Security of Online Social Networks

Transkript

1 Security of Online Social Networks Location Privacy Lehrstuhl IT-Sicherheitsmanagment Universität Siegen June 20, 2012 Lehrstuhl IT-Sicherheitsmanagment 1/54

2 Overview Lesson 08 OSN and Location Location-based Services Arten von LBS Lokalisierung Location Privacy Location Anonymity Location Anonymization Profile Location Pertubation Geometric Transformation MIX-Zones Symbolic Cloaking Anonymisation Box Anonymity Server Personalized Location Privacy Lehrstuhl IT-Sicherheitsmanagment 2/54

3 OSN and Location Lehrstuhl IT-Sicherheitsmanagment 3/54

4 Location Based Services Lehrstuhl IT-Sicherheitsmanagment 4/54

5 Location-based Service Dienst (vernetzt) verwendet Positionen Person/Sache/Entität meist mobile Endgeräte Bildnachweis Karte: Dienstarten: Range Query Shortest Path Query n-nearest Neighbour Lehrstuhl IT-Sicherheitsmanagment 5/54

6 Weitere Beispiele Vehicular Communication Physical Objects Sneaker Transport Augmented Reality (e. g., Layar) Timetables (e. g.,... Öffi) Lehrstuhl IT-Sicherheitsmanagment 6/54

7 LBS Klassifizierung Query Type Genauigkeitsanforderungen Identität (anonym, pseudonym, reale Identität) spatiale/temporale Position Positionsverbreitung (nur Dienst, Freunde, Alle) Zentrale vs. dezentrale Kommunikation Lehrstuhl IT-Sicherheitsmanagment 7/54

8 Positionsdaten Koordinaten (z.b. N , E ) (aus: [Snyder, 1987]) symbolische Ortsbezeichner Strasse, Hausnummer, Ort, Land,... Sehenswürdigkeit, Organisationseinheit,... IP-Adressen z.b.: Lehrstuhl IT-Sicherheitsmanagment H-C 8239/3, Hölderlinstr. 3, Siegen, NRW, Germany, Sol 3 8/54

9 Personenbezug 1. Lokalisierung einer Person 2. Lokalisierung einer mobilen Sache die einer Person zugeordnet ist 3. Angabe regelmässig benutzter Orte 4. Lokalisierung eines Eigentums (Vgl. [Weichert, 2007]) Lehrstuhl IT-Sicherheitsmanagment 9/54

10 Location Privacy Selbsbestimmung über Art und Umfang der Preisgabe von positionsbezogenen Informationen. Geheimhaltung aktueller oder verganganer Positionen eines Individuums Lehrstuhl IT-Sicherheitsmanagment 10/54

11 Location Privacy Bedrohungen Kommunikation Sender Anonymität (Query Anonymity) Bedrohungen durch Positionsbestimmung: [Gruteser and Grunwald, 2004], [Beresford, 2005] Positionsverfolgung Identifizierbarkeit von Beobachtungen Positionsbasierte Identität Bild: Lehrstuhl IT-Sicherheitsmanagment 11/54

12 Identification Attacks Restricted Space Identification Attacker knows: Attacker sees: Attacker deduces: L belongs exclusively to S M from L S at L and S sent M Observation Identification Lehrstuhl IT-Sicherheitsmanagment 12/54

13 Identification Attacks Restricted Space Identification Attacker knows: Attacker sees: Attacker deduces: L belongs exclusively to S M from L S at L and S sent M Observation Identification Attacker knows: Attacker sees: Attacker deduces: S currently at L M from L S sent M [Gruteser and Grunwald, 2003] Lehrstuhl IT-Sicherheitsmanagment 13/54

14 Positionsverfolgung Beispiel: Fahrzeugkommunikation Verfolgung anonymer Fahrzeugspuren Greedy-Approach Lehrstuhl IT-Sicherheitsmanagment 14/54

15 Identifizierbarkeit v. Beobachtungen (aus [Liao et al., 2004]) Lehrstuhl IT-Sicherheitsmanagment 15/54

16 Anonymity Set under Work/Home Disclosure Location Precision Size of Anonymity Set Median 10th percentile 5th percentile Census block Census tract County 34, Lehrstuhl IT-Sicherheitsmanagment 16/54

17 Anonymity Set under Work/Home Disclosure Location Precision Size of Anonymity Set Median 10th percentile 5th percentile Census block Census tract County 34, Lehrstuhl IT-Sicherheitsmanagment 17/54

18 Schutzziele Individuelle Position Verkettung Position - Identität Verkettung private Positionen mit öffentlich bekannten Positionen Lehrstuhl IT-Sicherheitsmanagment 18/54

19 Schutzarten Verschleierung der Position/Tracks eines (ano-/pseudonymen) Individuums Schutz vor Identifizierung/Zuordnung gegenüber LBS Lehrstuhl IT-Sicherheitsmanagment 19/54

