推論控制 • 資訊安全工程

「隱私是個過渡性的概念。它始於人們不再相信上帝能看見一切，止於政府意識到有個空缺待補。」——尼德漢（Roger Needham）
「『匿名化資料』是那種聖杯之一，就像『健康的冰淇淋』或『可選擇性破解的密碼』。」——多克托羅（Cory Doctorow）

匿名化的四波幻滅#

正如菸草業花了數十年否認抽菸導致肺癌、石油業花了數十年否認氣候變遷，大數據業也花了數十年假裝敏感個資可以輕易被「匿名化」，好讓它能被當成工業原料使用而不侵犯資料主體的隱私權。

它的限制已被四波研究探索過，每一波都回應當時的技術。

波次	時間	脈絡
第一波	1970 年代末–1980 年代初	美國人口普查（統計本身敏感，但為了分配各州經費等正當理由需要總計數字），以及從大學成績、員工薪資到銀行交易的其他結構化資料庫。統計學家開始研究資訊如何洩漏，並發展推論控制的措施
第二波	1990 年代	病歷電腦化。醫療行政人員與研究者把它看成寶庫，希望移除病人姓名地址就足以讓資料變成非個人資料。由於資料的豐富性，這被證明是不夠的
第三波	2000 年代中	人們意識到能用搜尋引擎在電影評分、搜尋引擎日誌這類大型消費者偏好資料集中識別出人。2006 年 Dwork 等人發展出差分隱私理論，量化了「藉由限制查詢與加入雜訊能防止多少推論」
第四波	2010 年代末	社群媒體、無所不在的基因體學，以及由手機 app 蒐集並廣泛賣給行銷者的大型個人位置歷史資料庫

例如 2019 年 12 月《紐約時報》報導，他們分析了 1,200 萬美國人數個月的手機位置歷史，毫不費力地定位出名人、暴動參與者、警察、特勤局人員、甚至性產業顧客。

正如菸草與碳排放，隨著我們對重新識別風險的知識越來越詳盡確定，政府與業界的希望卻越來越不切實際。政府反覆徵求提案、資料使用者反覆徵求承包商，去建立無法被建立的服務；而隱私服務合約太常被較無知或較無良的業者贏得。

推論控制的早期歷史#

推論控制可回溯到 1920 年代（當時經濟資料被以掩蓋個別廠商貢獻的方式編纂），但它首次被系統性研究是在人口普查的脈絡中。

普查資料是很好的簡單起點，因為資料是標準格式，而允許的查詢一般事先已知。

有兩種廣泛的取徑，取決於資料是在發布前被一次性消毒，還是隱私機制逐一查詢運作、判斷該查詢是否可被允許。

基本理論#

推論控制的基本理論由 Dorothy Denning 等人在 1970 年代末、80 年代初發展，主要是回應美國普查的問題。

特徵公式：選出一組查詢集紀錄的（查詢語言）表達式，例如「電腦實驗室中職級為教授的所有女性員工」。
基本集（elementary sets）或細胞（cells）：最小的查詢集，由所有屬性（或其否定）的邏輯 AND 取得。
若集合太小，對應查詢集的統計可能是敏感統計。推論控制的目標是防止敏感統計被揭露。

若令 D 為被揭露的統計集合、P 為敏感且必須被保護的集合，那麼為了隱私我們需要 D ⊆ P′（P 的補集）。若 D = P′，則保護被稱為精確的；不精確的保護通常會在資料庫可回答之查詢範圍上付出代價，因而降低其有用性。

查詢集大小控制與追蹤器#

最簡單的保護機制是指定最小查詢集大小：若答案是從少於某個門檻 t 的紀錄計算而來，就不回答任何問題。但這不夠。

設 t = 6，那麼一個明顯的追蹤器攻擊是：先查詢六位病人的紀錄，再查詢那些紀錄加上目標的紀錄。
而你也必須阻止攻擊者查詢「除了一筆之外的所有紀錄」：若有 N 筆紀錄與查詢集大小門檻 t，則查詢必須涵蓋 t 到 N − t 筆紀錄才被允許。
這也適用於子集合。 作者寫本書第一版時，實驗室裡只有一位正教授是女性。所以只要兩次查詢就能查出她的薪水：「教授的平均薪資？」與「男性教授的平均薪資？」
所以你必須避免對紀錄集 K 與 L 的連續查詢，若 K ⊂ L 且 |L| − |K| < t。

上例是個別追蹤器——一個讓我們能間接算出被禁查詢答案的自訂公式。也有一般追蹤器——一組能揭露任何敏感統計的公式。

只要最小查詢集大小 n 小於統計總數 N 的四分之一，且對允許的查詢類型沒有進一步限制，我們就能找到提供一般追蹤器的公式。所以除非我們限制查詢集大小、或以其他方式控制允許的查詢，否則追蹤器攻擊很容易。而這種查詢稽核結果是個 NP-完全問題。

