基于属性加密的双向可逆多层位置隐私保护方法及系统

本发明涉及隐私保护，尤其涉及基于属性加密的双向可逆多层位置隐私保护方法及系统。

背景技术：

1、随着移动网络的发展，基于移动终端的应用和服务得到广泛的应用，基于位置的服务(lbs)引起了人们的高度关注；然而，用户在享受lbs带来的便利的同时，也在服务平台上留下了大量的移动位置轨迹数据，攻击者通过分析这些数据，包括存储在服务平台上的用户位置，再结合用户的相关背景知识就能得到用户的隐私信息；例如攻击者结合用户在医院附近的位置信息来推断用户的健康状况；为了降低lbs中隐私泄露的风险，研究人员提出了许多隐私保护方法，如位置混淆方法、轨迹偏移方法、虚假信息方法、k-匿名方法等，能够较好地保护用户的隐私信息。

2、然而，对数据的保护不是最终目标，而在保护数据中隐私信息不被泄露的同时保证数据的使用效率才是重要目标；当前的隐私保护方法基本采用“全部”或“全不”的刚性隐私保护标准，或者对隐私信息提供统一标准的保护，或者不进行保护，不能根据用户的实际需求提供多粒度的隐私保护，无法满足用户个性化、多层次的隐私保护需求；且对数据的匿名处理是单向和不可逆的，当虚假数据被添加到数据集以实现对真实位置信息隐藏的目标后，就无法再被移除，无法再进行去匿名化的逆处理，数据无法再恢复到原始的状态，造成了位置数据质量的永久损失，影响数据的使用效率。

3、因此，基于用户的隐私信息保护需求，解决“全部”或“全不”的刚性隐私保护而导致的粗粒度隐私保护问题、以提供多层次、细粒度的隐私保护，解决匿名数据不可逆导致的数据质量永久损失问题；以实现数据匿名化与去匿名化的可逆转换和资源有效控制，是位置轨迹隐私保护中一个亟待解决的问题。

技术实现思路

1、针对现有方法的不足，本发明为用户提供多层级、可逆化和细粒度的隐私保护，根据实际需求设定多个隐私保护层级，逐层添加差异性的虚假信息、并生成一系列虚假信息标识文件，实现位置数据隐私的多层级保护；通过构建位置邻接表、利用哈希函数随机选择位置点以增加安全性，利用基于访问结构树的方法加密虚假信息标识文件，进行不同信任度的用户去匿名化程度控制，获得不同精度的用户数据，解决因“全部”或“全不”的刚性隐私保护而导致的粗粒度隐私保护问题；基于属性加密的访问控制体制来制定访问策略，将特权用户的属性作为加密参数，生成访问结构树，加密虚假信息标识文件；利用可信第三方对用户的属性进行认证，基于用户属性值生成相应标识文件密文的解密私钥，使得特权用户能够进行相应的去匿名化操作，实现数据匿名化与去匿名化的可逆转换和资源控制，降低密钥生成、分发、使用和管理的复杂度，解决匿名数据不可逆导致的数据质量永久损失问题。

2、本发明所采用的技术方案是：基于属性加密的双向可逆多层位置隐私保护方法包括以下步骤：

3、步骤一、以用户位置轨迹数据集为基础，构建路段无向图和邻接表；利用哈希函数和随机数进行虚假节点的添加；

4、作为本发明的一种优选实施方式，利用哈希函数和随机数进行虚假节点的添加包括：

5、利用伪随机数和哈希函数确定邻接表中的虚假节点；

6、查看邻接表中某虚假节点的标识位，标识位为0时选定该虚假节点，标识位为1时该虚假节点存在冲突，则利用哈希函数中的开放定址法重新选择新的虚假节点。

7、步骤二、以邻接表为基础，根据匿名级别及对应配置参数构建若干层次的匿名数据集；

8、作为本发明的一种优选实施方式，步骤二具体包括：

9、步骤21、将匿名级别li依据匿名程度的顺序划分为n个级别，计算某匿名级别对应的匿名参数；

10、作为本发明的一种优选实施方式，某匿名级别对应的匿名参数的公式为：

11、ki＝k1+(i-1)k1＝i·k1 (3)

12、其中，1≤i≤n，k1为l1对应的匿名参数。

13、步骤22、从匿名级别l1开始，根据l1的配置参数(k1,t1,d1)构造匿名数据集，t1为时间阈值，d1为距离阈值；开始添加虚假节点；在当前的邻接表中选择与l0中的位置直接相连的匿名参数k1个位置点，构建l1的匿名数据集m1；

14、作为本发明的一种优选实施方式，添加虚假节点时，通过随机数在邻接表中选择虚假节点，直到满足该匿名级别的配置参数为止；如果超过距离阈值d1仍未满足用户的匿名条件，则本次匿名失败。

15、步骤23、在l1基础上，在m1匿名中添加虚假节点，直到满足l2匿名级别的配置参数(k2,t2,d2)，构造的匿名集合为m2；不断迭代，构造出ln-1的匿名数据集mn-1。

