报告距离.本文利用数论，通过技巧性地摆放虚拟探针，伪装地理位置，提出了一种不受地理位置限制、高精度、易于实现的定位目标算法.作为概念验证，本文使用微信进行实验最终验证了该攻击算法在实际部署中的有效性.本文的研究旨在呼吁LBSN服务提供商改进位置隐私保护技术，唤醒公众充分认识LBSN软件所带来的潜在隐私泄露.
关键词：基于位置社交网络；定位攻击；微信
中图分类号：TP393文献标识码：ADOI：10.3969/j.issn.1000-5641.2016.02.009
Abstract：Location-based social network （LBSN） services enable users to discover nearby people. Original LBSN services provide the exact distances for nearby users. Existing studies have shown that it is easy to localize target users by using trilateration methodology. To defend against the trilateration attack， current LBSN services adopt the concentric band-based approach when reporting distances. In this paper， by using number theory， we analytically show that by strategically placing multiple virtual probes as fake GPS， one can accurately pinpoint user locations with either accurate or coarse band-based distances. As a proof of this concept， WeChat is examplified to validate that our attack methodology is effective in a real-world deployment. Our study is expected to draw more public attention to this serious privacy issue and hopefully motivate better privacy-preserving LBSN designs.
Key words：location-based social network；localization attack；WeChat
0引言
随着智能手机和平板电脑的飞速发展以及随处可用的网络服务惠及大众，移动社交网络以前所未有的速度蓬勃壮大，用户能够通过移动设备，使用在线社交网络与其他用户进行互动.不仅如此，定位服务如全球定位系统（Global Positioning System，GPS）和移动设备的无线定位技术使得用户可以随时定位并且实时分享自己所处位置.从而，也促使利用基于位置的社交网络（Location-Based Social Network， LBSN）服务的用户数量突飞猛涨，如微信、陌陌、交友乐园、谷歌+、Badoo等都已有庞大的用户群.微信作为中国最受欢迎的一款LBSN软件，月活跃用户已达3亿多.另一款同样广受欢迎的LBSN软件陌陌，在不到3年的时间注册用户数已达1.5亿[1-2].各类不同的LBSN应用软件被用来出售商品、认识附近的人或仅仅用来与其他用户聊天.
在LBSN广受欢迎的同时，用户隐私遭受泄露和攻击的机会也大大增加.通过对用户位置信息的收集，统计位置信息出现的频率，可实现用户的身份识别[3].通过收集用户空间信息，文献[4]可实现高精确度的用户信息匹配.而与他人分享自己的位置信息，则会遭受移动轨迹泄露而对自身安全造成威胁[5].即使是为保护用户隐私的匿名社交网络，在给予昵称与相对距离的情况下，仍会遭受定位攻击而导致隐私泄露[6].文献[7]通过空间分割算法，可对微信用户进行定位.这些研究都说明了用户位置隐私的泄露问题.不仅如此，通过对用户的社交行为进行大数据分析也同样可得到用户的某些隐私[8].意识到由LBSN的位置信息而引出的一系列隐私泄露问题，许多研究致力于位置隐私的保护.其中多数着重设计位置服务的隐私保护机制[9-10]，让用户在使用位置服务的同时限制敏感信息的泄露，例如基于用户感知的时钟轮换技术使用户轨迹难以预测[11]、权限管理技术限制敏感信息被获取[12]、位置隐私监视框架保护隐私泄露[13]、私人友邻检测技术防范位置隐私泄露[14]等等.尽管有各种保护措施，用户的隐私信息仍面临被泄露的潜在威胁.
为保护用户隐私，LBSN软件的通常做法是报告附近用户的距离，而非确切的经纬度坐标.第一代的LBSN软件，采用报告确切距离的做法；而这类做法使得LBSN用户容易遭受三角定位攻击.为进一步提高用户的位置隐私，现在一些广受欢迎的LBSN应用包括微信、陌陌等采用带宽的方式来报告位置，将位置限制在一定的环状区域中.该位置模糊处理技术，旨在使用户得以利用位置服务的同时保护位置隐私.然而，该技术仍无法切实保护用户的位置隐私，同时使得用户轻信自己的位置隐私得到保护从而降低防范意识.