数据安全技术 | 隐私保护技术

点击蓝字关注我们

本期简单介绍个人信息保护领域必不可少的隐私保护技术，这些技术一般在国标、行标中都会被提及到。

01

隐私保护技术概述

NEWS TODAY

隐私保护概述

隐私保护涉及以下基本技术，及这些技术的组合运用或关联运用。

1. 数据最小化：只收集与目的明确相关的数据，不收集或立即删除无关数据。

2. 假名化：通过哈希、多态假名方式删除所有可以直接识别个人的元素。

3. 匿名化：采用不同方法进行数据匿名化和数据聚合。

4. 加密：采用加密方式对收集的数据进行加密，包括对数据的传输和存储进行加密。

5. 访问控制：通过物理手段和逻辑手段，以及认证和授权来保证人员才可以访问相关数据，操作是全程受控。

6. 默认数据保护：所有设置默认是隐私友好的，且用户界面透明、权限管理清晰。

7. 数据保存期限和删除：严格遵守数据保存期限，对于达到使用目的的数据立即删除或将数据标记为删除且不可用。

8. 隐私看板和用户沟通：与用户保持顺畅沟通，保证透明性，以用户友好的方式，通过简单易懂的语言公示隐私政策。

匿名化技术

欧盟《通用数据保护条例》(GDPR)对于匿名化的定义为“匿名化是指移除个人数据中可识别个人信息的部分，并且通过这一方法，数据主体不会再被识别。匿名化数据不属于个人数据，因此无须适用条例的相关要求，机构可以自由地处理匿名化数据。”匿名化主要用于保护个人隐私，匿名化并不是要取代数据的访问控制和系统的安全配置，其主要作用是，将因受法律法规限制而无法收集的数据变得可以收集和分析。欧盟WP29工作小组列举的匿名化技术包括随机化技术和泛化技术两类。

• 随机化技术包括加噪、置换、差分隐私等技术；
• 泛化技术包括聚合与K-匿名(K-Anonymity)、L-多样性和T-接近度。

假名化技术

欧盟网络安全局(ENISA)定义：假名化是指以以下方式处理个人数据：在不使用附加信息的情况下，无法再将个人数据归于特定数据主体，前提是此类附加信息应单独保存，并受技术和组织管理措施的约束，以确保个人数据无法对应到已识别或可识别的自然人。

假名(Pseudonym)，也称隐名(Cryptonym)，是与个人识别信息或任何其他种类的个人数据（如位置数据）相关联的信息。假名可能具有和原始标识符的不同程度的可链接性。

WP29工作组列举了常用的假名化技术，包括：

• 带密钥加密(Encryption With Secret Key)；

• 不带密钥的哈希函数(Hash Function)；

• 带密钥的哈希函数(Keyed-hash Function With Stored Key)；

• 确定性加密或丢弃密钥的哈希函数；

• 令牌化(Tokenization)等。

02

匿名化技术

技术概述

匿名化是指移除个人数据中可识别个人信息的部分，并且通过这一方法，数据主体不会再被识别。

匿名化数据不属于个人数据，因此无须适用条例的相关要求，机构可以自由地处理匿名化数据。

随机化技术

随机化技术包括加噪、置换、差分隐私等技术。

加噪技术

加噪技术，指增加噪声的技术：将一定的噪声添加到原始数据中，使数据的精确度降低。

例如，医院患者的体重表，添加噪声后，显示的体重的误差为±5kg。针对体重维度的统计分析仍然具备一定的可行性，甚至可针对每个患者，也有助于医生判断合适的药量，且一定程度上保护了患者的隐私。

置换技术

置换技术是指对某个属性的值进行重新排列，其不同的值仍然可以链接到不同的数据主体。当需要在数据集中保留属性的确切分布时，此技术很有用。

置换技术可以通过将数据从一个记录交换到另一个记录来更改数据集中的值。这种交换将确保值的范围和分布保持不变，但值与个人之间的相关性存在变化。

如果两个或多个属性具有逻辑关系或统计相关性，并且被独立置换，则这种逻辑关系将被破坏。因此，重要的是对所有相关属性进行置换，否则，攻击者可能会识别出置换的属性并逆转置换。

