19、无线传感器网络中的位置隐私保护

无线传感器网络中的位置隐私保护

1. 经济高效的位置隐私解决方案

目前，针对无线传感器网络位置隐私问题已有不少解决方案，但大多采用相似的方法，如让数据包进行（有偏）随机游走、引入虚假消息或两者结合。然而，这些方法存在诸多弊端，比如会增加传输延迟、提高能耗、加剧数据包冲突等。而且，攻击者越强大，为有效对抗其攻击所需的开销就越高。对于硬件资源受限、旨在以极少或无需网络管理员维护就能提供实时传感功能的传感器网络来说，现有的位置隐私解决方案成本普遍过高。

因此，探索新的欺骗攻击者的机制势在必行。这些机制应避免使用虚假流量，转而采用节能机制。例如，可以利用现有的控制流量来传输数据消息（即跨层路由协议），也可以利用随机跳频等不同机制来向攻击者隐藏传输行为的存在。此外，节点的上下文感知能力能为位置隐私保护带来巨大益处。传感器收集的信息可帮助节点做出明智决策，在特定时刻选择最合适的保护机制。这些信息还能用于根据网络是否面临威胁来决定何时激活或停用保护机制，从而降低网络的不必要成本。显然，在开发经济高效的位置隐私解决方案方面，仍有很大的原创研究空间。

现有解决方案的问题

问题	详情
增加传输延迟	数据包随机游走或虚假消息的引入会导致传输路径变长，增加传输时间
提高能耗	频繁发送数据包和处理虚假消息会消耗更多能量
加剧数据包冲突	网络中数据包数量增多，冲突概率增大

新机制示例

• 跨层路由协议：利用现有控制流量传输数据消息
• 随机跳频：隐藏传输行为的存在

2. 全面的隐私解决方案

当前有大量的隐私解决方案，但多数只专注于单一问题，而非从整体上解决隐私问题。这些方案要么专注于保护数据源，要么专注于保护基站，很少能同时兼顾两者，尽管所采用的技术相似，且大多取决于攻击者的监听范围。对抗本地攻击者的典型方法是随机化路由路径，但当攻击者的监听范围扩大时，通常就需要注入虚假流量。

在保护数据源隐私和接收方隐私方面存在一些微妙差异，尤其是当攻击者是全局窃听者时。为隐藏数据源，节点会使其传输与事件的发生无关，即使没有数据要向基站报告，也会定期注入虚假流量。相反，为保护接收方位置隐私，网络中必须存在至少与基站接收流量相同的区域。虽然这两个问题不同，但可以通过一种简单的解决方案来解决，即结合使用基线泛洪和虚假数据源。不过，该方案的主要缺点是开销过大，如何以经济高效的方式解决这一问题，还需研究界进一步关注。

此外，目前的隐私解决方案主要关注在被动攻击者存在的情况下保护数据源和接收方的位置隐私。要实现全面的隐私保护，还应考虑其他类型的攻击者，如能够控制网络中部分节点的主动攻击者。同时，不仅要考虑数据传输阶段，还要考虑整个网络的运行情况。例如，拓扑发现协议会定期执行，使传感器节点能够检测因节点移动、节点电池耗尽或干扰通信信道的干扰因素而导致的附近拓扑变化。但该协议会向观察者泄露有关基站位置的相关信息，因为此过程总是由基站发起，所以即使是本地攻击者在多次执行该协议后，也能大致了解基站的方向。因此，即使有强大的隐私保护数据传输协议，攻击者仍可能因拓扑发现协议的信息泄露而确定基站的位置。总之，必须确保在网络运行的整个过程中，针对任何能够从不同来源获取敏感信息的攻击者都能实现隐私保护。

不同隐私问题的解决方案对比

隐私问题	典型解决方案	缺点
数据源隐私	使传输与事件无关，注入虚假流量	增加能耗和开销
接收方位置隐私	存在与基站接收流量相同的区域	难以实现和维护

拓扑发现协议的影响

• 泄露基站位置信息
• 易被攻击者利用

3. 现实的攻击者模型

文献中所考虑的攻击者模型既没有正式定义，也不太符合现实情况。攻击者的能力和其随时可能采取的行动必须与真实攻击者的能力相一致。在定义攻击者模型时，典型的做法是设定一种特定的攻击策略，例如回溯攻击，并且在攻击过程中该策略保持不变。有些论文中的攻击者即使陷入僵局，也不根据当前场景条件调整攻击策略。至少，攻击者应该能够意识到自己何时被保护机制欺骗，并重新开始攻击。因此，有必要正式定义攻击者的能力以及其随时可能采取的行动。

