[[374098]]

01 位置與位置服務(wù)

位置是人或物體所在或所占的地方、所處的方位。位置的近義詞是地址，也指一種空間分布。定位是指確定方位，確定場(chǎng)所或界限。下面介紹常用的定位方法和位置服務(wù)過(guò)程。

1. 定位服務(wù)

定位服務(wù)即用戶(hù)獲取自己位置的服務(wù)，定位服務(wù)是基于位置的服務(wù)（Location Based Service，LBS）發(fā)展的基礎(chǔ)，客戶(hù)端只有獲取到當(dāng)前的位置后，才能進(jìn)行LBS的查詢(xún)?，F(xiàn)在使用最廣泛的定位方式主要有全球定位系統(tǒng)定位和基于第三方定位服務(wù)商（Location Provider，LP）所提供的Wi-Fi定位。

（1）全球定位系統(tǒng)定位

全球定位系統(tǒng)（Global Positioning System，GPS）通過(guò)全球24顆人造衛(wèi)星，能夠提供三維位置和三維速度等無(wú)線(xiàn)導(dǎo)航定位信息。在一個(gè)固定的位置完成定位需要4顆衛(wèi)星，客戶(hù)端首先需要搜索出4顆在當(dāng)前位置可用的衛(wèi)星，然后4顆衛(wèi)星將其位置和與客戶(hù)端的距離發(fā)送給客戶(hù)端，最后由客戶(hù)端的GPS芯片計(jì)算出客戶(hù)端的當(dāng)前位置。GPS的定位精度較高，一般在10 m 以?xún)?nèi)，但是其缺點(diǎn)也很明顯：① 首次搜索衛(wèi)星時(shí)間相對(duì)較長(zhǎng)；② GPS無(wú)法在室內(nèi)或建筑物相對(duì)密集的場(chǎng)所使用；③ 使用GPS的電量損耗較高。

為了解決首次搜索可定位衛(wèi)星時(shí)間較長(zhǎng)的問(wèn)題，AGPS（Assisted GPS）技術(shù)被提出。AGPS技術(shù)的特點(diǎn)主要是在定位時(shí)使用網(wǎng)絡(luò)直接將當(dāng)前地區(qū)的可用衛(wèi)星信息下載下來(lái)用于定位，這不僅可以提高發(fā)現(xiàn)衛(wèi)星的速度，還能夠降低設(shè)備的電量使用情況。

（2）Wi-Fi定位

Wi-Fi定位不僅支持室外定位，也支持室內(nèi)定位。Wi-Fi設(shè)備分布廣泛，每個(gè)Wi-Fi接入點(diǎn)（Access Point，AP）都有全球唯一的Mac地址，并且AP在一段時(shí)間內(nèi)是不會(huì)大幅度移動(dòng)的，移動(dòng)設(shè)備可以收集到周?chē)腁P信號(hào)，獲取其Mac地址和信號(hào)強(qiáng)度（Received Signal Strength Indication，RSSI）。通常，LP會(huì)通過(guò)現(xiàn)場(chǎng)采集或用戶(hù)提交的方式建立自己的定位數(shù)據(jù)庫(kù)，并對(duì)數(shù)據(jù)庫(kù)進(jìn)行定期更新。在定位過(guò)程中，LP會(huì)要求移動(dòng)客戶(hù)端提交其周?chē)腁P集合信息，并將這些信息作為其位置指紋，進(jìn)而LP即可通過(guò)與定位數(shù)據(jù)庫(kù)進(jìn)行匹配計(jì)算估計(jì)出當(dāng)前的位置。Wi-Fi定位的精度通常在80m以?xún)?nèi)。

Wi-Fi定位可以測(cè)量不同信號(hào)的到達(dá)時(shí)刻（Time of Arrival，TOA）或到達(dá)角度（Angle of Arrival，AOA），較用的是基于 Wi-Fi指紋的定位。正如每個(gè)人的指紋不同，每個(gè)位置的Wi-Fi指紋也不同，一個(gè)確定位置的 Wi-Fi指紋包括該位置采集的AP的Mac地址和RSSI的集合。

Wi-Fi指紋定位主要包含兩個(gè)步驟：離線(xiàn)采集和在線(xiàn)定位。

離線(xiàn)采集會(huì)將已知的確定位置作為參考點(diǎn)，將在該位置所采集到的AP的Mac地址和 RSSI作為該位置的指紋，并將其加入數(shù)據(jù)庫(kù)中。

