Adversarial Evaluation of a Two-Layer Anonymization Pipeline Against Record-Linkage Attacks

Dans le monde moderne, de vastes quantités d'informations personnelles sont collectées chaque jour, des enquêtes de santé aux transactions financières, en passant par les schémas de déplacement des populations à travers les villes. Bien que ces données possèdent une valeur immense pour la recherche et la planification publique, leur publication comporte un risque important : la possibilité que les individus soient réidentifiés. Même lorsque les noms évidents et les numéros d'identification sont supprimés, la combinaison unique de détails d'une personne — tels que son âge, son code postal et son sexe — peut souvent agir comme une empreinte digitale, permettant à un observateur déterminé de faire correspondre un enregistrement à un être humain spécifique. Pour lutter contre cela, les protecteurs de données ont développé diverses méthodes pour obscurcir ces détails, comme le regroupement d'enregistrements similaires ou l'ajout de bruit statistique aux résultats. Cependant, une question persistante demeure : ces différentes méthodes fonctionnent-elles bien lorsqu'elles sont utilisées ensemble, ou créent-elles de nouvelles faiblesses ?

Un chercheur dirigé par Mohammed Sayim Khalil à l'Université Haliç a abordé cette question en construisant et en soumettant à des tests de résistance un nouveau système conçu pour protéger les données. Leurs travaux se concentrent sur une approche à « deux couches », où deux techniques de confidentialité distinctes sont appliquées séparément à différentes parties des données. La première couche protège les enregistrements individuels eux-mêmes en les rendant plus semblables, tandis que la seconde couche protège les statistiques de synthèse dérivées des données en ajoutant une couche d'incertitude mathématique. Le chercheur n'a pas prétendu que ces deux couches se combinent pour créer un bouclier parfait et incassable. En fait, il a prouvé mathématiquement que, sous certaines conditions, une telle combinaison parfaite est impossible si un attaquant dispose d'assez d'informations extérieures. Au lieu de s'appuyer sur une promesse théorique de sécurité, le chercheur a construit une simulation réaliste d'un pirate informatique et l'a opposée à son système pour voir comment celui-ci résisterait en pratique.

Le système qu'ils ont construit fonctionne comme un filtre méticuleux pour les données. D'abord, il trie chaque élément d'information d'un ensemble de données dans l'une des quatre catégories selon sa sensibilité. Les identifiants directs, comme les noms ou les numéros de sécurité sociale, sont immédiatement supprimés ou remplacés par des codes. La catégorie suivante comprend les « quasi-identifiants », qui sont des détails qui semblent inoffensifs isolément mais deviennent dangereux lorsqu'ils sont combinés, comme une date de naissance spécifique ou un titre de poste rare. Ce sont les détails que le système s'efforce le plus de protéger. La troisième catégorie couvre les informations sensibles, comme les conditions médicales, qui doivent être cachées ou généralisées. La dernière catégorie contient des données non sensibles qui peuvent être publiées avec un minimum de modifications. Le chercheur a ensuite appliqué un ensemble de règles à ces catégories. Pour les quasi-identifiants, ils ont regroupé les enregistrements afin que chaque personne ressemble à au moins quelques autres, rendant impossible l'isolement de quiconque. Pour les données sensibles, ils ont veillé à ce que la distribution des valeurs au sein de ces groupes corresponde à la population globale, empêissant les attaquants de deviner la condition d'une personne simplement en sachant dans quel groupe elle se trouve. Enfin, pour les statistiques de synthèse, ils ont ajouté une quantité contrôlée de bruit aléatoire aux réponses, garantissant que les résultats soient utiles pour l'analyse tout en étant impossibles à rétro-ingénierer pour identifier un individu spécifique.