16、步骤三、构建去匿名化的虚假信息标识文件，利用虚假信息标识文件分层次标注每个匿名级别添加的虚假信息，用于去匿名化时去除相应的虚假信息，确保匿名数据的可逆性和匿名过程的双向性；

17、作为本发明的一种优选实施方式，虚假信息标识文件与设定的匿名级别对应，虚假信息标识文件的结构为b＝(id,l,fid)；其中，id表示序号，l表示匿名程度，fid表示添加虚假信息标识。

18、步骤四、根据数据所有者制定虚假信息标识文件的访问策略，建立访问结构树，将属性集合作为公钥进行数据加密，满足属性集合的用户获得解密私钥，并根据私钥解密虚假信息标识文件的密文数据；

19、步骤五、数据所有者生成统一的匿名数据集提供给用户使用，所有用户面对相同匿名数据集，发布该匿名数据集；

20、步骤六、对标识文件进行加密，并生成属性密钥；

21、作为本发明的一种优选实施方式，步骤六具体包括：

22、步骤61、数据所有者使用公开密钥pk、访问结构树ti对标识文件bi进行加密，得到密文cbi；

23、步骤62、将主密钥mk、访问结构树ti发送给ttp；将匿名数据集和标识文件密文集发送给dsp；

24、步骤63、用户ui将属性证书cai发送给ttp申请对应标识文件密文的解密私钥sk；

25、步骤64、ttp根据访问结构树ti、属性证书cai，生成相应标识文件密文的解密私钥ski发送给用户ui；ui利用ski解密标识文件密文cbi，得到虚假信息标识文件bi，然后从匿名数据集中去除虚假信息，获得精确数据。

26、步骤七、根据用户属性对标识文件进行访问；

27、作为本发明的一种优选实施方式，普通用户使用统一匿名数据获取位置数据，特权用户使用去匿名化密钥去除虚假信息，获得相对精确的位置数据。

28、步骤八、对隐私保护效果进行衡量；

29、作为本发明的一种优选实施方式，步骤八具体包括：

30、利用位置集合熵、位置距离熵、隐私保护效率和数据使用效率进行衡量。

31、作为本发明的一种优选实施方式，基于属性加密的双向可逆多层位置隐私保护系统，包括：存储器，用于存储可由处理器执行的指令；处理器，用于执行指令以实现基于属性加密的双向可逆多层位置隐私保护方法。

32、本发明可应用于差异信任程度用户访问相同数据资源、用户身份未知时授予权限、数据匿名化后需要恢复的场景，对位置轨迹数据的处理分为添加虚假信息、生成虚假信息标识文件、制定访问控制策略、发布匿名数据集、加密标识文件、生成属性密钥、用户访问数据7个部分；结合了隐私保护、数据加密、访问控制、属性加密；数据所有者设定隐私保护层级，在逐层添加虚假信息的同时生成对应的标识文件，标注本层级添加的所有虚假信息；数据所有者设定对每一个标识文件的访问策略，生成对应的属性访问结构树，并以结构树为参数对标识文件进行加密，生成标识文件密文；数据所有者将最终生成的匿名数据集和若干个标识文件密文发送到数据服务中心，将访问结构树发送给可信第三方；用户属性满足访问结构树的条件时，可获得相应标识文件密文的解密密钥，解密对应的虚假信息标识文件，获得虚假位置信息并进行去匿名化操作，在一定隐私保护层级上获得较为精确的数据集；对于普通用户，由于没有对标识文件密文进行解密的密钥，只能使用统一的高匿名程度的数据，从而更好地保护用户的隐私。

33、本发明的有益效果：

34、1、解决因“全部”或“全不”的刚性隐私保护而导致的粗粒度隐私保护问题，根据实际需求设定多个隐私保护层级，逐层添加差异性的虚假信息、并生成一系列虚假信息标识文件，实现位置数据隐私的多层级保护；

35、2、通过构建位置邻接表、利用哈希函数随机选择位置点以增加安全性，利用基于访问结构树的方法加密虚假信息标识文件，进行不同信任度的用户去匿名化程度控制，使得不同权限的用户最终可得到不同匿名程度、不同精度的数据，实现用户隐私信息的多层次、细粒度保护；

36、3、解决匿名数据不可逆导致的数据质量永久损失问题，基于属性加密的访问控制体制来制定访问策略，将特权用户的属性作为加密参数，生成访问结构树，加密虚假信息标识文件；利用可信第三方对用户的属性进行认证，基于用户属性值生成相应标识文件密文的解密密钥，使得特权用户能够进行相应的去匿名化操作，实现数据匿名化与去匿名化的可逆转换和资源控制，降低密钥生成、分发、使用和管理的复杂度，实现双向可逆的隐私保护；

37、4、使用范围广，可以应用于对移动用户的位置、轨迹隐私进行保护，具有普遍适用性。