Mesurer la confidentialité avec des métriques de discernabilité: définitions, mécanismes et confidentialité des informations liées à la localisation. (Measuring Privacy with Distinguishability Metrics: Definitions, Mechanisms and Application to Location Privacy)

La disponibilite croissante de smartphones et tablettes a donne lieu a l’elaboration d’une vaste classe de nouvelles applications, qui recueillent et analysent de grandes quantites d’informations sur leurs utilisateurs pour des raisons differentes: offrir un service personnalise, offrir de la publicite ciblee, etc. Toutefois, le type et la quantite de donnees collectees ont engendres des graves preoccupations concernant la vie privee: en effet, ces donnees sont en general confidentielles par nature, et souvent, elles peuvent etre liees a d’autres types d’informations sensibles. Afin de pallier a ces preoccupations, des garanties de confidentialite sont necessaires. Differential privacy est l’une des notions de confidentialite les plus importantes dans le contexte des bases de donnees statistiques. Elle fournit une garantie formelle de confidentialite, assurant qu’aucune information sensible concernant des particuliers ne peut etre facilement deduite par la divulgation des reponses aux questions globales. Si deux bases de donnees sont adjacentes, c’est a dire ne different que pour un individu, la requete ne devrait pas permettre de les distinguer par plus d’un certain facteur. Ceci induit une borne sur la discernabilite qui est determinee par la distance sur le graphe de Hamming de la relation de contiguite. Lorsque les informations sensibles a proteger ne sont pas les donnees relatives a un seul individu, ou lorsque les secrets se sont pas du tout les bases de donnees, il est courant de considerer les differentes notions de discernabilite, qui dependent de l’application et de la garantie de confidentialite que nous voulons exprimer. Dans la premiere partie de cette these, nous explorons les implications de la differential privacy lorsque l’exigence d’indiscernabilite repose sur une notion arbitraire de la distance. Nous pouvons exprimer de cette facon les menaces contre la vie privee qui ne peuvent pas etre representees par la notion standard. Nous donnons des caracterisations intuitives de ces menaces en termes d’adversaires bayesiens. Nous revisitons les resultats connus sur les mecanismes universellement optimaux, et nous montrons que, dans notre contexte, ces mecanismes existent pour les requetes somme, moyenne, et percentile. Dans la deuxieme partie de cette these, nous introduisons le concept de geo-indiscernabilite, une notion formelle de confidentialite pour les systemes bases sur la localisation. Cette definition est un cas particuliere de la version generalisee de la differential privacy presente precedemment. Nous presentons aussi un mecanisme qui permet d’atteindre cette notion et nous etudions les differentes questions que pose la mise en œuvre, a savoir la troncature du resultat et l’effet de la precision de la machine. Nous decrivons egalement comment utiliser notre mecanisme pour ameliorer les applications LBS avec des garanties de geo-indiscernabilite sans compromettre la qualite des resultats. Dans la derniere partie de cette these, nous considerons le mechanisme de Shokri et al, qui offre un compromis optimal entre la perte de qualite de service et la protection de la vie privee par rapport a un adversaire bayesien. Nous montrons qu’il est possible de combiner les avantages de cette approche avec la notre: etant donne un seuil minimal pour le degre de geo-indiscernabilite, nous construisons un mecanisme qui offre utilite maximale, en resolvant un probleme d’optimisation lineaire. Puisque la geo-indiscernabilite est insensible a la reconfiguration d’un adversaire bayesien, ce mecanisme est egalement optimal dans le sens de Shokri et al. En outre, nous proposons une methode pour reduire le nombre de contraintes du programme lineaire de cubique e quadratique, elargissant considerablement la taille des ensembles de localisations pour lesquels les mecanismes optimaux peuvent encore etre calcules, tout en maintenant les garanties de confidentialite sans affecter significativement l’utilite du mecanisme genere.