細胞抑制#

一個具體例子：為什麼抑制一格會拖累一整片

假設一所大學想公布各種課程組合的平均分數，好讓人們檢查各課程的評分是否公平。下表是主修與副修兩門科學科目的學生人數：

副修＼主修	生物	物理	化學	地質
生物	–	16	17	11
物理	7	–	32	18
化學	33	41	–	2
地質	9	13	6	–

英國普查規則隱含最小查詢集大小為 3，這在這裡也說得通：若設為 2，那麼修「地質－化學」的兩名學生任一人都能算出另一人的分數。

所以我們不能公布「地質－化學」的平均。

但若化學的平均分數已知，它就能從「生物－化學」與「物理－化學」的平均重建出來。所以我們至少還得抑制化學那一列的另一格；
基於類似理由，我們需要抑制地質那一行的一格；
但若我們抑制「地質－生物」與「物理－化學」，那我們最好也抑制「物理－生物」，以防這些值又被反推出來。

副修＼主修	生物	物理	化學	地質
生物	–	D	17	D
物理	7	–	32	18
化學	33	D	–	D
地質	9	13	6	–

（D 表示「為揭露目的而抑制的值」。）

這個過程（歸功於 Tore Dalenius）稱為互補細胞抑制。
如果資料庫綱要中還有更多屬性（例如數字還依種族與性別細分以顯示符合反歧視法），那還會失去更多資訊。
當資料庫綱要含 m 元組時，塗黑一格通常意味著抑制另外 2^m − 1 格，排成一個以敏感統計為一個頂點的超立方體。所以即使是精確的保護，也能迅速讓資料庫變得不可用。

其他統計揭露控制機制#

k-匿名（k-anonymity）（Samarati 與 Sweeney）：每個資料被用於計算某次資料釋出的個人，都無法與其他 k − 1 人區分。
隱含查詢控制：只在「把 m 個屬性設為真或假所給出的全部 2^m 個隱含查詢集，每一個都至少有 k 筆紀錄」時，才允許對 m 個屬性值的查詢。
最大階數控制：限制任何查詢能有的屬性數量。
格結構的查詢控制：若我們有三個屬性 A、B、C（例如居住區域、出生年、醫療狀況），我們可能發現對其中任一個的查詢不敏感、對 A 與 B 及 B 與 C 的查詢也不敏感，但 A 與 C 的組合可能敏感。由此推知對全部三個的查詢也不被允許。於是格自然分成「被禁查詢的上半部」與「可允許查詢的下半部」。
n-受訪者、k%-支配規則（20 世紀後期美國普查使用）：不釋出任何「k% 以上由 n 個或更少值貢獻」的統計。
查詢重疊控制：追蹤誰存取了什麼，拒絕任何「結合使用者已知資訊後會揭露敏感統計」的查詢。
1. 所涉處理的複雜度隨時間增加，且往往是指數性的；
2. 極難確定你的使用者不會串通、或某位使用者沒有用兩個不同名字註冊。 即使你的使用者今天全都誠實且互相獨立，明天其中一位總有可能被接管。

隨機化#

到此應該清楚：若各種查詢控制是統計資料庫使用的唯一保護機制，它們往往會施加不可接受的統計效能代價。
所以查詢控制常與各種隨機化併用，設計來從攻擊者角度降低訊噪比，同時盡可能少地損害合法使用者。

技術	做法	問題
擾動（perturbation）	對資料加入零均值、已知變異數的雜訊	恰恰在樣本集小的時候損害合法使用者的結果，而在樣本集大到反正可以用簡單查詢控制時卻沒影響
受控表格調整	識別敏感細胞、以不同值取代其值，再調整表中其他值以恢復加總關係	—
隨機樣本查詢	讓所有查詢集大小相同、從可得的相關統計中隨機選取；可用以輸入查詢為金鑰的偽隨機數產生器讓結果可重現	在相關性夠強、小樣本就足夠時是自然的保護機制
交換（swapping）（Dalenius 的另一項創新）	許多普查局交換一部分紀錄，例如把「有兩個青少年子女、收入在第二四分位的家庭」與鄰郡某鎮的類似家庭交換	—

古典統計安全的限制#

案例：Source Informatics 與英國的匿名資料判例

如同任何保護技術，統計安全只能在特定環境中、針對特定威脅模型評估。它是否足夠，取決於應用的細節。

一個例子是 1990 年代中期一家當時名為 Source Informatics 的公司所開發、用於分析處方用藥趨勢的系統——它是英國關於匿名化資料隱私之關鍵訴訟的主角。

系統目標是藉由追蹤各地區不同藥品的銷售，告訴藥廠其業務人員有多有效。隱私目標是不洩漏關於可識別病人、或個別醫師處方習慣的任何資訊。所以處方（去掉病人姓名）從藥局蒐集，再經進一步的去識別化步驟移除醫師身分。

第一版系統只是把一個由四五家診所構成的細胞中的醫師姓名，換成「醫師 A」「醫師 B」等等：

	第 1 週	第 2 週	第 3 週	第 4 週
醫師 A	17	26	19	22
醫師 B	25	31	9	29
醫師 C	32	30	39	27
醫師 D	16	19	18	13

評估它時，我們意識到機警的藥商業務可以從處方模式識別出醫師：「嗯，醫師 B 一定是 Susan Jones，因為她一月第三週去滑雪了，看看這裡處方量的下滑。而醫師 C 大概是 Mervyn Smith，他當時代班。」