在線(xiàn)定位會(huì)將在某個(gè)非確定位置采集到的AP的Mac地址和RSSI作為指紋以與指紋數(shù)據(jù)庫(kù)進(jìn)行匹配估計(jì)，從而獲得用戶(hù)的確切位置，常用的指紋數(shù)據(jù)庫(kù)匹配算法包括最近鄰（Nearest Neighbor，NN）算法、Top-K近鄰（Top K-Nearest Neighbor，TKNN）算法、距離加權(quán)K近鄰算法（Weight K-Nearest Neighbors，WKNN）算法等。

2. 基于位置的服務(wù)

基于位置的服務(wù)（LBS）是首先獲取移動(dòng)終端用戶(hù)的位置信息，然后在地理信息系統(tǒng)（Geographic Information System，GIS）平臺(tái)的支持下，為用戶(hù)提供相應(yīng)服務(wù)的一種增值業(yè)務(wù)。

圖1展示了LBS的系統(tǒng)結(jié)構(gòu)，包括定位組件、移動(dòng)設(shè)備、LBS提供商和通信網(wǎng)絡(luò)等。

圖1  LBS的系統(tǒng)結(jié)構(gòu)

① 定位組件為確定移動(dòng)設(shè)備的位置提供了基礎(chǔ)，移動(dòng)設(shè)備可以通過(guò)內(nèi)置的GPS芯片或第三方網(wǎng)絡(luò)定位提供商追蹤其具體位置，并將位置信息傳給應(yīng)用程序。

② 移動(dòng)設(shè)備是指可以連入網(wǎng)絡(luò)并傳遞數(shù)據(jù)的電子設(shè)備，移動(dòng)設(shè)備作為采集位置數(shù)據(jù)并發(fā)送LBS請(qǐng)求的基礎(chǔ)，通常包括智能手機(jī)、筆記本計(jì)算機(jī)、智能手表和車(chē)聯(lián)網(wǎng)設(shè)備等。

③ LBS服務(wù)商是指可以為移動(dòng)設(shè)備提供LBS服務(wù)的第三方，LBS服務(wù)商通常擁有或可以創(chuàng)造基于位置的信息內(nèi)容。

④ 通信網(wǎng)絡(luò)用于將移動(dòng)設(shè)備同LBS服務(wù)商或網(wǎng)絡(luò)定位提供商相連接，實(shí)現(xiàn)它們之間的信息傳輸，包括無(wú)線(xiàn)通信網(wǎng)絡(luò)、衛(wèi)星網(wǎng)絡(luò)等。

LBS服務(wù)主要包含以下兩個(gè)階段。

① 位置獲取階段：移動(dòng)設(shè)備通過(guò)GPS定位或者第三方網(wǎng)絡(luò)定位獲取當(dāng)前位置的階段。

② 服務(wù)獲取階段：移動(dòng)設(shè)備將第一階段獲取的位置信息和查詢(xún)的興趣點(diǎn)發(fā)送給LBS提供商，LBS提供商進(jìn)行信息查詢(xún)并將查詢(xún)結(jié)果返回給移動(dòng)設(shè)備的階段。

3. 位置服務(wù)的隱私安全問(wèn)題

隨著移動(dòng)互聯(lián)網(wǎng)技術(shù)的發(fā)展與智能手機(jī)設(shè)備的迅速普及，越來(lái)越多的人開(kāi)始習(xí)慣于使用LBS。LBS應(yīng)用程序在智能手機(jī)中得到了迅猛的發(fā)展，LBS也獲得了非常廣泛的注意。為了使用LBS，智能手機(jī)用戶(hù)可以從應(yīng)用商店下載基于位置的應(yīng)用，這些應(yīng)用首先通過(guò)GPS或網(wǎng)絡(luò)等方式獲取用戶(hù)的位置，然后將用戶(hù)的位置信息以及用戶(hù)希望獲得的服務(wù)通過(guò)查詢(xún)請(qǐng)求的方式發(fā)送到LBS服務(wù)器，LBS服務(wù)器進(jìn)行相應(yīng)的查詢(xún)并將查詢(xún)結(jié)果返回給用戶(hù)。據(jù)統(tǒng)計(jì)全球數(shù)以?xún)|計(jì)的智能手機(jī)、車(chē)載導(dǎo)航等設(shè)備每秒發(fā)送的位置信息就超過(guò)了1億條。目前，位置服務(wù)覆蓋了各行各業(yè)，被應(yīng)用到了不同的領(lǐng)域，如健康、工作、個(gè)人生活等。

