使用区块链的特征工程的隐私保护方法:审查、评估和概念证明

简介

背景

新技术带来的数据隐私问题

社交网络、智能手机、可穿戴设备和物联网(IoT)设备的出现，为大规模收集有关行为、生理和健康的个人数据提供了前所未有的途径。在考虑如何保护个人隐私时，这些技术的无所不在提出了新的挑战，有意或无意地泄露敏感和可识别信息的可能性已经增加。

皮尤研究中心最近的一份报告发现，物理位置数据是最敏感的数据类型之一[1];然而，超过1000个流行的智能手机应用程序跟踪精确的位置数据，其中一些应用程序将这些数据出售给第三方，用于定向广告或分析。2］．允许应用程序收集位置数据的提示很少反映数据将如何使用，具体细节隐藏在应用程序的隐私政策中。尽管定位公司声称收集的数据是用来分析总体模式，而不是个人身份，但员工和客户仍然可以访问原始数据，并可能在未经用户同意的情况下识别用户。主要的电信运营商出售用户位置数据，记者们已经证明，这些数据可以转售给一长串下游公司。这种数据生态系统缺乏监管，导致了销售用户位置数据的黑市[3.］．

一旦第三方收集了用户数据，就很难保证这些数据没有被滥用或不当处理。在2013年至2014年期间，剑桥分析公司收集了Facebook用户的社交媒体数据用于学术研究，但后来将这些数据用于政治广告[4］．在过去十年中，重大数据泄露事件暴露了数十亿用户帐户[5］．此外，还有一些恶意应用程序在未经用户同意的情况下直接暴露私人信息。6］．监管工作，包括《一般数据保护条例》下的“被遗忘权”指令，旨在遏制这一趋势，以保护用户隐私[7］．

这些问题给生物医学研究人员带来了困难，这些研究本可以从方便、被动和纵向的数据收集方法中受益，以确定新的生物标志物并开发数字疗法。需要一种开放和可信的方法来与不可信的第三方共享数据，以确保(1)后验隐私，即个人数据不会在个人同意的研究之外共享;(2)数据仅用于研究的预期目的。

在本文中，我们回顾了个人数据隐私保护技术的现状，其动机是医疗保健应用程序中的位置共享用例。我们沿着几个轴比较了隐私保护技术，包括研究团队所需的信任水平、技术的泛化性以及开放源码工具支持的可用性。我们的目的是提供一个务实的路线图，帮助研究人员在敏感个人数据的使用和处理方面做出明智的决定。我们为位置共享示例用例提供了一个参考软件实现，使用了其中一种用于隐私保护的技术。

使用生物医学和位置数据在医疗保健中的预测建模

智能手机的使用，特别是地理位置数据，对一些医疗保健应用来说是重要的。位置数据已经在健康领域的各种应用中得到应用，例如监测行为和环境风险因素[8，9]，以改善疾病管理和提供治疗[10]，并为药物滥用方面的公共卫生政策提供信息[11］．在一个典型的例子中，研究人员发现，从全球定位系统(GPS;运动和地点)和手机使用(社会联系)与抑郁症的症状严重程度密切相关。智能手机工具的可用性为持续的被动评估提供了一个载体，有一天可能会增强临床精神药理学中当前的数据收集方法[12］．然而，重要的是要强调，尽管地理位置数据对医疗保健研究很有价值，但它也是个人信息中最基本的敏感部分之一。

工程特性

特征工程是将原始数据转换为适合机器学习算法的表示的过程。例如，假设您正在构建一个系统来预测一个主要大都市地区两个地点之间的驾驶时间。您将得到包含日期、时间和前一年两个地点之间的驾驶时间的数据。原始日期数据(YYYY-MM-DD)不太可能对预测驾驶时间有用，但知道这一天是工作日还是周末可能非常有用。机器学习科学家可能会编写代码，如果日期是工作日，则返回true，如果日期是周末则返回false。新设计的布尔特征，工作日，编码了重要的领域知识——工作日的交通模式与周末不同——可能会提高机器学习模型预测的准确性。

