｋ，將整個空間等分為4份，重復這一步，直至用戶所在的區域所包含的用戶數小于ｋ，返回四分樹的上一層區域，將其作為匿名區域返回。10.5基于位置服務的隱私保護基于四分樹的匿名方法

10.5基于位置服務的隱私保護3.個性化隱私需求匿名方法在隱私保護中，不同的用戶有不同的位置k-匿名需求，因此需要解決滿足用戶個性化隱私需求的位置k-匿名方法。其解決方法是利用圖模型形式化定義此問題，并把尋找匿名集的問題轉化為在圖中尋找k-點團的問題。10.5基于位置服務的隱私保護下圖中，點是用戶提出查詢時的位置，k表示用戶的最小隱私需求，圓圈代表用戶可接受的最差服務質量。當新的對象m到達時，根據用戶的隱私和質量要求，更新已有圖，并找出m所在團。將覆蓋該團所有點的最小邊界矩形作為匿名區域返回。10.5基于位置服務的隱私保護個性化隱私需求匿名方法

10.5基于位置服務的隱私保護4.連續查詢隱私保護前面的隱私保護工作都是針對Snapshot查詢類型。如果將現有的匿名算法直接應用于連續查詢隱私保護將產生查詢隱私泄露。如下圖所示，系統中存在6個用戶{A,B,C,D,E,F}。攻擊者知道存在連續查詢，但并不知道連續查詢是什么，以及是由誰提出的。在3個不同時刻ti、ti+1、ti+2，用戶A形成了3個不同的匿名集，即{A,B,D}、{A,B,F}、{A,C,E}。將三個匿名集取交，即可獲知是用戶A提出的查詢Q1。10.5基于位置服務的隱私保護連續查詢隱私保護技術

10.5基于位置服務的隱私保護5.感知查詢差異性的隱私保護位置k-匿名模型只能防止用戶與查詢建立關聯，但不能切斷用戶與查詢內容之間的關聯。下圖顯示的是在位置匿名后發布的匿名位置和查詢，符合位置3匿名。但是，攻擊者可以確定，位置落于的第一個匿名集中的用戶，一定患了某種疾病。10.5基于位置服務的隱私保護查詢隱私泄露

10.5基于位置服務的隱私保護解