MÁRIO S. ALVIM DOCTEUR DE LÉCOLE POLYTECHNIQUE LABORATOIRE DINFORMATIQUE Des approches formelles pour la protection d'information Une analyse des systèmes interactifs, contrôle de divulgation statistique, et le raffinement des spécifications PRIX DE THÈSE PARIS TECH 16 NOVEMBRE 2012 SUPERVISEUR: CATUSCIA PALAMIDESSI

LInternet se développe rapidement… 16.Nov.2012 Prix de thèse ParisTech Mário S. Alvim

… et nos données privées en ligne augmentent Ce que l'on achète Ce que lon aime Ceux que l'on connaît Où lon va 16.Nov.2012 Prix de thèse ParisTech Mário S. Alvim

Et si quelquun regarde nos données privées? Ce que l'on achète Ce que lon aime Ceux que l'on connaît Où lon va 16.Nov.2012 Prix de thèse ParisTech Mário S. Alvim

Et si quelquun regarde nos données privées? Ce que l'on achète Ce que lon aime Ceux que l'on connaît Où lon va 16.Nov.2012 Prix de thèse ParisTech Mário S. Alvim

Les menaces à la vie privée sont réelles… Si lon fait abstraction des menaces? 1990: 87% des gens pouvaient être identifiés dans le recensement aux USA [Sweeney00][Sweeney00] 2005: Dé-anonymisation dADN [Malin&Sweeney04][Malin&Sweeney04] 2012: Le cas de lhyper- marché et de ladolescente enceinte [Forbes12][Forbes12] 16.Nov.2012 Prix de thèse ParisTech Mário S. Alvim

… mais il faut quand même partager des données La recherche médicale et pharmaceutique? Le recensement et la planification gouvernementale? Le Printemps Arabe en 2011? 16.Nov.2012 Prix de thèse ParisTech Mário S. Alvim Si lon protège trop les données?

La solution: partager les données privées dune façon contrôlée Fuites dinformation Mesurer ce quil peut voir Protection de la vie privée Limiter ce quil peut voir Les objectifs de cette thèse Assurer que linformation est protégée, toutefois utilisable 16.Nov.2012 Prix de thèse ParisTech Mário S. Alvim

Fuite Utilité Le contrôle de divulgation statistique Vraie réponse Mécanisme de requête Base de données Mécanisme de randomisation Réponse fournie 16.Nov.2012 Prix de thèse ParisTech Mário S. Alvim

Differential privacy pour le contrôle de divulgation statistique Differential privacy [Dwork06][Dwork06] Les individus peuvent se joindre à la base de données sans augmenter significativement la divulgation de leurs données personnelles. Sujet de recherche très actif (Microsoft, Facebook) 16.Nov.2012 Prix de thèse ParisTech Mário S. Alvim Fuite Utilité Vraie réponse Mécanisme de requête Base de données Mécanisme de randomisation Réponse fournie

Les contribuitions de cette thèse Les fondements scientifiques de la protection de la vie privée et de la differential privacy 16.Nov.2012 Prix de thèse ParisTech Mário S. Alvim Fuite dinformation Mesure de la fuite en utilisant la théorie dinformation (min-entropy) Utilité de linformation Méthode pour assurer lutilité maximale, en respectant les contraintes de confidentialité

Nos contributions (1 | 3) Un moyen de mesurer la fuite de la differential privacy Mesure formelle de l'information révélée sur nimporte quelque personne en particulier La limite de linformation révélée sur la base de données dans son ensemble (min-entropy) Garanties mathématiques précises regardant la vie privée des participants aux bases de données 16.Nov.2012 Prix de thèse ParisTech Mário S. Alvim Fuite Utilité Vraie réponse Mécanisme de requête Base de données Mécanisme de randomisation Réponse fournie

Nos contributions (2 | 3) Un mécanisme pour maximiser l'utilité de l'information statistique 16.Nov.2012 Prix de thèse ParisTech Mário S. Alvim Fuite Utilité Vraie réponse Mécanisme de requête Base de données Mécanisme de randomisation Réponse fournie Réponses fournies aussi près que possible des vraies réponses Attention: en respectant les contraintes de confidentialité Un mécanisme de randomisation optimal et rapide pour la differential privacy