修正方式是把絕對處方數換成「每位醫師處方中開給各特定藥物的百分比」、隨機捨棄部分醫師，並藉由把數字前後移動幾週來隨機擾動時間。

即使如此，英國衛生部仍控告該資料庫業者，主張該資料庫可能危害隱私。 衛生部的動機是維持向業界供應這類資料的壟斷。他們敗訴了，而這建立了一項判例：在英國，若推論安全控制夠穩健，統計資料可豁免於隱私法中「個人資訊」的認定。

很容易有兩個獨立的應用，各自透過同一份資料的擾動版本提供相同結果，但同時取用兩者的攻擊者能輕易識別出個人。
這在 Source Informatics 案中真的發生了：到 2015 年，另一套使用不同機制的競爭系統可用，而人們意識到一家能取用兩套系統的藥廠，偶爾能推導出某些醫師的處方行為。

主動攻擊#

冰島案：一個「插入自己的紀錄然後看它冒出來」的攻擊

有時使用者有能力把單一可識別紀錄插入資料庫。這種情況下，主動攻擊可能特別強大。

1990 年代末一個顯著案例是冰島的醫學研究資料庫。一家瑞士藥廠資助本地新創向雷克雅維克政府提案：我們替你們建一套現代健保卡系統，條件是讓我們拿它做研究挖礦。 政府簽了約，但冰島醫師多半反對，視之為對病人隱私與專業自主的雙重威脅。

在其提議的設計下，每當一份病歷被產生，它就會被送到冰島隱私委員的系統，該系統剝除病人姓名地址、換成其社會安全號碼的加密版本，再傳給研究資料庫。 隱私委員控制加密金鑰。

冰島政府仍推進，並提供病人退出選項。許多醫師建議病人退出，而 11% 的人口確實退出了。最終冰島最高法院認定歐洲隱私法要求該資料庫必須是選擇加入而非選擇退出，這終結了國家計畫，迫使該公司改為鼓勵大規模自願參與。

藉由把病歷連結到公開的家譜，病人可以靠「叔伯、姑姨、叔公、姑婆等的人數」——實質上就是家族樹的形狀——被識別出來。

豐富醫療資料中的推論控制#

1990 年代後半，健康 IT 人員在許多國家同時面對這個問題。

研究者過去做流行病學是坐在醫院圖書室讀紙本紀錄，而「能在自己桌上做這件事」**「顯然」**會更好。然而流行病學家通常想能串起一位病人一生的就診事件，好看到治療與生活方式選擇的長期效果。那要匿名化困難得多。

各國的應對與 Latanya Sweeney 的震撼

紐西蘭設立了一個「病人姓名加密＋任何查詢不得涉及少於六筆紀錄」的資料庫，但意識到那還不夠，於是把存取限制在少數幾位經過特別審查的醫學統計學家。
德國：柏林圍牆倒塌造成急迫問題——前東德的癌症登記有一流資料、對研究非常有用，但有病人姓名與豐富的情境資料，如今落入西德嚴格的隱私法之下。登記處必須迅速安裝保護機制，同時涉及去識別化與嚴格的使用控制。
瑞士：一些研究系統在隱私監理者堅持下被更換。
英國：BMA 在 1995–6 年反對集中式研究資料庫的提案，並成立了由 Fiona Caldicott 女爵主持的委員會。

1997 年 Latanya Sweeney 把「病歷的豐富情境已改變統計安全的賽局」這件事推到焦點。 她在博士論文中試圖建造一個能正確匿名化病歷的系統，卻發現那有多難：

她證明即使是醫療財務管理局的「公用」檔案，也常能靠與商業資料庫交叉比對而被重新識別。
她證明 69% 的美國居民能靠出生日期與郵遞區號被識別出來，並討論了清洗含各種情境資料（包括自由格式文字）之病歷的極端困難。
她藉由識別出麻州州長 William Weld 的紀錄把這件事帶到公眾面前，讓醫學研究資料的匿名性登上美國政治議程。

2017 年 Sweeney 等人檢視了一項 2006 年針對加州 50 個家戶的公衛研究（該研究在研究文獻中被引用數百次），證明他們能靠姓名識別出 25% 的參與者、靠地址識別出 28%。 即使把參與者出生年份刪節到十年區間，他們仍能靠姓名指出 3%、靠地址指出 18%——因為住宅類型這類旁側資訊。

英國走了類似軌跡。 Caldicott 女爵的報告指認出健康服務內部超過六十條非法資訊流。有些研究資料集的去識別化做得非常草率；另一些（包括 HIV/AIDS 患者的資料）事後被刻意重新識別，於是在匿名承諾下被蒐集資料的人與 HIV 慈善團體被欺騙了。