从历史上看，特征工程一直是一个人工过程，基于机器学习科学家的经验和领域专业知识[13］．最近，自动从数据中学习特征表示的自动化系统，如稀疏编码和自动编码器，作为深度学习模型的基础，已经证明了良好的性能。在这里，我们描述了一个用于特征工程的框架，该框架保护了可识别数据的私密性，并且适用于手动或自动的特征工程过程。

最小暴露特征工程

我们的方法是基于最小曝光的前提;参与者应只透露研究所需的最少数据，研究人员应只收集研究所需的数据。分析管道的特征工程步骤提供了一个机会，通过将可识别的、敏感的或其他私人数据转换为未识别的或匿名的特征来限制暴露。这种特性工程的最小暴露方法创建了一个对参与者和研究人员都有利的框架。通过公开限制研究人员获取原始个人数据，参与者可能会更愿意分享他们的数据并为研究做出贡献。与此同时，通过减少用于维护安全数据服务器和限制暴露个人身份信息的资源，取消研究人员的数据访问可以简化和加快研究工作。在图1，我们说明了将原始数据和特征提取封装在安全环境中的方法，将其从主要对底层特征感兴趣的研究人员中移除。

‎ 查看此图

对区块链数据隐私技术感兴趣

在2018年6个月的时间里，医疗保健领域区块链项目的规模扩大了两倍，近150个项目筹集了超过6.6亿美元[14］．医疗保健和生物医学区块链最常见的功能是数据和数字资产的管理(38%)，其中包括身份管理、患者数据、卫生系统运营数据等[14］．这表明，区块链技术更流行的应用之一围绕着这样一种想法:个人可能希望控制他们的数据，以感觉他们的隐私和数据更安全。

区块链由不关联的计算机(节点)组成的分布式网络组成，这些计算机维护使用加密协议验证的不可变交易记录。区块链网络进一步被定义为公共、私有或联盟网络，这取决于谁可以参与网络，以及交易是如何验证的。在公共区块链中，交易是经过验证的，并且全局状态为真理(分布式账本)由不可靠的网络。一个不可靠的网络是指具有共识协议的去中心化网络。共识协议通过公钥密码学、博弈论和加密经济学(数字货币)激励机制，以及计算复杂性，结合了发送方的真实性，以确保诚实的节点得到奖励，不诚实的节点受到惩罚，以维持规范的真理。通过使每个交易可审计和无权限，公共区块链确保了数据完整性、信任和可验证性。

区块链技术的进步使部署基于规则的、自动执行的软件代码成为可能，称为智能合约。智能合约通过充当预定义的仲裁者来消除对中介机构的需求。此外，智能合约是不可变的，并且在合约代码公开时可以公开验证。智能合约与a的结合不可靠的环境消除了对负责管理私人数据的可信第三方的需求。这些特征使得智能合约与本研究特别相关。

本研究的目的

本研究的目的是检查和比较目前的隐私保护方法，基于他们的能力来维护个人共享数据的隐私。基于第三方所要求的信任水平，以及实现这些技术框架作为特征工程步骤的实用性，对方法进行了比较。这项研究还旨在确定研究人员和软件开发人员在构建与保护数据隐私有关的应用程序时可以使用的更有前途的技术。

考试是根据从个体参与者收集位置数据的实际用例设置的，从中可以提取与健康相关的有趣特征。为了使研究人员能够尽可能地访问这个示例，我们提供了一个开源软件项目，该项目实现了位置共享用例中所检查的技术之一。

方法

主要的结果

本研究的主要结果如下:

1. 定义一组属性，在这些属性上评估每种方法的隐私保护属性。
2. 基于地理定位特征工程用例，对每种方法的隐私保护特性进行定性比较。
3. 一个概念验证软件实现，用于从GPS坐标数据中提取位置类别，同时使用更实用的区块链技术之一保持隐私。