在位置服務(wù)過(guò)程中，用戶(hù)產(chǎn)生的空間數(shù)據(jù)具有復(fù)雜、異構(gòu)、實(shí)時(shí)、巨量等大數(shù)據(jù)特征，通過(guò)開(kāi)放共享與智能管理，這些數(shù)據(jù)不僅可以為個(gè)人生活（如交通路線(xiàn)導(dǎo)航、周邊興趣點(diǎn)查詢(xún)等）提供便利，也可以為政府決策（如重大事件應(yīng)急響應(yīng)、住宅小區(qū)規(guī)劃等）和企業(yè)生產(chǎn)（如廣告投放、商業(yè)布點(diǎn)等）提供精準(zhǔn)服務(wù)。但是，用戶(hù)在獲取這些服務(wù)的過(guò)程中，數(shù)據(jù)服務(wù)器上會(huì)留下大量的用戶(hù)記錄，而且附著在這些記錄上的上下文信息能夠披露用戶(hù)的生活習(xí)慣、興趣愛(ài)好、日?；顒?dòng)、社會(huì)關(guān)系和身體狀況等個(gè)人敏感信息。因此，如何在保護(hù)用戶(hù)隱私的同時(shí)又能為用戶(hù)提供高質(zhì)量的數(shù)據(jù)分析與決策服務(wù)，是空間數(shù)據(jù)服務(wù)過(guò)程中必須解決的重要技術(shù)問(wèn)題。

加密是一種保護(hù)數(shù)據(jù)隱私的有效方法，然而，加密后的數(shù)據(jù)不能直接進(jìn)行檢索和利用，不能有效地提供分析和決策支持，并不適合數(shù)據(jù)開(kāi)放共享的應(yīng)用場(chǎng)景。中國(guó)衛(wèi)星導(dǎo)航定位協(xié)會(huì)公布的數(shù)據(jù)顯示，我國(guó)衛(wèi)星導(dǎo)航與位置服務(wù)產(chǎn)業(yè)總產(chǎn)值超過(guò)2000億元，國(guó)內(nèi)導(dǎo)航定位終端產(chǎn)品總銷(xiāo)量突破10億臺(tái)；根據(jù)思科公司的預(yù)測(cè)，到2019年，全球約有46億部智能手機(jī)，每月全球移動(dòng)互聯(lián)網(wǎng)流量將達(dá)24.3EB。如此大規(guī)模的數(shù)據(jù)，已超出了傳統(tǒng)數(shù)據(jù)處理技術(shù)在可接受時(shí)間下獲取、管理、檢索、分析、挖掘和可視化的能力。

顯然，服務(wù)提供商為了增強(qiáng)位置信息的精度，需要實(shí)時(shí)獲取每個(gè)用戶(hù)的位置及相關(guān)信息，以進(jìn)一步提高用戶(hù)的服務(wù)質(zhì)量（如獲得實(shí)時(shí)位置以提供更智能的路線(xiàn)規(guī)劃方案）。用戶(hù)在上傳移動(dòng)位置信息的同時(shí)，其個(gè)人隱私也會(huì)遭到泄露。一旦大量個(gè)人隱私信息被攻擊者盜取，將導(dǎo)致整個(gè)社會(huì)產(chǎn)生安全信任危機(jī)。

此外，位置信息也可以被公開(kāi)發(fā)布給相關(guān)研究機(jī)構(gòu)和研究人員進(jìn)行挖掘分析，并將分析結(jié)果作為決策依據(jù)。例如，某數(shù)據(jù)部門(mén)通過(guò)分析不同時(shí)間段的GPS位置數(shù)據(jù)來(lái)分析不同職業(yè)群體的飲食習(xí)慣；通過(guò)數(shù)據(jù)挖掘，可以發(fā)現(xiàn)相同的職業(yè)群體經(jīng)常在相同或者不同的時(shí)刻出現(xiàn)在同樣的地方。因此，當(dāng)這種位置關(guān)聯(lián)被利用后通過(guò)再次挖掘，就可以分析出用戶(hù)之間的社交關(guān)聯(lián)。一旦社交關(guān)聯(lián)被披露，更多的敏感信息將面臨二次泄露的風(fēng)險(xiǎn)。