Pour tester si ce système fonctionnait réellement, le chercheur a créé un adversaire numérique. Il ne s'agissait pas d'une personne réelle, mais d'un programme informatique sophistiqué conçu pour imiter un pirate expérimenté. Le programme avait accès aux données anonymisées et à un ensemble de données distinct et non chevauchant qui lui servait de connaissance de base, simulant la manière dont un véritable attaquant pourrait utiliser les registres publics ou les réseaux sociaux pour deviner l'identité des gens. Le chercheur a testé leur système sur trois types de données très différents : une grande enquête de santé, des millions de transactions financières et des millions de trajectoires de mouvement montrant comment les gens se déplacent dans une ville. Dans chaque cas, ils ont fait varier le degré de connaissance de l'attaquant, allant de l'ignorance totale des individus à la connaissance de tous leurs détails.

Les résultats ont montré que le système à deux couches était nettement plus efficace pour empêcher la réidentification que l'utilisation de l'une ou l'autre méthode seule. Lorsque le chercheur a testé le système contre les données de l'enquête de santé, la probabilité que l'attaquant réussisse à faire correspondre un enregistrement à une personne réelle est tombée à moins de deux pour cent, un chiffre bien inférieur à celui obtenu lors des tests d'autres méthodes courantes. Lors du test des transactions financières, le système a réduit le taux de réussite de l'attaquant à moins de cinq pour cent, tout en maintenant l'utilité des données pour la détection de la fraude. Le test le plus difficile impliquait les données de mouvement, où la nature de l'information les rend intrinsèquement plus difficiles à cacher. Même ici, le système a été plus performant que les alternatives, bien que le chercheur ait noté que le risque restait plus élevé pour ce type de données, reflétant la difficulté unique de protéger les informations de localisation.

Une conclusion clé de l'étude fut la confirmation que ces deux couches de confidentialité ne se combinent pas magiquement pour créer une garantie unique et plus forte. Le chercheur a démontré que si un attaquant possède suffisamment d'informations extérieures, il peut parfois briser la protection d'une couche même si l'autre reste intacte. C'est pourquoi le chercheur a choisi d'évaluer le système par des tests directs plutôt que de s'appuyer sur une preuve théorique. En faisant fonctionner le système contre un attaquant réaliste, il a pu mesurer exactement le risque résiduel et ajuster les paramètres en conséquence. Ils ont découvert qu'un ordre d'opérations spécifique — en commençant par le regroupement le plus large des enregistrements puis en assouplissant les règles uniquement lorsque cela est nécessaire — fonctionnait le mieux pour les trois types de données. Cette approche leur a permis de préserver l'utilité des données pour l'analyse tout en maintenant un faible risque de réidentification.

L'étude a également mis en évidence d'importantes limites et considérations éthiques. Le chercheur a reconnu que son système fonctionne par lots, ce qui signifie qu'il traite les données d'un bloc plutôt qu'en flux temps réel, ce qui constitue une contrainte pour les données à mouvement rapide. Il a également noté que le système ne prend pas automatiquement en compte l'équité ; les méthodes utilisées pour protéger la vie privée peuvent parfois déformer les données pour les groupes minoritaires plus que pour la majorité. Pour remédier à cela, il a suggéré que les versions futures du système devraient inclure des vérifications pour garantir que les protections de la vie privée sont appliquées de manière équitable à travers les différentes populations. De plus, il a souligné que bien que son système rende les données beaucoup plus sûres, il ne les rend pas nécessairement « anonymes » au sens juridique strict requis par des réglementations telles que le Règlement Général sur la Protection des Données (RGPD). Au lieu de cela, les données restent « pseudonymisées », ce qui signifie qu'elles sont protégées mais comportent toujours un certain risque, et les organisations doivent peser ce risque avec soin avant de les diffuser.

En fin de compte, ce travail fournit une feuille de route pratique pour les organisations qui doivent partager des données sans compromettre la vie privée des individus qui les composent. En combinant une méthode structurée de classification des données avec un processus de test rigoureux face à des attaquants réalistes, le chercheur a démontré qu'il est possible de trouver un équilibre entre utilité et sécurité. Le système n'offre pas un bouclier parfait, mais il offre un niveau de protection mesurable et gérable qui est bien supérieur aux pratiques standards actuelles. Le chercheur a rendu son code et ses outils publics, permettant à d'autres de tester et d'améliorer ses méthodes, garantissant ainsi que le domaine de la confidentialité des données continue d'évoluer en réponse aux nouvelles menaces.