Linked Data Sanitization with Differential Privacy
Anonymisation de données liées en utilisant la confidentialité différentielle
Résumé
This thesis studies the problem of privacy in linked open data (LOD). This work is at the intersection of long lines of work on data privacy and linked open data. Our goal is to study how the presence of semantics impacts the publication of data and possible data leaks. We consider RDF as the format to represent LOD and Differential Privacy (DP) as the main privacy concept. DP was initially conceived to define privacy in the relational database (RDB) domain and is based on a quantification of the difficulty for an attacker observing an output to identify which database among a neighborhood is used to produce it.
The objective of this thesis is four-fold: O1) to improve the privacy of LOD. In particular, to propose an approach to construct usable DP-mechanisms on RDF; O2) to study how neighborhood definitions over RDB in the presence of foreign key (FK) constraints translate to RDF; O3) to propose new neighborhood definitions over relational database translating into existing graph concepts to ease the design of DP mechanisms; and O4) to support the implementation of sanitization mechanisms for RDF graphs with a rigorous formal foundation.
For O1, we propose a novel approach based on graph projection to adapt DP to RDF. For O2, we determine the privacy model resulting from the translation of popular privacy model over RDB with FK constraints to RDF. For O3, we propose the restrict deletion neighborhood over RDB with FK constraints whose translation to the RDF
graph world is equivalent to typed-node neighborhood. Moreover, we propose a looser definition translating to typed-outedge neighborhood. For O4, we propose a graph transformation language based on graph rewriting to serve as a basis for constructing various sanitization mechanisms on attributed graphs.
We support all our theoretical contributions with proof-of-concept prototypes that implement our proposals and are evaluated on real datasets to show the applicability of our work.
Cette thèse étudie le problème de la protection de la vie privée dans le Linked Open Data (ou « LOD », en français « web des données ouvertes » ou encore « données liées ouvertes »). Ce travail se situe à l’intersection d’une longue série de travaux sur la confidentialité des données et le LOD. Notre objectif est d’étudier l’impact des aspects sémantiques sur la publication des données et sur les fuites éventuelles d’information. Nous considérons RDF comme le format de représentation du LOD et la confidentialité différentielle (DP) comme le principal critère de protection de la vie privée. La DP a été initialement conçue pour définir la confidentialité dans le domaine des bases de données relationnelle. Elle est basée sur une quantification de la difficulté pour un attaquant d’identifier, en observant le résultat d’un algorithme, quelle base de données parmis un voisinage a été utilisée pour le produire.
Les objectifs de cette thèse sont au nombre de quatre: O1) améliorer la protection des données LOD. En particulier, proposer une approache permettant de construire des méchanismes DP utilisables sur RDF ; O2) étudier comment les définitions des voisinages sur les bases de données relationnelles en présence de contraintes de clés étrangères (FK) peuvent être traduites en RDF : O3) proposer de nouvelles définitions de voisinages sur des bases de données relationnelles équivalente à des notions existantes de voisinage sur les graphes (avec une sémantique précise) et O4) proposer un formalisme facilitant la conception et l’implémentation de mécanismes d’anonymisation de données RDF.
Concernant O1, nous proposons une nouvelle approche basée sur la projection de graphes pour adapter le concept de DP à RDF. Pour O2, nous déterminons le modèle de protection qui correspond à la traduction de modèles déjà existants pour des bases de données relationnelles sous contraintes FK. Pour O3, nous introduisons le concept de restrict deletion neighborhood (voisinage d’effacement limité) équivalent en voisinage de type "typed-node" (noeud typé). Nous proposons également une relaxation de la définition permettant de traduite les voisinages "typed-outedge" (arc sortant typé). Pour O4, nous proposons un langage de transformation de graphes basé sur le concept de réécriture de graphes, qui sert de fondation pour construire divers mécanismes d’anonymisation sur des graphes attribués.
L’ensemble de nos contributions théoriques ont été implémentées par des prototypes "preuve de concept" et ont été évalués sur des jeux de données réels, afin de montrer l’applicabilité de nos travaux à des cas d’usage réels.
| Origine | Fichiers produits par l'(les) auteur(s) |
|---|