假設我想查前首相布萊爾的紀錄。快速網路搜尋顯示他 2003 年 10 月 19 日與 2004 年 10 月 1 日因心律不整在倫敦 Hammersmith 醫院就診。這綽綽有餘讓我挑出他的加密 ID，然後查出他做過的其他所有事。
更甚者，許多系統中有明文的郵遞區號與出生日期；這個組合足以識別約 98% 的英國居民。
即使出生日期被年份取代，若紀錄夠詳盡、或不同個人的紀錄能被串連，我仍可能危害病人隱私。 例如「顯示所有 36 歲、有 14 歲與 16 歲女兒、且母親與恰好一個女兒患有乾癬的女性紀錄」這樣的查詢，能在數百萬人中找出一個人。
查詢集大小控制或許能擋住這類追蹤器，但研究者確實想做帶有大量條件的複雜查詢，以找出只有數百甚至數十位病人的疾病叢集。這類查詢可能被組合起來（不論刻意還是意外）以識別出個人。

第三波：偏好與搜尋#

2006 年有兩起事件把這件事帶到公眾面前：

AOL 釋出了 65.7 萬人在三個月間所做之 2,000 萬筆搜尋查詢的「匿名」紀錄。搜尋者的姓名與 IP 位址被換成數字，但那沒有幫助。調查記者翻閱這些搜尋並迅速識別出一些搜尋者，後者對此隱私外洩大為震驚。資料是「為研究目的」釋出的；外洩導致向 FTC 提出申訴，該公司的技術長辭職，公司開除了釋出資料的員工及其主管。
Netflix 提供 100 萬美元獎金徵求更好的推薦演算法，並公布了 50 萬名訂戶去掉姓名的觀影評分。當時它在美國只有 600 萬名客戶、還在寄實體 DVD，所以那是相當一部分的客戶。
Narayanan 與 Shmatikov 證明許多訂戶能靠把匿名紀錄與 IMDb 上公開表達的偏好比對而被重新識別。
這部分是「長尾」效應：一旦你不管那 100 部左右人人都看的電影，人們的觀影偏好就相當獨特。 由於美國法律保護影片租借隱私，這次攻擊對 Netflix 是嚴重的難堪。

歐洲與加拿大隱私監理者的回應是推廣隱私增進技術（PET）——他們希望如果資安研究者更努力一點，我們就能想出更有效的方法匿名化豐富資料。

這並沒有讓隱私監理者脫身，因為它釐清了匿名化的限制。然而多年來政策界談論它時，把它當成一個解決方案，卻不理解它其實更詳細地解釋了為何我們無法化解「研究者對詳盡資料的需求」與「資料主體的隱私權」之間的張力。

第四波：位置與社交#

2010 年代，智慧手機與社群網路改變了世界。

本書 2008 年第二版第 23 章描述了早期社群網路景象（Facebook 剛從 Myspace 手中接棒）。我們預測社群網路會直接帶來各種隱私問題，因為社會脈絡讓人難以隱藏。（除了作者之外，還有誰同時跟密碼學家、數位權利運動者、以及對 200 年前舞曲有興趣的人混在一起？）
但我們漏掉了兩件事：大量資料已遷往雲端；以及光從關於人的情境資料就能推導出的敏感個人資訊之多。

「更多資料」的例子是位置歷史：

到 2012 年，de Montjoye 等人已證明四個手機位置一般就足以識別一個人，即使你只拿到基地台層級的位置。
如今解析度高得多的資料廣泛可得，因為許多手機 app 要求存取你的位置——這不只涉及 GPS（戶外平均精度約 8 公尺），還涉及範圍內有哪些 wifi 熱點（能判斷你在建築物內的哪裡）。
多數人不假思索就按同意，而現在有一整個生態系的公司在買賣位置軌跡資料——如今精確到幾公尺而非幾百公尺。資料不只賣給行銷公司，也賣給私家偵探，包括用它追捕棄保潛逃者的賞金獵人。

2019 年 12 月《紐約時報》取得 1,200 萬美國人數個月的位置軌跡，圖像化地展示了人們現在能被追蹤得多緊密。
你的每日軌跡顯示你的家、你何時離開、如何通勤、途中在哪裡喝咖啡、辦公室在哪、午餐去哪——一切。
記者在資料庫中找到一位曾在川普總統的教堂禮拜中演唱的名人；數百名在五角大廈與 CIA 工作的人、以及總統的特勤局保鑣，他們全都能被跟蹤回家；還有造訪性產業的人。他們找到一個人先在微軟工作、然後造訪 Amazon、隔月開始在 Amazon 工作。他們看了一場暴動，發現自己能把暴動者與警察都跟蹤回家。
「在公開市場上買到這些資料的容易度」與「執法機關必須跳過的令狀關卡」形成鮮明對比。

「更好的推論」的例子來自社群網路資料的行為分析：

Michal Kosinski 等人寫了一個提供免費心理測驗的 Facebook app，說服數萬人使用它。他們算出只要四個 Facebook 讚就能判斷一個人是異性戀還是同性戀；給定六十個讚，他們就能評估使用者的「五大」人格特質：對經驗開放還是謹慎、盡責還是隨和、外向還是內向、親和還是疏離、神經質還是自信。
他們也能判斷你是白人還是黑人、保守還是自由、基督徒還是穆斯林、是否吸菸、是否喝酒、是否在一段關係中、是否吸毒——準確度各異。
這導致他的一些同僚以工業規模蒐集 Facebook 資料用於行銷與政治競選，引發了劍橋分析醜聞。

