护时空匿名的基本原理时空匿名的实现方法时空匿名内容隐私的攻击与防护时空匿名位置隐私的攻击时空匿名的位置隐私保护问题的提出第三章移动对象数据的推理分析方法基于概率统计的推理分析方法基于人工神经网络的方法基于贝叶斯网络的方法基于线性回归的方法基于数据挖掘的推理分析方法序列模式的方法序列规则的方法时空关联规则的方法问题的提出第四章基于多步转移概率矩阵的敏感区多级推理攻击马尔科夫链多步转移概率矩阵数据归化处理简单预测推理多步预测推理进入敏感区算法离开敏感区算法第五章实验结果及分析实验数据的模拟生成轨迹数据模拟生成时空匿名数据快照匿名集数据生成序列匿名集数据匿名集数据的序列规则挖掘多步推理攻击实攻击。数据处理前后的结果对比如图所示。处理前处理后图原始轨迹数据与处理数据对比图阻止数据连接通过上述的重标识攻击原理可知，轨迹或查询请求中包含的空间信息的跟踪连接实际上是重标识攻击的基础。因此，些学者提出了通过阻止轨迹或查询请求中包含的空间信息跟踪连接，进行重标识攻击防护的系列方法。和借鉴计算机匿名通信中算法思想，首先提出了在特定空时区域动态交换假名标识的方法。方法的基本实现原理如图所示。个被定义为不提供服务的个空间区域。当同中存在多个用户时，他们彼此进行假名交换，而且当他们离开这个时，他们就以新的假名身份使用服务。这样就会使得攻击者很难建立进出的用户的连接。万方数据南京邮电大学硕士研究生学位论文第二章隐私的攻击及保护技术图原理图提出了的优化放置方法为对每个可能放置的位置，进行和混合效果的评估，作者基于移动节点的移动性配置文件，提出了种新的混合效果度量方法。由于利用实现的位置隐私，依赖于在网络中放置位置，作者使用组合优化技术分析的优化放置位置。提出了具有动态特性的方法上述两种使用方法的个共同点是，他们都需要用户或系统预先选定空间区域作为实现用户假名交换的。这会在定程度上影响到系统使用的灵活性。为此，和在文献中提出了当用户靠近到特定的阈值范围时，即可彼此交换假名的方法。但是，基于运动模型的位置预测通常又会使这些的阻断方法失效。假设场景如图所示图场景假设图在该场景中，有个用户，这个用户住在同临近区域，并且他们的位置被设备实时追踪。假设，早上点分，所有用户都在家里，攻击者获取了个万方数据南京邮电大学硕士研究生学位论文第二章隐私的攻击及保护技术用户家庭的坐标，但是并不知道对应关系。通常攻击者可以连接外部知识，对用户进行识别。假设，攻击者知道号家庭是的家。当早上点时，攻击者又获取了另外组三个人的坐标，攻击者可以通过运动的些模式速度极限交通模式，推断出对于而言从号位置不可能到达号位置，在点分时只可能出现在号位置。基于时空匿名集的攻击及保护时空匿名的基本原理借鉴微数据发布应用中种非常重要的隐私保护方法匿名化技术的基本思想。提出了用于隐私保护的时空匿名方法以下简称时空匿名，时空匿名方法要求提交给位置服务器的查询请求不能为单的查询用户的标识信息包括假名标识以及精确的空间位置信息和查询时间信息，而应是由查询者假名标识以及时空临近的个对象的假名标识构成的假名标识集合，以及由这的对象的时空信息联合生成的粗粒度的时空区域。使用假名标识集合，使得攻击者既不能对用户的真实身份进行识别，又无法确定是哪个假名标识提出的服务查询，从而实现用户的标识隐私以及查询标识隐私的保护。此外，粗粒度的时空区域信息还可以对用户的位置隐私实现特定级别的保护。基于时空匿名进行隐私保护的系统，通常采用用分布式的系统架构模式，如图所示。图匿名系统结构图系统包括个组成部分服务请求者，时空匿名处理器，服务提供商。服务请求者通常指具有智能嵌入式系统的手机等终端设备的用户，其利用安装的服务客户端软件或嵌入式浏览器软件提出查询的服务请求。时空匿名处理器主要运用在可信的第三方服务平台之上，该功能模块是整个方案的中心，其不仅接受服务请求者的匿名处理请求，还负责与后台服务系统中另外两个模块的万方数据南京邮电大学硕士研究生学位论文第二章隐私的攻击及保护技术数据交互时空匿名处理器向服务提供商提出基于匿名查询的服务请求，然后接受其返回的相应结果并对其进行过滤处理，以获取精确的查询结果。服务提供商的主要功能是根据匿名查询请求，进行相应服务的计算，主要包括网关服务，目录服务，路径服务，地理编码与反编码服务以及展现服务等。相对于传统的针对时空信息精确的服务查询，服务提供商针对匿名查询请求是粗粒度的模糊运算，因此在具体的算法实现上需要进行适当的修改，同时这种粗粒度的模糊运算还会增加对系统资源的消耗。但是，这些问题随着计算机处理技术与网络通信技术的提高，很快得以解决。基于上述功能模块的基本交互流程如下个用户请求服务。时空匿名器接收原始请求和用个假名标识代替提出请求的用户标识。时空匿名器检查请求者的要求，按照设定的匿名算法参数对请求进行匿名处理。原始请求被转换到个“安全的”变量，并且被转发到的服务提供商，由其进行计算以提供相应服务。