Randori：面向所有人的本地差分隐私

投票调查是收集数据的常见方式，包括产品评价与反馈表单。然而，极少有数据收集者给出前置的隐私保证。此外，当前置给出隐私保证时，往往是关于“匿名性”的模糊声明。相反，我们提议通过差分隐私这一统计概念给出可量化的隐私保证。尽管如此，隐私并非免费得来。差分隐私的核心在于精度与隐私之间需要平衡的固有权衡。因此，在着手收集数据之前妥善调整精度-隐私权衡至关重要。总之，开始进行差分隐私数据收集可能颇具挑战。理想情况下，数据分析师不必操心差分隐私的所有细节，而是应当获得“按设计即差分隐私”。然而，据我们所知，尚不存在用于在差分隐私下收集投票数据的工具。受限于缺乏在差分隐私下收集投票数据的工具，我们着手构建自己的工具。具体而言，为使本地差分隐私惠及所有人，在这篇系统论文中我们呈现 Randori，一套用于差分隐私投票数据收集的新型开源工具。Randori 旨在帮助数据分析师将注意力集中于其投票所收集的数据，而非应如何收集。我们的工具还允许数据分析师解析地预测其投票的精度。此外，我们表明在服务器-客户端设定中仅靠差分隐私不足以实现端到端隐私。因此，我们亦在 Randori 中调查并缓解了隐式数据泄露。