20 Location Anonymity Location Anonymity??? Location k-anonymity Location l-diversity Lehrstuhl IT-Sicherheitsmanagment 20/54

21 Location Anonymity Profile Formale Anforderungen Nutzer/Nachricht/Dienst-spezifisch Anonymitätsanforderungen: k-anonymity l-diversity minimale räumliche Auflösung Dienstanforderungen: maximale tolerierte räumliche Auflösung maximale tolerierte zeitliche Auflösung Lehrstuhl IT-Sicherheitsmanagment 21/54

22 [Gedik and Liu, 2008, Gedik and Liu, 2005] Fakultät Wirtschaftswissenschaften, Location Anonymity Tradeoff Disclosure Risk Maximum Tolerable Risk (spatial & temporal) No Location Release Minimum Exposure (spatial & temporal) Location Service Quality

23 [Gedik and Liu, 2008, Gedik and Liu, 2005] Fakultät Wirtschaftswissenschaften, Location Anonymity Tradeoff Disclosure Risk Maximum Tolerable Risk (spatial & temporal) Location Anonymization Applied No Location Release Minimum Exposure (spatial & temporal) Location Service Quality

24 Location Anonymity Tradeoff Disclosure Risk Location Disclosed Maximum Tolerable Risk (spatial & temporal) Location Anonymization Applied No Location Release Minimum Exposure (spatial & temporal) Location Service Quality Lehrstuhl IT-Sicherheitsmanagment 24/54 [Gedik and Liu, 2008, Gedik and Liu, 2005]

25 Location Perturbation Privatheit durch Reduktion der Genauigkeit Cloaking Raster vs. dynamisch Quad Tree, Graph Clique, Casper Pyramid, Privacy Grid k-anon global/individual Geometric Transformation Lehrstuhl IT-Sicherheitsmanagment 25/54

26 Geometric Transformation e. g., Rotation Perturbation (vgl. [Chen and Liu, 2007]) Scenario: multidimensional Datasets Objectives: hiding original locations preservation of geometric properties: distance inner product surface and manifolds Lehrstuhl IT-Sicherheitsmanagment 26/54

27 Rotation Perturbation G(X) = RX + Ψ +, Ψ = = 0 Lehrstuhl IT-Sicherheitsmanagment 27/54

28 Rotation Permutation + Noise G(X) = RX+Ψ+, = N (0, σ 2 ), σ {0.0001, 0.001, 0.01} Lehrstuhl IT-Sicherheitsmanagment 28/54

29 MIX-Zones Ziel: Verkettbarkeit von Beobachtungen Methode: Unbeobachtbares Gebiet Lehrstuhl IT-Sicherheitsmanagment 29/54

30 MIX-Zones a b c MIX-Zone s r Abbildung aus [Beresford and Stajano, 2004] q Lehrstuhl IT-Sicherheitsmanagment 30/54

31 Movement Timeline a b c Ingress time Egress time s q r Abbildung aus [Beresford and Stajano, 2004] Lehrstuhl IT-Sicherheitsmanagment 31/54

32 Cloaking Objective: Reduce Data-Value for Identification for Tracking Method: Reduction of Precision Lehrstuhl IT-Sicherheitsmanagment 32/54

33 Lehrstuhl IT-Sicherheitsmanagment H-C statt N 50, E 8, /54 WGS84 Fakultät Wirtschaftswissenschaften, Beispiel: Räumliches Cloaking (symbolisch)

34 Anonymisation Box Spatial and temporal Cloaking y N 50, E 8, wird zu N 50,908 E 8,074 t x Lehrstuhl IT-Sicherheitsmanagment 34/54

35 Anonymity Server Personalisiert Trusted Third Party (Anonymisierungsserver) LBA 1 LBA 2 LBA 3 Anon Lehrstuhl IT-Sicherheitsmanagment 35/54

36 Quad Tree 2-anonyme mobile Knoten Lehrstuhl IT-Sicherheitsmanagment 36/54

37 Global k-anon Problems global k k One privacy level to protect them all... One privacy level at any time... Box-Size not determined (neither min nor max) not consistent [Shokri et al., 2010] Lehrstuhl IT-Sicherheitsmanagment 37/54

38 Quad Tree 2-anonymous, 3-diverse Lehrstuhl IT-Sicherheitsmanagment 38/54

39 Personalized Location Privacy One size does not fit all! individual control Lehrstuhl IT-Sicherheitsmanagment 39/54

40 Random Silent Period (Vgl. [Sampigethaya et al., 2007]) Lehrstuhl IT-Sicherheitsmanagment 40/54

41 Crowd-based Proxies Using Peers as Proxy, using group-level spatial cloaking Lehrstuhl IT-Sicherheitsmanagment 41/54

42 Algorithmen Clique Cloak [Gedik and Liu, 2005][Gedik and Liu, 2008] Lehrstuhl IT-Sicherheitsmanagment 42/54

43 Clique Cloak (1) Scenario: mobile clients use LBS anonymity-server protects Loc. Priv. Objectives: spatio-temporal k-anonymity message-individual anonymity level k message-individual anonymity spatio-temporal tolerance Lehrstuhl IT-Sicherheitsmanagment 43/54