Nos contributions (3 | 3) Le résultat final 16.Nov.2012 Prix de thèse ParisTech Mário S. Alvim Le problème Avec cette thèse Résultats pratiques Lanonymisation fournit des garanties très faibles La differential privacy ajoute du bruit à la vraie réponse En utilisant la théorie dinformation, nous avons prouvé que la differential privacy protège les données des individus Nous avons crée une méthode optimale: pour nimporte quel niveau de confidentialité souhaité, nous fournissons les réponses le plus utilisables Protection de linformation Utilité de linformation Nous assurons que linformation est protégée, toutefois utilisable

En 3 ans de thèse Première mesure dans la littérature pour les fuites de systèmes interactifs Fondements des menaces de confidentialité utilisant la théorie dinformation Une méthode pour générer des mécanismes privés avec l'utilité maximale Conclusion: l'impact de cette thèse en sciences et ses applications dans le monde réel Une analyse rigoureuse des protocoles d'enchères en ligne Une limite pour la fuite moyen: utile pour les grandes organisations Un algorithme rapide préservant les données privées et leur utilité 16.Nov.2012 Prix de thèse ParisTech Mário S. Alvim Continuation des travaux comme un post-doc à lUniversity of Pennsylvania, USA

Merci pour votre attention! 16.Nov.2012 Prix de thèse ParisTech Mário S. Alvim

List of publications 16.Nov.2012 Prix de thèse ParisTech Mário S. Alvim Mário S. Alvim, Miguel E. Andrés, Catuscia Palamidessi. Quantitative Information Flow in Interactive Systems. Journal of Computer Security 20, Number 1, Pages Mário S. Alvim, Miguel E. Andrés, Konstantinos Chatzikokolakis, Pierpaolo Degano, Catuscia Palamidessi. Differential Privacy: on the trade-off between Utility and Information Leakage. 8th International Workshop on Formal Aspects of Security and Trust (FAST 2011), Leuven, Belgium. Mário S. Alvim, Miguel E. Andrés, Konstantinos Chatzikokolakis, Catuscia Palamidessi. Quantitative Information Flow and Applications to Differential Privacy. Foundations of Security Analysis and Design VI (11th International School on Foundations of Security Analysis and Design), Bertinoro, Italy. Pages Mário S. Alvim, Miguel E. Andrés, Konstantinos Chatzikokolakis, Catuscia Palamidessi. On the Relation between Differential Privacy and Quantitative Information Flow. 38th International Colloquium on Automata, Languages and Programming (ICALP 2011), Zürich, Switzerland. Pages (Invited paper associated to the invited talk of Catuscia Palamidessi.) Mário S. Alvim, Miguel E. Andrés, Catuscia Palamidessi. Probabilistic Information Flow. 25th Annual IEEE Symposium on Logic in Computer Science (LICS 2010), Edinburgh, UK. Pages (Invited paper associated to the inveted talk of Catuscia Palamidessi.) Mário S. Alvim, Miguel E. Andrés, Catuscia Palamidessi, Peter van Rossum. Safe Equivalences for Security Properties. 6th IFIP International Conference on Theoretical Computer Science (IFIP TCS 2010), Brisbane, Australia. Pages Mário S. Alvim, Miguel E. Andrés, Catuscia Palamidessi. Information Flow in Interactive Systems. 21st International Conference on Concurrency Theory (CONCUR 2010), Paris, France. Pages

References 16.Nov.2012 Prix de thèse ParisTech Mário S. Alvim [Dwork06] C. Dwork. Differential Privacy. Proceedings of ICALP (2006) [Forbes12] Forbes Magazine Online. How Target Figured Out A Teen Girl Was Pregnant Before Her Father Did. Forbes Online (16/02/2012)Forbes Online [Malin&Sweeney04] B. Malin and L. Sweeney. How (not) to protect genomic data privacy in a distributed network: using trail re-identification to evaluate and design anonymity protection systems. J. of Biomedical Informatics, 37(3):179–192 (2004) [Sweeney00] L. Sweeney. Uniqueness of simple demographics in the US population. LIDAP-WP4. Carnegie Mellon University, Laboratory for International Data Privacy, Pittsburgh, PA (2000)