後續研究顯示，擁有行為資料相較於情境廣告，只給出版商多帶來 4% 的廣告收入，所以想像上這種做法或許可以直接被禁。然而業界觀察者指出平台賺得比這多，因為它們拿走廣告收入的大部分——所以可以預期它們會抵抗任何這類隱私法。

位置與社交資料的結合，以及社會圖比對

在許多案例中，你能同時取得位置資料與社交資料，而且是大規模的。

例如澳洲維多利亞州政府公開了一個涵蓋 2015–8 年間 1,500 萬張票卡、十億次旅程的交通票務使用資料庫。雖然卡片 ID 被匿名化了，一位居民通常只要一兩次旅程就能從上下車時間認出自己的卡片；研究者發現接著就能識別出同行者。

接著他們識別出使用澳洲聯邦國會通行證的人——那些人例行搭火車回選區；假設可從國會議員的推文得到確認。 這個資料集讓研究者能分析旅行時間的敏感度：他們發現即使旅行時間被截斷到「日」（丟掉時與分），四個位置仍能識別出超過三分之一的旅客。

我們現在除了位置資料，還有許多社交旁通道。

位置歷史洩漏這麼多資料，是因為它揭露我們與誰同住、與誰共事、與誰同樂。
社群網路更豐富，含有我們的聯絡人、偏好與自拍，並能讓這些測量更準確。
社會分析能一路伸進堆疊的最底層：例如結果發現要比對兩個社會圖相當容易，即使它們不是彼此的精確副本；所以給定一國匿名化的手機通聯紀錄，你可以靠與社群網路的好友圖比對來重新識別它們。
手機資料本身就洩漏大量關於我們人格的資訊：外向者打更多電話、親和者接更多電話，而通話間隔時間的變異數可預測盡責程度。

「更多資料 + 更好推論」也導致醫學研究的新爭議：Google 的 AI 子公司 DeepMind 在 2016 年宣布與一家倫敦醫院合作開發診斷腎損傷的 app。隔年人們才知道，該醫院給 DeepMind 的不只是腎損傷患者的紀錄，而是全部 160 萬份完全可識別的病歷，且未取得他們的同意。

雖然不可能創造出「能回答任何問題」的匿名資料集，但當我們著手回答一組特定的研究問題時，有時能提供可信賴的隱私度量。這把我們帶到差分隱私理論。

差分隱私#

2006 年 Cynthia Dwork、Frank McSherry、Kobbi Nissim 與 Adam Smith 發表了一篇開創性論文，展示如何系統性地分析「加入雜訊以防止資料庫敏感統計揭露」的隱私系統。

他們的理論——差分隱私（differential privacy）——讓安全工程師能限制揭露的機率，即使面對一個擁有無限計算能力與大量旁側資訊的對手，因此可以被視為密碼學中一次性密碼本與無條件安全認證碼的對應物。
雖然它始於一篇理論密碼學論文，它已被視為統計資料庫安全與一般匿名化的黃金標準。

起點是 Nissim 與 Dinur 更早的一篇論文，他們在 2003 年證明：若對資料庫的查詢各自回傳私密資訊位元之線性函數的近似值，那麼只要誤差夠小，重建資料庫所需的查詢數就不會成長太快。

這類重建攻擊畢竟是基於線性代數，所以攻擊者不必做精心瞄準的追蹤器攻擊，只要做一大堆隨機查詢、然後做代數，就能把一切挖出來。
所以若查詢數超過某個限度，防守方就必須加入雜訊——而問題是要加多少。

一個隱私機制被稱為 ε-不可區分的，若對所有僅差一列的資料庫 X 與 X′，從 X 得到任何答案的機率，都在從 X′ 得到它的 (1 + ε) 乘法因子之內；換言之，你為比值的對數設界。
由此推知：你可以用拉普拉斯分布的雜訊，對雜訊化的總和取得不可區分性，而且它是可組合的，所以整件事在數學上變得可處理。

小的值給出強隱私；但設 ε = 1000 基本上就是在公布你的原始資料。

2020 年美國普查：差分隱私的全尺度實測

差分隱私正在 2020 年美國普查中接受全尺度測試。

普查依法不得公布任何能識別任一個人或機構資料的東西；蒐集的資料依法必須保密 72 年，在那之前只能用於統計目的。

首先，普查局用現代分析工具檢視了 2010 年普查的安全性：

2010 年，從美國居民蒐集、編輯過（去重、用報稅資料等填補缺漏）的普查編輯檔（CEF），每位居民有 44 位元的機密資料（總計 1.7 Gb）。
問題是微資料摘要含有的資料遠多於此；把一切寫出來，你會得到數十億條聯立方程式，理論上能解出機密資料。

實務上如何？ 普查人員實作了基於 Nissim 與 Dinur 工作的想法，發現他們約有 38% 的時間把所有變數都算對了，涵蓋略少於 20% 的人口。 這花了四台伺服器一個月，所以並非全然微不足道。

它們確實提供了一些隱私，因為 2010 年普查把非常容易識別的家戶與其他區塊交換了，所以不是每個人都被攻陷。如果他們交換了所有家戶就沒問題，但使用者不會接受；而他們對一個街廓給出精確人口計數這件事，是一個真實的漏洞。
零碎地處理資料庫重建很難；這正是差分隱私的價值所在。