文献综述

我们对文献、与医疗保健相关的区块链用例进行了回顾，并在Web上应用了区块链项目。这些技术是通过电子数据库(谷歌Scholar和PubMed)和搜索引擎(谷歌)结果中的关键字搜索确定的。关键词是隐私区块链，deidentification,隐私特征工程．搜索时(2019年1月)的结果包括以各种格式描述的方法，包括同行评审期刊上的4篇学术论文、会议论文集上的6篇学术论文、2篇文献和产品调查、1篇博士论文、7篇科学期刊预印本、11篇产品规格和1篇学术演讲材料。

这些技术分为以下几类:(1)依赖于可信第三方的方法，(2)加密方法，(3)可信执行环境(TEE)，以及(4)结合区块链的方法。其中包含了关于这些技术的现有实现的示例多媒体附件1［15-43］．

评估属性

资料私隐法例[44-46]就数据隐私可能受到损害的几个维度提供监管视角。表1总结了一些关键的监管原则。

这些监管指南明确指出，数据隐私高度依赖于受信任组织的责任，以及他们所实现的技术的能力。我们预测，未来的数据共享系统将由这些隐私准则提供信息，并且评估隐私保护技术的框架应该与这些准则相对应。在本文中，每种隐私保护方法都基于以下属性进行评估:

1. 对第三方的信任程度，因为以下原因:
   • 第三方对原始数据的访问
   • 数据使用的参与者可见性
   • 第三方重用数据的能力
   • 集中化和单点信任
   • 潜在的安全漏洞
2. 该技术的广泛性和实现实用性:
   • 计算或通信复杂性
   • 实现的复杂性
   • 开发人员工具的可用性
   • 开放源码工具支持的可用性

地理定位用例描述

像大多数复杂的数据类型一样，GPS数据通常在通过特征工程用于分析之前进行转换。有两大类地理定位特征是目前大多数地理定位数据的医疗保健研究应用的基础。

统计描述符

他们从原始GPS数据中计算出汇总统计数据。例如，一天中旅行的总距离，访问地点数量的方差，以及旅行半径。

语义描述符

他们将GPS数据与第三方地理空间信息系统相结合，以确定位置类型，如图书馆、健身房、礼拜堂或广泛的位置主题(例如，由人口普查数据定义的高犯罪率社区)。

使用地理定位特性的一些应用程序用例示例包括替换活动监控任务[8-10，47-49]，从而触发即时干预[10，49，50]，以及获得卫生服务的机会[11，51］．包含区块链的地理空间应用程序包括物联网设备的管理、众包数据收集和应急响应[52］．

参考地理定位特征提取将在结果和讨论部分进行，以实际用例作为调查的基础，同时评估保护隐私的不同方法。

结果

可信的第三方方法

在传统的生物医学研究环境中，人体受试者的保护由研究机构的机构审查委员会(IRB)管理。IRB的作用是证明研究对象被告知参与研究的风险，数据安全准则得到遵守，风险和保障措施得到明确概述和缓解。在这种模式下，研究机构作为受信任的第三方，有责任保护患者数据隐私。然而，由智能手机技术、生物传感器和大型数据集的常规收集所实现的新形式的研究正在改变研究的性质，并使传统的过程变得紧张，即单个机构可以充当受信任的第三方[53］．在接下来的章节中，我们将介绍两种依赖可信第三方的传统隐私保护方法。

服务器端Deidentification

用于研究的典型服务器端数据收集管道将从客户端应用程序中摄取原始参与者数据，并结合加密、访问控制、去识别过程或一些其他方法，以确保原始数据不会被不负责任地公开。这种方法易于实现，并且可以让研究团队严格控制特性工程管道。软件更新可以在服务器端进行，而不需要强制用户更新客户端。然而，必须高度信任研究团队，因为私人数据在管道的几个阶段被暴露(图2)．

