OpenCyber AcademyMapa da aula
Aula 02 publicada. Mapa, exemplo, EX008.
flowchart TD
N0["2.1 Do direito de ser deixado em paz"]
N1["2.2 Modelos sintáticos de anonimato"]
N2["2.3 Vinculação e desanonimização"]
N3["2.4 Privacidade diferencial"]
N4["2.5 A lacuna"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX008"]
Desenho lógico
flowchart LR
N0["2.1 Do direito de ser deixado em paz"]
N1["2.2 Modelos sintáticos de anonimato"]
N2["2.3 Vinculação e desanonimização"]
N3["2.4 Privacidade diferencial"]
N4["2.5 A lacuna"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX008"]
[2.1 Do direito de ser deixado em paz]
|
v
[2.2 Modelos sintáticos de anonimato]
|
v
[2.3 Vinculação e desanonimização]
|
v
[2.4 Privacidade diferencial]
|
v
[2.5 A lacuna]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX008]
Objetivos de aprendizagem
Você vai (1) traçar o desenvolvimento da teoria da privacidade; (2) contrastar os modelos sintáticos de anonimato com a privacidade diferencial; (3) localizar a lacuna que o estudo de Ines aborda.
2.1 Do direito de ser deixado em paz
Ines começa sua revisão por Warren e Brandeis (1890), que defenderam na Harvard Law Review um direito à privacidade contra a fotografia invasiva e a fofoca. Mais tarde, Solove (2006) argumentou que a privacidade não é uma coisa só e ofereceu uma taxonomia de atividades danosas, agrupadas em coleta de informações, processamento de informações, disseminação de informações e invasão. Nissenbaum (2004, 2009) propôs a integridade contextual: um fluxo de informação é apropriado quando respeita as normas do contexto em que a informação foi compartilhada. Para dados de transporte, a integridade contextual pergunta se os passageiros esperam que suas viagens cheguem, de alguma forma, aos planejadores urbanos.
2.2 Modelos sintáticos de anonimato
A primeira família técnica protege os registros fazendo com que se pareçam uns com os outros. Sweeney (2002) definiu o k-anonimato: cada combinação de quase-identificadores deve ser compartilhada por pelo menos k registros. Machanavajjhala e colegas (2007) mostraram que um grupo k-anônimo ainda pode revelar um valor sensível se todos nele tiverem esse mesmo valor, e propuseram a l-diversidade. Li, Li e Venkatasubramanian (2007) propuseram a t-proximidade (t-closeness), que exige que a distribuição sensível de cada grupo fique próxima da distribuição geral. Ines observa que cada modelo foi proposto depois de um ataque ao anterior, o que sugere que as garantias sintáticas dependem de hipóteses sobre o atacante.
2.3 Vinculação e desanonimização
Narayanan e Shmatikov (2008) mostraram que um conjunto supostamente anônimo de avaliações de filmes podia ser vinculado a resenhas públicas usando apenas algumas avaliações conhecidas, porque registros esparsos são muito distintivos. O resultado se generaliza para as viagens de transporte, que também são esparsas e distintivas. O relatório de Garfinkel para o NIST sobre desidentificação (NISTIR 8053, 2015) e a NIST SP 800-188 (2023) descrevem a posição prática que resulta disso: remover nomes não basta, o risco de reidentificação precisa ser estimado, e a escolha do método deve depender do modelo de publicação, seja público, restrito ou em ambiente controlado (enclave), bem como dos usuários pretendidos dos dados.
2.4 Privacidade diferencial
A segunda família protege o resultado de uma análise, e não os registros. Dwork, McSherry, Nissim e Smith (2006) introduziram a calibração do ruído pela sensibilidade da consulta: se acrescentar ou retirar uma pessoa muda uma contagem em no máximo um, o ruído de Laplace com escala de um sobre épsilon torna a contagem publicada quase igualmente provável com ou sem aquela pessoa. Dwork e Roth (2014) apresentam os fundamentos formais. A garantia vale seja qual for o conhecimento prévio do atacante, o que responde à fraqueza dos modelos sintáticos, mas custa precisão, e o custo é maior nas contagens pequenas, como estações pouco movimentadas e viagens raras.
