Anonymisation de données liées en utilisant la confidentialité différentielle

• Auteur / Autrice : Sara Taki
• Direction : Benjamin Nguyen
• Type : Thèse de doctorat
• Discipline(s) : Informatique
• Date : Soutenance le 21/12/2023
• Etablissement(s) : Bourges, INSA Centre Val de Loire
• Ecole(s) doctorale(s) : École doctorale Mathématiques, Informatique, Physique Théorique et Ingénierie des Systèmes (Centre-Val de Loire ; 2012-....)
• Partenaire(s) de recherche : Laboratoire : Laboratoire d'informatique fondamentale d'Orléans (Orléans ; 1987-....)
• Jury : Examinateurs / Examinatrices : Benjamin Nguyen, Catuscia Palamidessi, Angela Bonifati, Cédric Eichler, Jean-François Couchot
• Jury : Rapporteurs / Rapporteuses : Catuscia Palamidessi, Angela Bonifati

Mots clés

Mots clés libres

Anonymisation

Confidentialité différentielle

Rdf

Projection de graphe

RDB2RDF Mappage

Réécriture de Graphes

Anonymization

Differential Privacy

Rdf

Graph projection

RDB2RDF mapping

Graph Rewriting

Résumé

Cette thèse étudie le problème de la protection de la vie privée dans le LinkedOpen Data (ou « LOD », en français « web des données ouvertes » ou encore « donnéesliées ouvertes »). Ce travail se situe à l’intersection d’une longue série de travaux sur laconfidentialité des données et le LOD. Notre objectif est d’étudier l’impact des aspectssémantiques sur la publication des données et sur les fuites éventuelles d’information.Nous considérons RDF comme le format de représentation du LOD et la confidentialitédifférentielle (DP) comme le principal critère de protection de la vie privée. La DP a étéinitialement conçue pour définir la confidentialité dans le domaine des bases de donnéesrelationnelle. Elle est basée sur une quantification de la difficulté pour un attaquantd’identifier, en observant le résultat d’un algorithme, quelle base de données parmis unvoisinage a été utilisée pour le produire.Les objectifs de cette thèse sont au nombre de quatre: O1) améliorer la protectiondes données LOD. En particulier, proposer une approache permettant de construire desméchanismes DP utilisables sur RDF ; O2) étudier comment les définitions des voisinagessur les bases de données relationnelles en présence de contraintes de clés étrangères (FK) peuvent être traduites en RDF : O3) proposer de nouvelles définitions de voisinages sur des bases de données relationnelles équivalente à des notions existantes de voisinage sur les graphes (avec une sémantique précise) et O4) proposer un formalisme facilitant laconception et l’implémentation de mécanismes d’anonymisation de données RDF.Concernant O1, nous proposons une nouvelle approche basée sur la projection degraphes pour adapter le concept de DP à RDF. Pour O2, nous déterminons le modèlede protection qui correspond à la traduction de modèles déjà existants pour des basesde données relationnelles sous contraintes FK. Pour O3, nous introduisons le conceptde restrict deletion neighborhood (voisinage d’effacement limité) équivalent envoisinage de type "typed-node" (noeud typé). Nous proposons également une relaxation de la définition permettant de traduite les voisinages "typed-outedge" (arc sortanttypé). Pour O4, nous proposons un langage de transformation de graphes basé sur leconcept de réécriture de graphes, qui sert de fondation pour construire divers mécanismes d’anonymisation sur des graphes attribués.L’ensemble de nos contributions théoriques ont été implémentées par des prototypes"preuve de concept" et ont été évalués sur des jeux de données réels, afin de montrerl’applicabilité de nos travaux à des cas d’usage réels.

This thesis studies the problem of privacy in linked open data (LOD). Thiswork is at the intersection of long lines of work on data privacy and linked open data.Our goal is to study how the presence of semantics impacts the publication of data andpossible data leaks. We consider RDF as the format to represent LOD and DifferentialPrivacy (DP) as the main privacy concept. DP was initially conceived to define privacyin the relational database (RDB) domain and is based on a quantification of the difficultyfor an attacker observing an output to identify which database among a neighborhoodis used to produce it.The objective of this thesis is four-fold: O1) to improve the privacy of LOD. Inparticular, to propose an approach to construct usable DP-mechanisms on RDF; O2) tostudy how neighborhood definitions over RDB in the presence of foreign key (FK) constraints translate to RDF; O3) to propose new neighborhood definitions over relationaldatabase translating into existing graph concepts to ease the design of DP mechanisms;and O4) to support the implementation of sanitization mechanisms for RDF graphs witha rigorous formal foundation.For O1, we propose a novel approach based on graph projection to adapt DP toRDF. For O2, we determine the privacy model resulting from the translation of popularprivacy model over RDB with FK constraints to RDF. For O3, we propose the restrictdeletion neighborhood over RDB with FK constraints whose translation to the RDFgraph world is equivalent to typed-node neighborhood. Moreover, we propose a looserdefinition translating to typed-outedge neighborhood. For O4, we propose a graphtransformation language based on graph rewriting to serve as a basis for constructingvarious sanitization mechanisms on attributed graphs.We support all our theoretical contributions with proof-of-concept prototypes thatimplement our proposals and are evaluated on real datasets to show the applicability ofour work.