新的由上而下演算法先產生一個沒有地理識別符的全國直方圖，然後由上而下建立地理直方圖，使得各州數字加總等於全國數字（國會重劃選區需要這個）。接著遞迴地往下經州、郡、普查區、街廓群到街廓，之後產生微資料。

這可以平行進行，並能做稀疏性發現（例如屬於 5 個以上種族的百歲以上人口極少）。
由上而下的取徑準確得多：郡層級資料的誤差小於街廓，而全國資料基本上沒有誤差。

有幾個需要特別處理的邊界情況：監獄不會被變成大學宿舍，但如果有五間宿舍，你可能報四間或六間。人－家戶的連接也很難：你可以做一個街廓的男性人數、或家戶數，但「由單身男性戶長帶領之家戶中的兒童數」就更敏感。

現在輪廓設計已完成，有一個模擬器可用來探索 ε 的可能值。你可以把它接進「更好統計的邊際社會效益 vs. 身分竊盜的邊際社會成本」的經濟分析；結果建議 ε 值在 4 到 6 之間。

心中的那道鴻溝#

在政治面，把輕度去識別化的資料用於研究（不論醫學研究還是市場研究），多年來一直是隱私倡議者與資料使用者之間零星的游擊戰，而監理者通常站在資料使用者那邊——除非剛發生醜聞。

例如 2008 年首相布朗請英國資訊委員與英國最大醫學研究慈善機構的負責人擬定研究用資料的指引；他們忽略隱私權、對成本效益採取工具性觀點，並把資料的次級使用包裝成「資料分享」。 一如你所預期，隱私律師與資安學者都不滿意這個結果。

《破碎的隱私承諾》與監理的軟化

2009 年，美國知名法學教授 Paul Ohm 寫了一篇極具影響力的論文〈破碎的隱私承諾〉。他指出：

「科學家已證明，他們往往能以驚人的容易度『重新識別』或『去匿名化』隱藏在匿名化資料中的個人。」

並坦承：

「我們犯了一個錯誤，在一項根本的誤解之下勞作，而這確保了我們得到的隱私遠少於我們所假設的。這個錯誤瀰漫於幾乎每一部資訊隱私法律、法規與辯論之中，然而監理者與法律學者對它幾乎沒有注意。」

他嘲笑了 Google 「IP 位址不是個人資訊」的宣稱（Google 藉此主張其搜尋日誌應落在資料保護範圍之外）、譴責了「資料非個人即非個人」的二元心態，並呼籲展開更務實的隱私與資料保護辯論。

後續發展：

2012 年，皇家學會的一份報告呼籲科學家盡可能公開發表資料，但也承認重新識別風險的現實：「然而電腦科學界一大批工作現已證明，在身分被積極尋求的情況下，資料庫中個人紀錄的安全無法透過匿名化程序得到保證。」
同年，英國資訊委員辦公室（ICO）制定了匿名化的實務守則；由於 ICO 是隱私監理者，這樣的守則能為公司擋下責任，因此它成了猛烈遊說的目標。最終的守則只要求資料使用者以一般性措辭描述其機制，並把舉證責任轉移到任何反對者身上。

兩個有用的概念：

概念	定義	適用
隱私集（privacy set）	我可能不希望其知道關於我某項事實的那群人。對多數人而言是家人、朋友與同事——大概 100–200 人。對名人而言可能是所有人	當顧慮是難堪時
匿名集（anonymity set）	你可能被混淆成的那群人。我們都熟悉偵探小說中白羅穩定地把可能的兇手從十二人縮減到一人	當顧慮是詐騙者時，你需要擔心匿名集

策略性機制（如差分隱私）聚焦於讓匿名集保持夠大，而許多戰術性機制則評估「能取用某應用的人與你的隱私集重疊」的風險。
但你永遠必須仔細思考威脅模型。 如第 3 章所述，釣魚攻擊往往涉及關於受害者的資訊洩漏，使攻擊者能對某服務冒充受害者、或對受害者冒充該服務。簡言之，就釣魚而言，任何能把你的身分與某個相關情境連起來的人，都可能有辦法攻擊你。

戰術性匿名及其問題#

ICO 也設立了英國匿名化網路（UKAN），由學者與國家統計局協調。2016 年 UKAN 出版了一本關於「公司該如何做匿名化決策」的指引書，由 ICO 背書。

其作者把機密性視為風險而非義務；決定不只要依「識別資料主體的技術可能性」，也要依「決定是否有人會嘗試」的制度與社會脈絡。
他們談的是治理流程而非旁通道；他們把差分隱私斥為「極端」；他們把匿名化視為一個過程，並建議不要使用「已匿名化」這類「成功詞」；他們把「去識別化」定義為「無法直接從資料中重新識別」。

儘管有瑕疵，若你要在英國倚賴匿名化，UKAN 框架仍需注意，因為那是監理者判斷是否對你採取執法行動的準繩。隨著匿名化逐漸失效，它很可能會為資料使用者與監理者雙方提供緩衝與責任盾牌。