服务提供商的计算结果集返回给时空匿名处理器。时空匿名处理器对服务提供商返回的结果进行过滤，并将过滤后的数据提交给服务请求者。在该系统架构中均假定匿名服务器是可信服务器，而应用服务器因可能会秘密保存用户的信息，其可能是潜在的隐私攻击者。时空匿名的实现方法网格的方式以及自结盟的方式，是实现时空匿名方法的两类典型方式。基于网格的时空匿名方法，又分为使用简单网格划分与金字塔网格划分。下面我们结合具体实例，对类方法的实现过程进行分析。简单网格划分方法实现步骤依据用户针对其对位置隐私的基本要求，将用户所在的空间区域按照定的空间分辨率划分成系列的矩形或正方形网格只考虑二维空间，而且不考虑时空匿名在时间上的延迟，并对网格进行统编号。如图所示万方数据南京邮电大学硕士研究生学位论文第二章隐私的攻击及保护技术图地区的用户分布图统计所有网格中的用户数，并按照网格中用户的数量进行降序排列。同时，为了标识该网格是否被时空匿名过程占用，增加个属性字段。如表所示。表图对应网格表假定网格中的用户提出了级别的匿名查询，则将表中对应记录的状态设置为，以表示网格被匿名处理过程所占作用。从表中可知，网格中的用户数据只有个，因此需要空间搜寻其他网格中的用户，并进行累加，以满足的匿名要求。空间搜寻的策略可以采用优先搜寻空间临近的网格，例如按照的顺序。此处我们采用优先搜寻用户密集网格的策略，即按照表中的排序，先后选择相应网格，并累加其中的用户数量，直至大于等于。通过分析可知中用户数累加为，满足匿名要求。匿名结果如表和图所示万方数据南京邮电大学硕士研究生学位论文第二章隐私的攻击及保护技术表图对应网格表图匿名结果划分图最后的匿名结果包括匿名网格集合，用户假名标识集合，以及用户提出的查询请求类型，起提交给应用服务器进行对应的空间运算。基于金字塔网格划分的实现步骤将用户所在的空间区域，采用自顶向下的方式逐级划分成系列的网格区域同样，也只考虑二维空间，而且不考虑时空匿名在时间上的延迟，直至最小网格区域保护的用户数达到制定的限值例如，最小网格最少包括个用户。每个网格采用网格的左下角的行列号右上角的行列号进行的编号，例如。最终的划分结果，保存到金字塔数据结构中。如图所示万方数据单位代码密级公开硕士学位论文论文题目基于匿名集时空序列规则的推理攻击方法研究徐亮张海涛空间信息系统空间信息超移动计算与可视化工学硕士学号姓名导师学科专业研究方向申请学位类别论文提交日期万方数据万方数据南京邮电大学学位论文原创性声明本人声明所呈交的学位论文是我个人在导师指导下进行的研究工作及取得的研究成果。尽我所知，除了文中特别加以标注和致谢的地方外，论文中不包含其他人已经发表或撰写过的研究成果，也不包含为获得南京邮电大学或其它教育机构的学位或证书而使用过的材料。与我同工作的同志对本研究所做的任何贡献均已在论文中作了明确的说明并表示了谢意。本人学位论文及涉及相关资料若有不实，愿意承担切相关的法律责任。南京邮电大学学位论文使用授权声明本人授权南京邮电大学可以保留并向国家有关部门或机构送交论文的复印件和电子文档允许论文被查阅和借阅可以将学位论文的全部或部分内容编入有关数据库进行检索可以采用影印缩印或扫描等复制手段保存汇编本学位论文。本文电子文档的内容和纸质论文的内容相致。论文的公布包括刊登授权南京邮电大学研究生院办理。涉密学位论文在解密后适用本授权书。研究生签名日期研究生签名导师签名日期万方数据摘要近年来，时空匿名成为隐私保护研究的个主流方向。研究利用时空匿名数据集的自身关联关系以及时空匿名数据集与相关背景知识的关联关系，进行推理攻击的方法，可为时空匿名方法的隐私保护性能的进步优化奠定基础。传统的推理攻击方法只考虑时空临近的匿名集数据的关联，并未对基于大时空跨度的匿名集关联的问题进行深入分析。这使得传统的时空匿名隐私保护方法，有可能难以有效应对基于大时空跨度的匿名集关联的推理攻击。因此，研究基于大时空范围的匿名集关联分析的推理攻击方法，对设计相应的隐私保护方法具有重要的意义。本文提出研究基于大时空范围匿名集序列规则的预测推理攻击方法，以匿名查询用户进出敏感空间为攻击对象，设计了基于马尔科夫链转移概率矩阵的针对时空敏感区的多步预测推理攻击算法，并通过实验分析了算法的性能。本论文的主要研究成果如下对现有推理攻击方法以及相应的保护方法进行分类，并对经典的隐私保护方法进行详细的描述与特征分析。针对传统的推理方法不易从大时空范围匿名集数据快速发现显著特征模式难以处理复杂模式等缺点，提出融合概率统计与数据挖掘两种典型推理技术马尔科夫链与序列规则，实现针对匿名集中敏感时空区域的多步预测推理攻击算法。通过实验对算法性能进行量化评估，结果证明算法具有模型结构建立速度快，多步预测推理概率与真实概率的近似度可灵活调节等优点，具有可用性。关键词时空关联规则，序列规则，推理攻击，转移概率矩阵万方数据