例如，假設(shè)A、B、C均是學(xué)生，他們?cè)谙嗤臅r(shí)間段內(nèi)在相同的位置共同出現(xiàn)了兩次，因此攻擊者可能會(huì)推測(cè)他們是同班同學(xué)。再通過(guò)他們的背景知識(shí)，如果A的年紀(jì)、學(xué)校或者社會(huì)關(guān)系被泄露，那么B和C的相應(yīng)背景也會(huì)被泄露。如果不考慮用戶(hù)之間的關(guān)聯(lián)信息，只是單純地進(jìn)行位置保護(hù)，那么攻擊者可以利用這種關(guān)聯(lián)屬性進(jìn)行關(guān)聯(lián)推理攻擊，使用戶(hù)的個(gè)人隱私遭到更多的泄露，危及用戶(hù)的個(gè)人生命和財(cái)產(chǎn)安全。因此，為更好地保護(hù)用戶(hù)隱私，隱私保護(hù)還需要充分考慮群體用戶(hù)的關(guān)聯(lián)位置所帶來(lái)的風(fēng)險(xiǎn)。

4. 位置隱私及位置隱私保護(hù)對(duì)象

隱私是個(gè)人或群體通過(guò)選擇性表達(dá)有意識(shí)地保護(hù)的相關(guān)信息。不同的人對(duì)于隱私有不同的關(guān)注程度，同時(shí)也與人們所處的環(huán)境信息有關(guān)，但是相同的是，這些信息對(duì)于個(gè)人來(lái)說(shuō)一定是十分敏感的。位置隱私是物聯(lián)網(wǎng)中用戶(hù)的位置信息，指人們?cè)讷@取位置和使用位置時(shí)將自身的位置信息視作一種個(gè)人隱私信息，同時(shí)也可以指用戶(hù)為了保護(hù)自身位置隱私所應(yīng)具備的權(quán)利和能力。

通常，移動(dòng)用戶(hù)在使用位置服務(wù)時(shí)需要提交用戶(hù)的身份標(biāo)志符（identity）、空間信息（position）、時(shí)間信息（time）等。根據(jù)移動(dòng)用戶(hù)提交的信息，我們可以概括隱私保護(hù)的對(duì)象如下。

① 身份標(biāo)志符：用來(lái)唯一標(biāo)志用戶(hù)信息的憑證。即使用戶(hù)在發(fā)布查詢(xún)的過(guò)程中隱藏了身份標(biāo)志符信息，攻擊者仍然可以通過(guò)發(fā)布的位置信息或提交的特定查詢(xún)等上下文信息推測(cè)出用戶(hù)的身份。

② 空間信息：在LBS中指用戶(hù)提交的位置信息，在定位服務(wù)中指用戶(hù)所提交的用于定位的相關(guān)信息，包括Wi-Fi指紋信息等。用戶(hù)的空間信息泄露會(huì)直接或間接地導(dǎo)致攻擊者知道用戶(hù)的當(dāng)前位置，進(jìn)而可根據(jù)用戶(hù)的當(dāng)前位置，合理地判斷用戶(hù)的工作場(chǎng)所、生活習(xí)慣等。例如，攻擊者可以根據(jù)用戶(hù)在工作日經(jīng)常提交的位置信息推測(cè)出用戶(hù)的工作地點(diǎn)。用戶(hù)可能希望提供不同的位置精度，例如，告訴朋友們準(zhǔn)確的位置，而為天氣服務(wù)提供粗略的位置。此外，位置信息不只是具體的經(jīng)緯度信息，例如，用戶(hù)不希望發(fā)布其在醫(yī)院的信息，這里需要保護(hù)的空間信息代表一個(gè)位置場(chǎng)所。

③ 軌跡：時(shí)間信息和空間信息一起定義了在一段時(shí)間內(nèi)用戶(hù)的位置移動(dòng)順序，即軌跡。相對(duì)于位置信息，軌跡信息更容易導(dǎo)致用戶(hù)的生活習(xí)慣泄露，例如，攻擊者可以推測(cè)出用戶(hù)的上下班線(xiàn)路。