Vodafone 的「位置洞察」與規模帶來的實務難題

一個公開在此框架下運作的例子是行動網路業者 Vodafone，它販售「位置洞察」產品。

該公司把客戶的手機位置聚合成帶有隱含起點、終點與交通方式的旅程；起點－終點矩陣連同主要道路與鐵路的流量被賣給地方政府與運輸公司。

隱私機制包括：第一，允許所有訂戶退出；第二，加密手機 IMSI 以給出每個裝置一個假名，金鑰緩慢變動；基地台則容易被重新識別。

人們確實可以論證這裡的風險很低；但也許地方議會或公車公司的分析師能識別出你，尤其若你住在小村落（作者就是——距最近村莊 200 公尺處的四棟房子）。所以匿名集可能太小。
那你就得看隱私集的大小。但假設你在一家成為運動人士目標的公司工作。如果他們吸收了議會裡的某個人，他們就能鎖定住在偏僻房子的公司員工，以恫嚇他們或其家人。
（作者 2003 年是大學治理機構的民選成員，當時因大學提議興建供醫學研究用動物的新建築而被動物權運動者鎖定。有些同事家門口出現運動人士對他們叫囂，而在牛津的類似行動之後，有兩名運動人士因恐怖主義罪名被定罪。幾乎任何人都可能突然成為目標。）

已浮現的實務問題，第一與規模有關，第二與自我監理的內在衝突有關。

規模不只體現在「可能被外部比對以識別人」的資料來源數量，也體現在組織內部資料倉儲日增的規模與複雜度。

一個決定性因素是 Hadoop：一家公司現在能儲存一切，所以很難追蹤存了什麼。 由於沒有資料庫綱要、資料只是堆在那裡，你對連結風險毫無概念——尤其若你公司有一個多租戶叢集，塞滿來自不同子公司的各種東西。
這類資料倉儲現在被用於詐欺防範、客戶分析與精準行銷。公司想負責任，但你要怎麼把即時資料給開發與測試團隊？你要怎麼與學者和新創協作？你要怎麼賣資料產品？
這種規模下的匿名化技術全都相當粗淺，而由於你根本不知道發生了什麼，它超出了差分隱私或任何你能乾淨分析之物的範圍。

未來的問題可能來自 AI 與機器學習。

保險系統在少數族裔社區抬高保費，違反反歧視法。
機器學習系統連同其訓練資料一起吸入既有的社會偏見；當機器翻譯系統讀進數 GB 的線上文本時，它們的翻譯變好了，但也變得種族主義、性別歧視與恐同。
若一個神經網路以個人資料訓練，那麼它再次遇到那些人時往往能識別出其中一些——所以你不能只是訓練它然後釋出，指望它的知識以某種方式是匿名的。
而說「我們不賣你的資料，我們只投放廣告」是不夠的：如果你讓伊朗秘密警察對說波斯語的同志投放廣告，他們只要跳出提供免費披薩的廣告就行了。

這意味著逆選擇：最不盡責的供應商會承諾最多的功能。 如前所述，有許多販售細粒度位置資料、社交資料等的公司宣稱它是匿名的，即使它顯然不是。
而即使組織立意良善，它們也很少在踩到麻煩前真正理解問題；不只一次有供應商在咬下超出能力範圍的東西後來找我們求助。而資料使用者在遇到問題後往往不想跟真專家談，因為他們意識到知道得越多，修起來就越貴。

誘因與替代方案#

所以在統計安全中，「是否該讓完美成為良善之敵」的問題，可能需要比別處更細緻的判斷。

如經濟學那一章所述，大型多方系統中最常見的安全失敗成因是誘因錯誤——Alice 守著系統而 Bob 承擔失敗成本。那麼這裡的誘因是什麼？

若你自費看私人心理分析師並付現金，誘因就對齊了；分析師會把你的筆記鎖起來。但在美國，醫療通常由你的雇主支付；而在英國，政府支付大部分。 兩種情況下，「為管理目的而集中控制」的嘗試都驅動了與醫師及病人的衝突。
雖然這類衝突能靠關於匿名性的宣稱掩蓋一陣子，它們不太可能被任何可行的隱私技術解決。一旦人們接受這點，比較務實的政治對話才能開始。

一種取徑是把弱匿名與存取控制結合：

要求研究者到安全場所（如紐西蘭，以及英國稅務資料的研究）；
或要求發照、含保密協定加上禁止任何識別受試者嘗試的存取與使用控制（如德國）。

有能力地做，配上像樣的安全工程；
誠實地做，不做「資料不再是個人資料」的虛假宣稱；
在法律之內做，在歐盟這意味著給資料主體一個被尊重的退出權。

例如一個研究 ALS（霍金所患的運動神經元疾病）的研究者網路，在病人及其家屬完全同意下，於十多個國家的醫師與其他研究者之間分享完全可識別的資訊。 這個網路允許在隱私法極嚴的德國與幾乎沒有隱私法的日本之間分享資料；而即使在美國空軍轟炸塞爾維亞期間，美國與塞爾維亞研究者之間的資料仍持續分享。