差分隐私技术

差分隐私技术并不试图修改属性的值，而是在数据集的查询视图生成之前，添加一定的随机噪声。通过这种方式，可以生成数据集的匿名化视图，同时可以保留原始数据集的副本。

利用部分差分隐私技术甚至可以分析出需要添加多少噪声，以及以哪种形式获得必要的隐私保证。在这种情况下，需关注通过频繁查询，在不同的结果集中关联，识别个人的可能性。

差分隐私技术不会更改原始数据，数据控制者可以通过差分隐私查询的结果来识别个人，此类结果也必须视为个人数据。

为了限制推理和可链接性攻击，有必要跟踪查询实体发出的请求，并观察从数据主体获取的信息。差分隐私数据集不应部署在不提供查询实体可追溯性的开放式搜索引擎上。

泛化技术

这种技术包括通过修改相应的规模或量级来概括或稀释数据主体的属性。

泛化虽然可以有效地防止识别出个体，但并不独立构成有效的匿名化。它需要特定且复杂的定量方法来防止可链接性和推断。

聚合技术

聚合旨在通过将数据主体与其他有类似属性的个人进行分组，以避免在组中识别出单个的数据主体。

K-匿名技术是聚合的一种形式，通过保证每组不少于K个人，来进一步增加识别的难度。为此，属性值要做一定程度的通用化，使同一组的K个人共享相同的属性值。

K-匿名

基本理念是，通过归纳数据集中的某些值，将个人信息隐藏在组中。

源数据

K-匿名

在处理个人数据时，需要仔细分析适用的法律法规，落实数据的保护机制，并和法务、隐私保护官等角色充分沟通。

L-多样性

L-多样性(L-diversity)是对K-匿名的扩展，以确保在每个等价类中的每个属性都至少具有L个不同的值，从而确保不受确定推论攻击。

实现的一个基本目标是限制属性可变性较差的等价类的发生，这样针对具有特定数据主体背景知识的攻击者，仍然可以留下显著的不确定性。当属性值分布良好时，L-多样性可用于保护数据免受推论攻击。如果分区内的属性分布不均匀，或者仅有少量可能的值或语义，则此技术无法防止信息泄露。同时，L-多样性也会受到概率推论攻击。

T-接近度

T-接近度(T-Closeness)是对L-多样性的进一步优化。它旨在创建属性初始分布的等效类。

此技术对于保持数据尽可能接近原始数据的场景很有用。为此，对等价类又添加了一个约束，即不仅每个等价类中至少应存在T个不同的值，而且每个值必须出现多次，以镜像每个属性的初始分布。

03

假名化技术

技术概述

假名化是指在不使用附加信息的情况下，无法再将个人数据归于特定数据主体，前提是此类附加信息应单独保存，并受技术和组织管理措施的约束，以确保个人数据无法对应到已识别或可识别的自然人。

加密技术

加密技术是假名化的关键技术，包括带密钥加密、确定性加密等。

1. 带密钥加密

密钥的拥有者可以很容易地从假名化的数据中恢复明文数据。不过，只要正确地使用现代的加密方法，非密钥的拥有者就无法解密数据。

2. 确定性加密

一般是指采用某种加密算法，随机生成密钥，对数据做加密，然后丢弃密钥。这种技术可以类比为给数据表中的每个属性选择一个随机数以作为假名，然后删除原始表。

哈希技术

哈希函数接收任意大小的输入，返回一个固定大小的输出，并且不能被逆转，如果输入值的范围已知，则可以彩虹表攻击方式反查，从而得到相应的输入值。

使用加盐哈希的(salted-hash)函数，也就是说，在被哈希的输入数据中加入一个随机值，即所谓的“盐”。该方法可以降低推导出输入值的可能性，仍然存在通过彩虹表攻击得到原始属性值的可能性。

带密钥的哈希函数提供稍好一些的安全性。该类函数使用一个秘密的密钥作为额外的输入。它与加盐哈希函数不同，因为盐通常可以公开。

令牌化技术

令牌化(Tokenization)技术是在应用于数据安全时，用不具有外在或可利用的含义或价值的非敏感等效项［称为“令牌”(Token)］替换敏感数据元素的过程。

令牌是对敏感数据的引用（标识符），通过令牌化技术可以映射回敏感数据。从原始数据到令牌的映射使用的方法需要保证令牌在没有令牌化技术的情况下无法进行反向转换。

令牌化技术为数据处理应用程序提供权限和接口，以请求令牌或将令牌反令牌化得到敏感数据。必须使用适用于敏感数据保护、安全存储、审计、身份验证和授权的最佳安全实践来保护和验证令牌化技术。