02 位置隱私保護(hù)結(jié)構(gòu)

根據(jù)用戶(hù)的位置是否連續(xù)，位置隱私保護(hù)技術(shù)可以分為單點(diǎn)位置的隱私保護(hù)技術(shù)和連續(xù)軌跡的隱私保護(hù)技術(shù)。單點(diǎn)位置的隱私是指誰(shuí)在某個(gè)時(shí)刻到過(guò)什么地方，而連續(xù)軌跡的隱私是指誰(shuí)在什么時(shí)間段內(nèi)到過(guò)哪些地方。

這里所指的位置隱私是單點(diǎn)位置隱私。位置隱私保護(hù)的目標(biāo)有3種：

① 身份保護(hù)，隱藏用戶(hù)身份，SP只能知道位置但不知道是誰(shuí)在請(qǐng)求服務(wù)；

② 位置保護(hù)，SP知道是誰(shuí)在請(qǐng)求服務(wù)，但不能獲取其準(zhǔn)確位置；

③ 身份和位置保護(hù)，SP不知道是誰(shuí)在哪里請(qǐng)求服務(wù)。

目前的位置隱私保護(hù)技術(shù)所采用的結(jié)構(gòu)大體可以分為以下3類(lèi)：獨(dú)立結(jié)構(gòu)、集中式結(jié)構(gòu)和P2P結(jié)構(gòu)。

（1）獨(dú)立結(jié)構(gòu)

獨(dú)立結(jié)構(gòu)由用戶(hù)和SP兩部分構(gòu)成，因此又稱(chēng)為客戶(hù)服務(wù)器結(jié)構(gòu)。如圖2所示，獨(dú)立結(jié)構(gòu)中一次LBS的整體流程如下：首先用戶(hù)在通過(guò)定位技術(shù)獲取位置信息后，通過(guò)假名或者模糊位置對(duì)自己要發(fā)送給SP的信息進(jìn)行匿名處理，形成一個(gè)虛假的結(jié)果或者一個(gè)結(jié)果集，這些工作全部由用戶(hù)獨(dú)立完成，并直接和SP進(jìn)行通信，并將結(jié)果發(fā)送給SP，SP根據(jù)接收到的信息，完成用戶(hù)提出的查詢(xún)?nèi)蝿?wù)，并將查詢(xún)結(jié)果返回給用戶(hù)，用戶(hù)收到后從中選出符合自己需要的結(jié)果即可。獨(dú)立結(jié)構(gòu)比較簡(jiǎn)單，容易實(shí)現(xiàn)，但是，所有的隱私保護(hù)工作需要用戶(hù)自己來(lái)完成，對(duì)移動(dòng)設(shè)備要求高，而且在人員稀疏的環(huán)境中保護(hù)效果會(huì)很差，很容易被攻擊者識(shí)別出真實(shí)的身份信息和位置信息。

圖2  獨(dú)立結(jié)構(gòu)

（2）集中式結(jié)構(gòu)