更现实的攻击者应该能够对网络的当前状态进行推理，并从先前的情况中推断出新的信息。他们还应该能够访问或利用外部信息源。一般来说，研究论文假设攻击者对网络、部署区域或被监测元素没有先验知识。然而，攻击者可能会获取外部信息，并利用这些信息来破解隐私保护机制。例如，在濒危动物监测场景中，攻击者可能了解这些特定动物的习性和典型行为。此外，攻击者可能知道传感器网络的部署区域，从而确定某些区域在特定时间不可能存在某种动物。同样，攻击者可能根据传感器场的地形和被监测现象的性质，确定基站的最佳位置。总体而言，目前缺乏一个合适的模型来表示攻击者的知识。

同时，需要认识到攻击者会竭尽全力实现其目标。文献中考虑的攻击者模型大多是被动的，其行动仅限于观察通信以获取位置信息。然而，一个有决心的攻击者不仅会进行被动攻击，还会通过注入、阻塞或重放合法流量、破坏节点甚至在必要时摧毁节点等方式干扰网络的正常运行。特别是当网络部署在偏远地区，大部分时间无人值守时，假设攻击者是被动的这一前提非常不合理，攻击者有足够的时间篡改传感器节点。因此，必须设计出能够应对更现实、更有决心的攻击者的解决方案。

现有攻击者模型的问题

问题	详情
未正式定义	攻击者的能力和行动缺乏明确界定
不符合现实	攻击策略固定，不根据情况调整
缺乏信息利用	未考虑攻击者利用外部信息的能力

现实攻击者的特点

• 能够推理网络状态
• 利用外部信息
• 采取主动攻击行为

4. 可互操作的评估框架

在正式定义攻击者之后，接下来的挑战是开发一个可靠的评估框架，以便准确评估解决方案的效率，并在相似的情况下对它们进行比较。研究界在解决位置隐私问题上付出了很多努力，但目前还没有一种方法能够忠实地评估所获得的保护水平。实际上，在无线传感器网络中，人们使用不同的指标来量化位置隐私，如安全周期、熵和 k - 匿名性等。然而，这些指标在处理不同的攻击者模型时并不总是适用，而且它们之间也缺乏互操作性，这阻碍了对现有和未来解决方案进行全面、综合的比较。

目前，大多数设计的解决方案都是通过模拟进行评估的，也有一些人尝试对无线传感器网络中的位置隐私进行数值量化。但是，要提供一个能够准确表示网络和攻击者行为的正式模型是一项极具挑战性的任务，特别是当攻击者具有先验知识，并且能够根据系统的当前状态采用不同的策略时。当攻击者的监听范围是局部的，情况会更加困难，因为他在任何给定时间只拥有网络一部分的信息，而且当他移动到另一个位置时，这些信息可能不再是最新的或有效的。由于系统具有高度的动态性，过去的通信可能与当前情况无关，因此过去的信息在未来是否仍然有用并不明确。所以，尽管有可能确定攻击者在某一步的不确定性水平，但跟踪攻击者在移动过程中的信息获取情况仍然难以管理。

模拟评估还存在另一个重要的缺点，即可重复性。通常，在通过模拟评估解决方案的正确性时缺乏一致性。一些作者使用通用模拟器，并添加特定模块来考虑传感器网络中的底层网络协议，如 IEEE 802.15.4。而另一些作者则简化了过程，忽略了考虑协议栈较低层所带来的细微差别和问题，专注于针对特定的攻击者模型评估他们的解决方案。结果，许多作者开发了自己的临时模拟器，而且在大多数情况下，这些模拟器不会公开提供给研究界，以便验证结果的有效性或测试新的解决方案。此外，在评估不同解决方案时，模拟器参数也缺乏一致性。一些需要统一的相关参数包括网络密度、节点的平均连接性、同时存在的数据源数量、模拟步骤的数量等。考虑这些特征对于深入分析和比较结果至关重要。

评估框架面临的挑战

挑战	详情
指标不适用	不同指标在不同攻击者模型下效果不佳，缺乏互操作性
建模困难	准确表示网络和攻击者行为难度大，尤其是攻击者有先验知识时
模拟可重复性低	模拟器缺乏统一标准，参数不一致，且部分模拟器不公开

需统一的模拟器参数

• 网络密度
• 节点的平均连接性
• 同时存在的数据源数量
• 模拟步骤的数量

5. 未来传感器网络中的位置隐私

传统上，位置隐私问题主要是在由大量相同的传感器节点组成的传感器网络中进行研究的，这些节点采用事件驱动的数据报告方法，并与单个基站进行通信。这种设置适用于部署在偏远地区、用于监测目的的大规模无人值守传感器网络。然而，这只是传感器网络众多潜在应用场景之一，在大多数场景中，位置隐私都具有重要意义。新的场景包括传感器节点不仅与基站通信，还与其他传感器节点通信的情况，或者部分传感器节点具有不同角色或能力的网络部署，例如有些节点由于连接到电网而没有电池限制，或者配备了定向天线、卫星连接等。探索这些新场景和通信模型可能会带来新的隐私问题，同时也可能提供新的隐私保护方法。

