《2019年物联网安全2019第4章隐私安全ppt课件》由会员分享，可在线阅读，更多相关《2019年物联网安全2019第4章隐私安全ppt课件（85页珍藏版）》请在金锄头文库上搜索。
1、第四章 隐私安全,4.1 隐私定义 4.2 隐私度量 4.3 隐私威胁 4.4 数据库隐私 4.5 位置隐私 4.6 外包数据隐私 4.7 本章小结,本章内容,第四章 隐私安全,基本要求 熟悉隐私的概念和度量 了解隐私的威胁模型和隐私保护方法 熟悉数据隐私、位置隐私、外包数据隐私的概念、威胁模型和保护技术 根据本章文献，参阅一篇感兴趣的文献并总结。,第四章 隐私安全,随着智能手机、无线传感网络、RFID等信息采集终端在物联网中的广泛应用，物联网中将承载大量涉及人们日常生活的隐私信息（如位置信息、敏感数据等），隐私保护问题也显得越来越重要。如不能很好地解决隐私保护问题，人们对隐私泄露的担忧势必成
2、为物联网推行过程的最大障碍之一。 本章将介绍隐私的概念、度量、威胁；重点介绍数据库隐私、位置隐私和数据隐私等的相关内容。,4.1 隐私的定义,什么是隐私？ 据文献记载，隐私的词义来源于西方，一般认为最早关注隐私权的文章是美国人沃论（Samuel DWarren）和布兰戴斯（Louis DBrandeis）发表的隐私权（The Right to Privacy）。 2019年全国人大起草民法典草案，对隐私权保护的隐私做了规定，包括私人信息、私人活动、私人空间和私人的生活安宁等四个方面。 王利明教授在隐私权的新发展中指出“隐私是凡个人不愿意对外公开的、且隐匿信息不违反法律和社会公共利益的私人生活秘
3、密，都构成受法律保护的隐私”。,6,4.1 隐私的定义,什么是隐私？ 狭义的隐私是指以自然人为主体而不包括商业秘密在内的个人秘密。 广义隐私的主体是自然人与法人，客体包括商业秘密。 简单来说，隐私就是个人、机构或组织等实体不愿意被外部世界知晓的信息。在具体应用中，隐私为数据拥有者不愿意被披露的敏感信息，包括敏感数据以及数据所表征的特性，如个人的兴趣爱好、身体状况、宗教信仰、公司的财务信息等。,7,4.1 隐私的定义,隐私分类 个人隐私（Individual privacy）：一般是指数据拥有者不愿意披露的敏感信息，如个人的兴趣爱好、健康状况、收入水平、宗教信仰和政治倾向等。在个人隐私的概念中主
4、要涉及4个范畴：信息隐私、收集和处理个人数据的方法和规则，如个人信用信息、医疗和档案信息，信息隐私也被认为数据隐私；人身隐私，对涉及侵犯个人物理状况相关信息，如基因测试等；通信隐私，邮件、电话、电子邮件以及其它形式的个人通信的信息；空间信息，对干涉自有地理空间的制约，包括办公场所、公共场所，如搜查、跟踪、身份检查等。,8,4.1 隐私的定义,隐私分类 共同隐私（Corporate privacy: 共同隐私不仅包含个人隐私，还包含所有个人共同表现出来但不愿被暴露的信息，如公司员工的平均薪资、薪资分布等信息。,什么是隐私权？,隐私权：个人信息的自我决定权 ，包含个人信息、身体、财产或者自我决定等
5、。 物联网与隐私 不当使用会侵害隐私 恰当的技术可以保护隐私,4.1 隐私的定义,10,4.2 隐私度量,4.2.1 隐私度量的概念 隐私度量是指用来评估个人的隐私水平及隐私保护技术应用于实际生活中能达到的效果，同时也为了测量“隐私”这个概念。 本书主要从数据库隐私、位置隐私、数据隐私三个方面介绍隐私度量方法及标准,11,4.2 隐私度量,4.2.2 隐私度量标准 数据库隐私度量标准 隐私保护度。通常通过发布数据的披露风险来反映。披露风险越小，隐私保护度越高。 数据的可用性。对发布数据质量的度量，它反映通过隐私保护技术处理后数据的信息丢失。数据缺损越高，信息丢失越多，数据利用率越低。,12,4