集中式結(jié)構(gòu)是在獨(dú)立結(jié)構(gòu)的基礎(chǔ)上引入了可信的第三方——匿名服務(wù)器。該服務(wù)器位于用戶(hù)和SP之間，負(fù)責(zé)管理用戶(hù)的位置信息、匿名需求、定位結(jié)果處理、查詢(xún)結(jié)果篩選等，須對(duì)用戶(hù)的位置進(jìn)行保護(hù)。圖3所示為集中式結(jié)構(gòu)中一次LBS的整體流程。用戶(hù)首先獲得自己精確的位置信息，然后將精確的位置信息發(fā)送給匿名服務(wù)器。匿名服務(wù)器結(jié)合其他用戶(hù)上傳的位置信息，使用匿名算法按照用戶(hù)的匿名需求對(duì)位置進(jìn)行匿名處理，之后將處理過(guò)的結(jié)果發(fā)送給SP。SP根據(jù)接收到的數(shù)據(jù)，查詢(xún)相應(yīng)的結(jié)果并將其返回給匿名服務(wù)器，經(jīng)過(guò)對(duì)結(jié)果的篩選，匿名服務(wù)器即可把最終的結(jié)果返回給查詢(xún)用戶(hù)。從服務(wù)過(guò)程的變化可以看出，引入可信第三方（匿名服務(wù)器）能夠充分減小移動(dòng)設(shè)備的工作負(fù)擔(dān)，解決了移動(dòng)設(shè)備計(jì)算和存儲(chǔ)能力有限的問(wèn)題，可以把更復(fù)雜的匿名算法引入位置保護(hù)系統(tǒng)，還能夠利用周邊環(huán)境和其他用戶(hù)的信息，有效提高位置隱私保護(hù)的效率和安全性。但是，集中式結(jié)構(gòu)也有明顯的缺點(diǎn)：每個(gè)用戶(hù)的匿名都需要通過(guò)匿名服務(wù)器的計(jì)算和分析，當(dāng)用戶(hù)數(shù)量大幅增加時(shí)，匿名服務(wù)器就會(huì)成為性能的瓶頸，影響LBS的時(shí)效性，甚至?xí)l(fā)生服務(wù)器崩潰的情況。更為重要的是，匿名服務(wù)器中保存著大量的用戶(hù)身份信息和位置信息數(shù)據(jù)，一旦遭到攻擊，大量用戶(hù)隱私必將泄露，這將會(huì)造成十分嚴(yán)重的后果。

圖3  集中式結(jié)構(gòu)

（3）P2P結(jié)構(gòu)

因?yàn)榧惺浇Y(jié)構(gòu)中匿名服務(wù)器的局限性和移動(dòng)設(shè)備性能的飛速發(fā)展，P2P結(jié)構(gòu)應(yīng)運(yùn)而生。P2P結(jié)構(gòu)去掉了可信第三方中間件，僅由移動(dòng)用戶(hù)和SP組成。與獨(dú)立結(jié)構(gòu)不同的是，移動(dòng)設(shè)備用戶(hù)為了利用其他用戶(hù)的信息來(lái)保護(hù)自身的位置隱私，用戶(hù)之間建立了對(duì)等網(wǎng)絡(luò)。雖然同樣是由用戶(hù)自身完成位置隱私保護(hù)工作，但是P2P結(jié)構(gòu)中有許多對(duì)等的移動(dòng)節(jié)點(diǎn)提供了平等的信息共享服務(wù)，在每個(gè)節(jié)點(diǎn)發(fā)起查詢(xún)時(shí)，其他節(jié)點(diǎn)會(huì)提供協(xié)助以共同完成隱私保護(hù)，抵御攻擊。圖4所示為P2P結(jié)構(gòu)中一次LBS的整體流程。當(dāng)用戶(hù)需要發(fā)起LBS時(shí)，其首先會(huì)請(qǐng)求網(wǎng)絡(luò)內(nèi)其他用戶(hù)的協(xié)助，即會(huì)將請(qǐng)求協(xié)助信息在網(wǎng)絡(luò)內(nèi)廣播。收到其他節(jié)點(diǎn)的回復(fù)后，將其中符合匿名要求的信息收集到一起作為匿名集合。之后由用戶(hù)隨機(jī)選擇的代理用戶(hù)將查詢(xún)請(qǐng)求發(fā)送給SP。SP經(jīng)過(guò)查詢(xún)后將結(jié)果返回給代理用戶(hù)并由代理用戶(hù)最終返回給用戶(hù)。P2P結(jié)構(gòu)取消了匿名服務(wù)器，解決了集中式結(jié)構(gòu)中第三方處理數(shù)據(jù)的瓶頸問(wèn)題（如可行度、性能等），但是要求每個(gè)移動(dòng)用戶(hù)都必須具有兩個(gè)獨(dú)立的網(wǎng)絡(luò)，一個(gè)網(wǎng)絡(luò)用于LBS通信，另一個(gè)網(wǎng)絡(luò)用于P2P通信；同時(shí)對(duì)移動(dòng)設(shè)備的性能和網(wǎng)絡(luò)的傳輸效率要求較高；在人員稀少的地區(qū)比較難以實(shí)現(xiàn)匿名區(qū)的組建；惡意節(jié)點(diǎn)的存在會(huì)導(dǎo)致匿名的安全性和質(zhì)量難以滿(mǎn)足要求。

圖4  P2P結(jié)構(gòu)