传感器网络的动态性也是一个需要重点考虑的因素。到目前为止，位置隐私解决方案主要考虑的是静态网络，即传感器节点在网络的整个生命周期内都保持在部署位置不变。然而，考虑移动传感器节点或移动基站可能会从位置隐私的角度带来有趣的挑战和机遇。此外，将移动性模型引入传感器网络与物联网所设想的场景相契合，在物联网中，具有传感能力的微型计算机会附着在日常物品和人身上。这无疑将成为研究和创新最有前景的领域之一，因为移动性肯定会带来新的问题和攻击者模型。与可能被破坏的数据中继进行交互将变得越来越普遍，还会出现间歇性的网络连接问题等。总之，为了在当前和未来的场景中保护位置隐私，需要探索原始设置的无数变体。

除了位置隐私问题，在部署传感器网络时，如果不认真考虑，还会有其他一些隐私问题可能会影响个人和企业。例如，其他类型元数据的利用，如事件向基站报告的时间、传输的持续时间、流量的大小和传输数据包的大小等。随着传感器网络成为互联网的重要组成部分，查询隐私将变得越来越重要。公司可以将传感器网络作为服务提供给消费者，服务提供商部署网络并允许客户从中查询数据。由于传感器网络不再由同一实体拥有和使用，就会出现一些查询隐私问题。服务提供商可能会表现得像一个诚实但好奇的攻击者，试图从客户发出的查询或回复查询的节点中了解客户的兴趣。同时，用户可能愿意使用传感平台，但又不愿意泄露敏感信息。

此外，还需要对数据收集和数据共享设定限制。由于各种传感器被集成到各种系统和场所，甚至是我们的家庭中，数据收集的规模将达到惊人的程度。不仅温度、湿度和存在传感器会连接到微型计算机，多媒体传感器如麦克风和摄像机也会被广泛应用。传感器节点将成为前所未有的大规模监控网络的工具。因此，需要在法律和监管方面做出努力，严厉惩罚那些滥用敏感个人信息的实体。另一个关键挑战是告知用户他们可能会受到数据收集，并征得他们的同意。传统的计算设备有界面允许用户阅读并接受或拒绝隐私政策，但传感器节点没有合适的界面来实现这一目的。重要的是要避免让用户被大量的知情同意请求所困扰。在这方面，开发一种简单的机制来定义隐私偏好，并自动与附近的设备协商用户是否对关于自己的数据收集、处理和传播感到满意，可能会很有用。

限制对传感器节点收集的数据的访问也是必要的，因为这些数据可能是敏感的。传感器节点发布数据的详细程度应取决于请求数据的实体。这意味着传感器根据客户端请求提供的信息详细程度取决于其凭证，范围可以从完全不提供信息到提供传感器收集的原始数据。例如，附着在汽车上的传感器节点可能保持沉默、声明所在国家、特定城市或提供其确切的 GPS 坐标，具体取决于请求信息的对象。由于数据一旦发布就无法恢复隐私，因此必须在数据离开节点的控制范围之前进行处理。

在数据聚合隐私和传感器节点执行的其他类似安全多方计算方面也有创新的空间。由于传感器节点部署在日常环境中，攻击者更容易接触到它们，特别是当它们周围的设备无人值守且没有安全模块和机制来防范和警示可能的入侵和篡改时。总体而言，处理内部攻击者将成为一个非常有趣的研究领域。最后，提高用户对在日常物品中部署传感技术所带来问题的认识也至关重要。人们需要对那些渴望数据的企业和组织的滥用行为做出反应。这一点非常重要，因为立法通常是对社会关注的回应，如果人们不做出反应，立法将更加滞后，从而导致前所未有的隐私损失。

未来传感器网络新场景

新场景	特点
节点间通信	传感器节点不仅与基站，还与其他节点通信
节点差异化	部分节点有不同角色或能力，如无电池限制、配备特殊设备

其他隐私问题及应对措施

隐私问题	应对措施
查询隐私	平衡服务提供商和用户的利益，保护用户敏感信息
数据收集与共享	法律监管，告知用户并征得同意，开发隐私偏好协商机制
数据访问限制	根据请求实体凭证控制数据发布详细程度
数据聚合隐私	创新数据聚合隐私和安全多方计算方法，应对内部攻击者
用户意识	提高用户对传感技术隐私问题的认识