6、.2 隐私度量,4.2.2 隐私度量标准 位置隐私度量标准 隐私保护度。通常通过位置隐私的披露风险来反映。披露风险越小，隐私保护度越高。 服务质量。用于衡量隐私算法的优劣，在相同的隐私保护度下，服务质量越高说明隐私保护算法越好。一般情况下，服务质量由查询响应时间、计算和通信开销、查询结果的精确性等来衡量。,13,4.2 隐私度量,4.2.2 隐私度量标准 数据隐私度量标准 机密性。数据必须按照数据拥有者的要求保证一定的秘密性，不会被非授权的第三方非法获知。 完整性。完整性是指信息安全、精确与有效，不因为人为的因素而改变信息原有的内容、形式和流向，即不能被未授权的第三方修改。 可用性。保证数据资
7、源能够提供既定的功能，无论何时何地，只要需要即可使用，而不因系统故障和误操作等使资源丢失或妨碍对资源的使用。,14,4.3 隐私威胁,4.3.1 隐私威胁模型 用户在网络中使用数据库、位置服务、数据等资源时，会在网络中留下大量的个人信息，而网络实体、服务提供商以及网络侦听者等都可能是不可信。它们 会通过这些个人遗留在网络中的信息，推理用户的个人敏感信息，对用户的隐私构成严重的威胁。 为了保护个人隐私，需要保护用户的私人数据不被泄露给不可信的第三方。,15,4.3 隐私威胁,4.3.2 隐私保护技术 数据库隐私保护技术 基于数据失真的技术。使敏感数据失真但同时保持某些数据或数据属性不变的方法。如
8、采用添加噪声、交换等技术对原始数据进行扰动处理，但要求保证处理后的数据仍然可以保持某些统计方面性质，以便进行数据挖据等操作。 基于数据加密的技术。采用加密技术在数据挖掘过程中隐藏敏感数据的方法，多用于分布式应用环境，如安全多方计算,16,4.3 隐私威胁,4.3.2 隐私保护技术 位置隐私保护技术 基于隐私保护策略的技术。通过制定一些常用的隐私管理规则和可信任的隐私协定来约束服务提供商能公平、安全的使用个人位置信息。 基于匿名和混淆技术的技术。利用匿名和混淆技术分隔用户身份标识和其所在的位置信息、降低用户位置信息的精度以达到隐私保护的目的。 基于空间加密的方法。通过对位置加密达到匿名的效果。,
9、17,4.3 隐私威胁,4.3.2 隐私保护技术 数据隐私保护技术 支持计算的加密技术。是一类能满足支持隐私保护的计算模式（如算数运算、字符运算等）的要求，通过加密手段保证数据的机密性，同时密文能支持某些计算功能的加密方案的统称。 支持检索的加密技术。指数据在加密状态下可以对数据进行精确检索和模糊检索，从而保护数据隐私的技术。,18,4.4 数据库隐私,4.4.1 基本概念和威胁模型 隐私保护技术集中在数据挖掘和数据发布两个领域 数据挖掘中的隐私保护 。是如何在保护用户隐私的前提下，能进行有效的数据挖掘。 数据发布中的隐私保护。是如何在保护用户隐私的前提下，发布用户的数据以供第三方有效的研究和
10、使用。,19,4.4 数据库隐私,4.4.2 数据库隐私保护技术 基于数据失真的隐私保护技术 通过扰动原始数据来实现隐私保护，扰动后的数据满足： 攻击者不能发现真实的原始数据。 经过失真处理后的数据要能够保持某些性质不变,20,4.4 数据库隐私,4.4.2 数据库隐私保护技术 基于数据失真的隐私保护技术 随机化。数据随机化就是在原始数据中加入随机噪声，然后发布扰动后的数据。 随机扰动 随机应答,3-2（a）随机扰动过程,3-2 (b)重构过程,21,4.4 数据库隐私,4.4.2 数据库隐私保护技术 基于数据失真的隐私保护技术 阻塞与凝聚。将原始数据记录分成组，每一组内存储由k条记录产生的统
11、计信息，包括每个属性的均值、协方差等。,22,4.4 数据库隐私,4.4.2 数据库隐私保护技术 基于数据加密的隐私保护技术 安全多方计算。安全多方计算协议是密码学中非常活跃的一个学术领域，有很强的理论和实际意义。它可以被描述为一个计算过程：两个或多个协议参与者基于秘密输入来计算一个函数。安全多方计算假定参与者愿意共享一些数据用于计算。但是，每个参与者都不希望自己的输入被其他参与者或任何三方所知。,23,4.4 数据库隐私,4.4.2 数据库隐私保护技术 基于数据加密的隐私保护技术 安全多方计算。一般来说，安全多方计算可以看成是在具有n个参与者的分布式网络中私密输入x1,x2,xn上的计算函数