44 Clique Cloak (2) Constraint Graph G = (S, E) L(m si ) B(s mj ) e = (m si, m sj ) E gdw. L(m sj ) B(s mi ) uid(m si ) uid(m sj ) CliqueCloak Theorem[Gedik and Liu, 2008]: R, a pertubation of messages m si with m ti = R(m si ) is k-anonymous for a set of Messages M these messages form a l-clique with k(m si ) < l. Lehrstuhl IT-Sicherheitsmanagment 44/54

45 Clique Cloak (2) Lehrstuhl IT-Sicherheitsmanagment (taken from [Gedik and Liu, 2008]) 45/54

46 Literatur I Beresford, A. R. (2005). Location privacy in ubiquitous computing. Technical Report 612, University of Cambridge, Computer Laboratory, 15 JJ Thomson Avenue Cambridge CB3 0FD United Kingdom. Beresford, A. R. and Stajano, F. (2004). Mix zones: User privacy in location-aware services. In PERCOMW 04: Proceedings of the Second IEEE Annual Conference on Pervasive Computing and Communications Workshops, page 127, Washington, DC, USA. IEEE Computer Society. Lehrstuhl IT-Sicherheitsmanagment 46/54

47 Literatur II Chen, K. and Liu, L. (2007). Towards attack-resilient geometric data perturbation. In Proceedings of the 7th SIAM (Society for Industrial and Applied Mathematics) International Conference on Data Ming (SDM 2007), Minneapolis, Minnesota. Fischer, L., Katzenbeisser, S., and Eckert, C. (2008). Measuring unlinkability revisited. In Seventh ACM Workshop on Privacy in the Electronic Society (WPES 08), Alexandria, VA. Lehrstuhl IT-Sicherheitsmanagment 47/54

48 Literatur III Gedik, B. and Liu, L. (2005). Location privacy in mobile systems: A personalized anonymization model. Distributed Computing Systems, International Conference on, 0: Gedik, B. and Liu, L. (2008). Protecting location privacy with personalized k-anonymity: Architecture and algorithms. IEEE Transactions on Mobile Computing, 7(1):1 18. Lehrstuhl IT-Sicherheitsmanagment 48/54

49 Literatur IV Golle, P. and Partridge, K. (2007). On the anonymity of home/work location pairs. In Pervasive. Gruteser, M. and Grunwald, D. (2003). Anonymous usage of location-based services through spatial and temporal cloaking. Lehrstuhl IT-Sicherheitsmanagment 49/54

50 Literatur V Gruteser, M. and Grunwald, D. (2004). A methodological assessment of location privacy risks in wireless hotspot networks. In Hutter, D., Müller, G., Stephan, W., and Ullmann, M., editors, Security in Pervasive Computing, volume 2802 of Lecture Notes in Computer Science, pages Springer Berlin / Heidelberg / Liao, L., Fox, D., and Kautz, H. (2004). Learning and inferring transportation routines. In Proc. of the National Conference on Artificial Intelligence (AAAI-04). Lehrstuhl IT-Sicherheitsmanagment 50/54

51 Literatur VI Sampigethaya, K., Li, M., Huang, L.,, and Poovendran, R. (2007). Amoeba: Robust location privacy scheme for vanet. In Journal on Selected Areas in Communications (JSAC),, volume Special issue on Vehicular Networks. IEEE. Shokri, R., Theodorakopoulos, G., Le Boudec, J.-Y., and Hubaux, J.-P. (2011). Quantifying location privacy. In IEEE Symposium on Security and Privacy, Oakland, CA, USA. Lehrstuhl IT-Sicherheitsmanagment 51/54

52 Literatur VII Shokri, R., Troncoso, C., Diaz, C., Freudiger, J., and Hubaux, J.-P. (2010). Unraveling an old cloak: k-anonymity for location privacy. In Proceedings of the 9th annual ACM workshop on Privacy in the electronic society, WPES 10, pages , New York, NY, USA. ACM. Snyder, J. P. (1987). Map Projections A Working Manual. Number 1395 in U.S. Geological Survey Professional Paper. U.S. Government Printing Office, Washington. Lehrstuhl IT-Sicherheitsmanagment 52/54

53 Literatur VIII Weichert, T. (2007). Der personenbezug von geodaten. DuD Datenschutz und Datensicherheit, 31: Lehrstuhl IT-Sicherheitsmanagment 53/54

54 Angreiferbasierte Metriken Accuracy Certainty Correctness Accuracy Likelyness of ˆP (x o) being in confidence interval Certainty Entropy H = ( ) ˆP (x o) log 1 ˆP (x o) Correctness Expected Distance ˆP (x o) x x0 [Fischer et al., 2008][Shokri et al., 2011] Lehrstuhl IT-Sicherheitsmanagment 54/54