良好的令牌生成方法应该具有以下特性：通过直接攻击、密码分析、侧信道分析、令牌映射表窃取或暴力破解技术无法将令牌反向转换为实时数据。

令牌化可用于保护敏感数据，PCI将令牌化定义为：通过将主账号(Primary Account Number,PAN)替换为称为令牌的替代值的过程。去令牌化是将令牌赎回为其关联的PAN值的反向过程。个人的安全性令牌主要取决于仅知道令牌值无法确定原始PAN。”

本文摘取来源：《数据安全领域指南》

END

想了解更多数据安全的管理制度、标准规范、产品服务、认证评估等，可扫码加入「 数据安全备忘录」知识星球，更多精彩内容持续更新中！

现在加入有优惠！

关注【数据安全备忘录】公众号，获取更多行业资讯！

经典的 Diffie-Hellman 密钥交换协议运算在有限循环群上【离散对数问题】。

该协议在初始化阶段选择大素数 P，令 g 为模 p 乘法群的生成元，并公开参数 p 和 g。用户 A 和用户 B 之间的 Diffie-Hellman 密钥交换协议如图所示。

① 用户 A 选择随机数 ，计算 ，并将 X 发送给用户 B；

② 用户 B 选择随机数 ，计算  ，并将 Y发送给用户 A；

③ 用户 A 计算 为会话密钥；

④ 用户 B 计算 为会话密钥。

Diffie-Hellman 密钥交换协议只能提供建立会话密钥的功能，并不能抵抗中间人攻击，同时也不能提供相互鉴别的安全保障。

在具有鉴别功能的密钥交换协议中，Menezes等人在 1995 年给出的 MQV 方案最具代表性。

九

月九日忆山东兄弟

[唐] 王维   

独在异乡为异客，

每逢佳节倍思亲。

遥知兄弟登高处，

遍插茱萸少一人。

《九月九日忆山东兄弟》是唐代诗人王维的名篇之一。此诗写出了游子的思乡怀亲之情。诗一开头便紧切题目，写异乡异土生活的孤独凄然，因而时时怀乡思人，遇到佳节良辰，思念倍加。接着诗一跃而写远在家乡的兄弟，按照重阳节的风俗而登高时，也在怀念自己。诗意反复跳跃，含蓄深沉，既朴素自然，又曲折有致。其中“每逢佳节倍思亲”更是千古名句。

九月十日即事

[唐] 李白    

昨日登高罢，

今朝再举觞。

菊花何太苦，

遭此两重阳。

《九月十日即事》是唐代诗人李白创作的一首五言古诗。这首诗借菊花的遭遇，抒发自己惋惜之情。前两句说重阳刚登高完毕，小重阳又再来饮酒赏菊。后两句说菊花为何这样命苦，遇到两次重阳，遭到两次采摘。实际是借菊花联想自己遭馋出京流放夜郎的不幸。意蕴深远。

九月九日忆山东兄弟

[唐] 王维   

独在异乡为异客，

每逢佳节倍思亲。

遥知兄弟登高处，

遍插茱萸少一人。

《九月九日忆山东兄弟》是唐代诗人王维的名篇之一。此诗写出了游子的思乡怀亲之情。诗一开头便紧切题目，写异乡异土生活的孤独凄然，因而时时怀乡思人，遇到佳节良辰，思念倍加。接着诗一跃而写远在家乡的兄弟，按照重阳节的风俗而登高时，也在怀念自己。诗意反复跳跃，含蓄深沉，既朴素自然，又曲折有致。其中“每逢佳节倍思亲”更是千古名句。

九月十日即事

[唐] 李白    

昨日登高罢，

今朝再举觞。

菊花何太苦，

遭此两重阳。

《九月十日即事》是唐代诗人李白创作的一首五言古诗。这首诗借菊花的遭遇，抒发自己惋惜之情。前两句说重阳刚登高完毕，小重阳又再来饮酒赏菊。后两句说菊花为何这样命苦，遇到两次重阳，遭到两次采摘。实际是借菊花联想自己遭馋出京流放夜郎的不幸。意蕴深远。