黑暗面#

若出了問題而研究者因過失被告，這會用「業界標準」作為準繩來評估。若你遵循了與其他人相同的流程、並讓每個專案由含「獨立」成員（實務上意味著其他大學的教授，而非真實資料主體的代表）的倫理委員會核准，你就能提出強有力的主張說你遵守了那些標準。
若最糟的情況發生而你面臨刑事起訴的可能，在普通法國家那涉及雙重檢驗：犯意（mens rea）與禁止行為（actus reus）。倫理核准流程正是設計來提供「沒有犯意」的證據。
簡言之：倫理審查流程被最佳化來保護研究者與機構，而非資料主體。

前面提過 Google DeepMind 的倫理委員會與它未能防止的醜聞；Google 設法躲過了資訊委員的譴責（不像那家交出所有病歷的醫院）。
不意外地，倫理委員會正在增生——尤其當公司開始把人工智慧與機器學習技術丟到大型資料倉儲上、卻對結果可能是什麼沒有清楚概念時。AI 倫理是學界的熱門題目，也是快速成長的職缺來源。
犬儒的業者會做做樣子遵守部分 UKAN 建議，然後僱幾個失業的哲學家來談道德哲學與智能的本質，同時繼續把你最私密的個人資訊賣給垃圾郵件商。倫理洗白與資料濫用如今攜手同行。

公開宣傳的隱私機制如何轉移對底層濫用的注意

2007 年 3 月，歷史學家 Margo Anderson 與 William Seltzer 發現：普查保密在 1942 年被暫停，而住在華府的日裔美國人微資料在 1943 年被交給了特勤局。 街廓層級資料被交給加州官員，他們在那裡圍捕日裔美國人送去拘留營。

但這並不新鮮：

英國政府在 1914 年一戰爆發時，用 1911 年普查來鎖定要驅逐的外國人；
1941 年的普查被提前到 1939 年，作為徵兵、配給與拘留的基礎；
而安全機構一直到 1980 年代都有普查的後門。
德國人用普查資料圍捕猶太人，不只在德國，也在荷蘭與其他佔領區。
更晚近，劍橋分析與其母公司 SCL 被若干國家授予對全國普查資料的隱密存取權，在那些國家它們協助執政政府贏得連任。

還有許多「公開宣傳的隱私機制其實不如表面有效」的例子：

英國正在建置一套「智慧電表」系統，透過一個中央清算所回報每個人的瓦斯與電力用量，再送給你的公用事業公司好向你收費；其他公司需要經核准的隱私計畫才能取得資料。
然而當我們檢視一份典型的隱私計畫時，我們看到一家配電網路業者取得了其配電區域（中部、西南與威爾斯）的半小時電表資料。 目的是預測何時必須更換變電所變壓器。該配電商承諾把這份饋送聚合成每條饋線的半小時總計——饋線是離開變壓器、供應若干房屋的電纜。
但檢視資料後我們發現：0.96% 的饋線只服務一戶，而 2.67% 服務三戶或更少。
一個較穩健的隱私監理者會告訴他們，乾脆在自己的變壓器上裝自己的電表就好。

至於醫學：美國 HIPAA 制度授權 DHHS 規管健康計畫、醫療清算所與醫療提供者，卻把許多其他處理醫療資料的組織（律師、雇主與大學）留在其範圍之外。 大型科技公司可能依其宣稱「替誰處理資料」而逃過規範。

小結#

這只在某些定義明確的特殊情況下有效，例如全國普查——那裡我們有差分隱私這套堅實理論。在多數情況下，資料就是太豐富，而資料主體的重新識別很容易。

圍繞大數據與機器學習的持續炒作讓教育任務更難，而這些技術正讓匿名性變得難上加難。
隨著違反隱私法的規模與範圍對大眾越來越清楚，我們可以預期嚴重的麻煩。要帶來真正的改變大概需要一場醜聞，而當它終於發生時，破壞很可能不小。

研究問題#

目前圍繞匿名性與隱私有幾條活躍的研究線：

實務研究者尋找從既有公開資料導出敏感資料的新方法，或試圖理解行銷者與網路罪犯正在進行的利用。
數學家研究如何在各種脈絡中做差分隱私的機器學習，例如從互不信任之公司持有的資料中學習。
隱私法學者試圖弄清楚法律與實務之間的鴻溝要如何被彌合。
實務運動者（如 EPIC、Privacy International 與 Max Schrems）提起訴訟，試圖阻止那些日漸普遍、卻似乎違反我們現有法律的做法。

這個由理論、實務、學術與倡議構成的生態系無疑會隨著我們周遭越來越多東西變得「智慧」而持續演化。
「智慧城市」會單純意味著更無所不在的監控嗎？
在極限上，會不會有太多情境資訊可得，以致除了差分隱私之外什麼都不夠？
或者社會最終會說夠了，並對資料的蒐集、分析與使用施加激進的限制——而什麼樣的限制才可能有效？

最後，最新的魔藥是保護隱私的聯邦式機器學習。作者毫不懷疑人們能找到某些邊界情況讓那類東西行得通，就像差分隱私那樣。但他懷疑它最終會被證明只是我們過去四十年被餵食之「匿名化蛇油」的一個變體。
要怎麼最好地戳破它？