通过混淆实现隐私工程

隐私工程中的混淆指一系列旨在减少用户因参与数字系统而产生的隐私损失的数据操作。混淆的应用领域极为广泛：隐私保护数据库分析、基于位置的隐私、私有网络搜索或隐私友好型推荐系统仅是隐私工程师借助混淆的若干场景示例。然而，迄今为止，关于混淆在隐私工程中所起的一般性作用仍难以厘清。同样，我们也缺乏一个统一视角来审视协助评估混淆技术的众多隐私度量。本文致力于弥补这些研究空白。首先，我们提供了一个通用分析框架，将多种混淆方法纳入同一分析范畴。其次，我们区分了以机制为中心和以攻击为中心的评估，明确了隐私度量背后假设的层次结构，从而协助并厘清混淆工具的评估。最后，我们通过引入个人效用与公共效用的概念，并区分效用退化型与效用保持型混淆，考察了混淆技术在隐私工程中的作用。我们观察到，公共效用要求迫使我们采用效用退化型混淆以任意降低隐私损失。相反，个人效用要求在理论上并不施加此种隐私-效用权衡，并阐释了如何通过干扰信息(chaff)实现效用保持型混淆。