2.5 A lacuna
Ines encontra muitas comparações teóricas e muitos estudos de caso com um único método, mas poucos estudos que comparem as duas famílias sobre a mesma publicação, meçam o risco com o mesmo ataque e perguntem a usuários reais se o resultado continua útil. Essa é a sua lacuna. Sua contribuição será empírica e prática: uma comparação controlada sobre uma única população sintética de transporte, com a aceitação dos planejadores como critério explícito de utilidade. Ela escreve a lacuna em uma única frase para sua banca e a confronta com a pergunta falseável do Capítulo 1, para que a revisão e o desenho do estudo apontem exatamente para a mesma incerteza.
Exemplo resolvido
Ines agrupa a literatura em teoria (Warren e Brandeis, Solove, Nissenbaum), modelos sintáticos (Sweeney, l-diversidade, t-proximidade), ataques (Narayanan e Shmatikov) e privacidade diferencial (Dwork e colegas), e identifica uma lacuna: a comparação na mesma publicação com um teste de utilidade feito pelos usuários.
Caso sintético. Todas as obras citadas são reais e constam das referências; a síntese de Ines é uma ilustração didática.
Erros e limites
Um mapa da literatura simplifica; a privacidade diferencial também tem variantes e sofre ataques às suas implementações. A integridade contextual é uma teoria normativa, não uma métrica.
Exercícios
- EX008 — Integridade contextual. Como a integridade contextual julgaria o envio de dados de viagem aos planejadores?
Mostrar critérios de avaliação
Rubrica: 3 = pergunta se o fluxo respeita as normas que os passageiros esperavam ao passar o cartão;; 2 = menciona normas;; 1 = diz que é legal;; 0 = nenhuma. - EX009 — Grupos de Solove. Cite os quatro grupos de problemas de privacidade de Solove.
Mostrar critérios de avaliação
Rubrica: 3 = coleta, processamento, disseminação, invasão;; 2 = cita três;; 1 = cita um;; 0 = nenhuma. - EX010 — Motivo da l-diversidade. Que fraqueza do k-anonimato levou à l-diversidade?
Mostrar critérios de avaliação
Rubrica: 3 = um grupo k-anônimo pode compartilhar um único valor sensível, revelando-o para todos os membros;; 2 = menciona valores sensíveis;; 1 = repete a definição de k-anonimato;; 0 = nenhuma. - EX011 — Registros esparsos. Por que o resultado de Narayanan e Shmatikov importa para dados de transporte?
Mostrar critérios de avaliação
Rubrica: 3 = as viagens são esparsas e distintivas como as avaliações, então poucas viagens conhecidas podem vincular um registro;; 2 = diz que a vinculação é possível;; 1 = cita apenas o caso dos filmes;; 0 = nenhuma. - EX012 — Sentido da sensibilidade. O que é a sensibilidade de uma consulta de contagem, e por que ela importa?
Mostrar critérios de avaliação
Rubrica: 3 = o máximo que uma pessoa pode alterá-la, um; a escala do ruído é a sensibilidade sobre épsilon;; 2 = define sensibilidade de modo vago;; 1 = cita apenas o épsilon;; 0 = nenhuma. - EX013 — Conhecimento prévio. Que vantagem a privacidade diferencial tem sobre os modelos sintáticos?
Mostrar critérios de avaliação
Rubrica: 3 = sua garantia vale independentemente do conhecimento prévio do atacante;; 2 = menciona atacantes;; 1 = diz que é mais nova;; 0 = nenhuma. - EX014 — Enunciado da lacuna. Enuncie em uma frase a lacuna de pesquisa de Ines.
Mostrar critérios de avaliação
Rubrica: 3 = poucos estudos comparam as duas famílias em uma publicação, com um ataque e um teste de utilidade com usuários;; 2 = menciona comparação;; 1 = diz que é preciso mais pesquisa;; 0 = nenhuma.
Síntese
O capítulo 2 mapeia teoria, modelos, ataques e privacidade diferencial até chegar a uma lacuna precisa. O capítulo 3 transforma a lacuna em uma proposta com uma linha de base de generalização.