澳大利亚统计局数据关联中姓名编码的可选方案
密码学与安全
2018-02-23 v1
摘要
澳大利亚统计局(ABS)公开表示,将使用密码学哈希函数将2016年人口与住房普查中收集的姓名转换为不可逆的不可识别值。2016年,ABS委托墨尔本大学就满足该目标的密码学哈希函数提供专家建议。对于包括普查数据在内的复杂单位记录级数据,即使没有姓名,也常可利用辅助数据关联个体记录。这是ABS现有bronze关联的基础。这意味着即便没有编码姓名,记录仍可能被重新识别。防止重新识别依赖于ABS内部的良好流程。因此,应在辅助数据与ABS流程的完整背景下考虑关于姓名编码的承诺。存在若干合理解读:1. 除ABS持有的密钥外,编码不可逆转。这是加密(方案1)在正确实现时所具有的性质;2. 单独考虑编码(无辅助数据)无法逆转至单一值。这是有损编码(方案2)在正确实现时所具有的性质;3. 除ABS持有的密钥外,编码不会使重新识别更容易,或增加可被重新识别的记录数量。这是基于HMAC、使用属性子集的关联密钥派生(方案3)在正确实现时所具有的性质。我们解释并比较了五种可能方法的隐私与准确性保证。方案4和方案5探讨了面向未来数据关联的更复杂选项。我们还解释了某些常被提倡的技术可被逆转,因此不应使用。
引用
@article{arxiv.1802.07975,
title = {Options for encoding names for data linking at the Australian Bureau of Statistics},
author = {Chris Culnane and Benjamin I. P. Rubinstein and Vanessa Teague},
journal= {arXiv preprint arXiv:1802.07975},
year = {2018}
}
备注
University of Melbourne Research Contract 85449779. After receiving a draft of this report, ABS conducted a further assessment of Options 2 and 3, which will be published on their website