12、f(x1,x2,xn)，其中参与者i仅知道自己的输入xi和输出f(x1,x2,xn)，再没有任何其它多余信息。如果假设有可信第三方存在，这个问题的解决十分容易，参与者只需要将自己的输入通过秘密通道传送给可信第三方，由可信第三方计算这个函数，然后将结果广播给每一个参与者即可。但是在现实中很难找到一个让所有参与者都信任的的可信第三方。,24,4.4 数据库隐私,4.4.2 数据库隐私保护技术 基于数据加密的隐私保护技术 分布式匿名化。匿名化就是隐藏数据或数据来源。因为大多数应用都需要对原始数据进行匿名处理以保证敏感信息的安全，并在此基础上进行挖掘、发布等操作。,表4-1 分布式k-匿名算法,25,
13、4.4 数据库隐私,4.4.2 数据库隐私保护技术 基于数据加密的隐私保护技术 分布式关联规则挖掘。在分布式环境下，关联规则挖掘的关键是计算项集的全局计数，加密技术能保证在计算项集计数的同时，不会泄露隐私信息。 分布式聚类。基于隐私保护的分布式聚类的关键是安全的计算数据间距离，有Nave聚类模型两种模式和多次聚类模型，两种模型都利用了加密技术实现信息的安全传输。,26,4.4 数据库隐私,4.4.2 数据库隐私保护技术 基于限制发布隐私保护技术 限制发布是指有选择的发布原始数据、不发布或者发布精度较低的敏感数据以实现隐私保护。当前基于限制发布隐私保护方法主要采用数据匿名化技术，即在隐私披露风险
14、和数据精度之间进行折中，有选择地发布敏感数据及可能披露敏感数据的信息，但保证敏感数据及隐私的披露风险在可容忍的范围内。,27,4.4 数据库隐私,4.4.2 数据库隐私保护技术 基于限制发布隐私保护技术 数据匿名化的基本操作：抑制。抑制某数据项。泛化。即对数据进行更抽象和概括的描述。如把年龄30岁泛化成区间 20,40的形式，因为30岁在区间20,40内。 数据匿名化的原则：数据匿名化处理的原始数据一般为数据表形式，表中每一行是一个记录，对应一个人。每条记录包含多个属性（数据项），这些属性可分为3类,28,4.4 数据库隐私,4.4.2 数据库隐私保护技术 匿名化记录属性 显示标识符（expl
15、icit identifier）。能唯一表示单一个体的属性，如身份证、姓名等。 准标识符（quasi-identifiers）。几个属性联合起来可以唯一标识一个人，如邮编，性别，出生年月等联合起来可能是一个准标识符。 敏感属性（sensitive attribute）。包含用户隐私数据的属性，如疾病、收入、宗教信仰等。,29,4.4 数据库隐私,4.4.2 数据库隐私保护技术 匿名化记录属性,表3-2 某医院原始诊断记录表,30,4.4 数据库隐私,4.4.2 数据库隐私保护技术 匿名化原则 K-匿名。K-匿名方法通常采用泛化和压缩技术对原始数据进行匿名化处理以便得到满足k-匿名规则的匿名数据
16、，从而使得攻击者不能根据发布的匿名数据准确的识别出目标个体的记录。,表4-4 4-匿名数据,31,4.4 数据库隐私,4.4.2 数据库隐私保护技术 匿名化原则 l-diversity。将原始数据中的记录划分成多个等价类，并利用泛化技术使得每个等价类中的记录都拥有相同的准标识符属性，l-diversity规则要求每个等价类的敏感属性至少有l个不同的值。,表4-3 3-diversity,32,4.4 数据库隐私,4.4.2 数据库隐私保护技术 匿名化规则 t-closeness。t-closeness规则要求匿名数据中的每个等价类中敏感属性值得分布接近于原始数据中的敏感属性值的分布，两个分布之间的距离不超过阈值t。 Anatomy规则。Anatomy首先利用原始数据产生满足l-diversity原则的数据划分，然后将结果分成两张数据表发布，一张表包含每个记录的准标识符属性值和该记录的等价类ID号，另一张表包含等价类ID、每个等价类的敏感属性值及其计数。,33,4.4 数据库隐私,4.4.2