‎ 查看此图

客户端特征提取

部署在设备上维护原始数据并在本地执行特征提取的软件是另一种可行的隐私保护方法，并且越来越成为智能手机上收集数据的黄金标准。对设备上的数据进行本地化，以便只有参与者可以访问它，从而消除了第三方可能暴露、误用或重新使用原始数据的风险，但这依赖于所安装软件的完整性(图3)．

‎ 查看此图

加密技术

代理Re-Encryption

代理再加密(PRE)是公钥加密中的一种技术，它允许代理将加密数据的解密访问权从一方委托给另一方(图4)．PRE的一个重要特征是代理不了解任何关于加密数据内容的信息。因此，它是一种强大的数据访问控制技术。

然而，由于数据访问控制不提供后验隐私机制，PRE在隐私保护特征工程中的应用受到了限制。这仍然需要信任研究团队能够安全、诚实地管理解密数据。

‎ 查看此图

安全多方计算

多方计算(MPC)是一类加密协议，它模拟由受信任方评估的计算，但在几个方之间分配信任(图5)．MPC最适合于特征工程问题，这些问题是根据聚合数据而不是单个参与者的数据计算结果。此外，MPC在通信(各方之间)方面受到了指数级的影响，这限制了性能。

一些实现使用MPC协议处理私有数据共享，并试图通过支持分布式存储架构来进一步降低安全风险。然而，这些分布式系统通常受到节点数量的限制，并由单个组织(即单信任点)管理。理论上，单个信任点可以有一个议程，并对分布式网络中的每个节点施加一定程度的控制。但是，如果所有节点都由一个组织控制，那么该组织访问私有用户数据是可行的。

使用计算方的分布式网络背后的原则是没有单一的信任点，这是在检查区块链方法时将重新考虑的一个重要原则。

‎ 查看此图

同态加密

同态加密(HE)是一种加密形式，其中对加密数据的计算将产生与在加密之前对未加密数据执行计算相同的结果。这可以形式化，如图所示图6．高等教育有不同的方案，包括部分高等教育和完全高等教育;部分同态加密(partial homomorphic encryption, PHE)是指可以对加密数据执行一个或多个操作并保持同态特性，而完全同态加密(fully homomorphic encryption, FHE)则可以进行任意计算。从隐私保护的角度来看，HE是强大的，因为参与者可以保持对数据的独家所有权，但潜在地限制了特征提取的可行性(图7)．

‎ 查看此图

‎ 查看此图

在数据共享上下文中，当加密的数据向量本身就是一个有趣的特征时，HE可能适合用于特征提取的特定用例。当不需要来自各个参与者的特征，并且可以在加密域中聚合数据时，保护隐私的特征提取也具有更广泛的适用性。然而，在目前的情况下，HE的适用性并不适合通用特征工程，它取决于数据的性质和特征提取的性质。例如，从GPS坐标解析位置类型是不可计算的，而是查找函数的结果。他不会为这种计划服务。

采用HE的另一个主要障碍是处理加密数据的计算复杂性增加，导致处理时间非常长。PHE无法实现复杂的计算，而FHE的计算性能非常低[17］．这使得除了最简单的操作外，所有的HE操作都不切实际。

零知识证明

零知识证明(ZKP)是一种加密方法验证说服一个验证器一些数学陈述是真还是假，而不透露任何潜在的数据。zkp内置了隐私保护，使其成为处理私有数据的强大方法。

zkp可以根据需要证明的两种陈述进一步分类零知识:关于事实的陈述(例如，一个参与者的GPS坐标对应于一个医院)和有关知识的陈述(例如，参与者的GPS坐标是已知的)[19］．后一种是知识的ZKP，是ZKP最常见的应用，即识别和身份验证(例如，密码身份验证)。然而，在特征工程的上下文中，提取相关元数据的是前一种类型的问题。

ZKP概念紧密地反映了中描述的最小公开框架图1．为了处理地理位置特征提取用例，数据管道如图所示图8可以实施。

‎ 查看此图

由于zkp更广泛地对应于各种各样的技术，因此很难将其概括地推荐给一般的特征提取问题，而是应该根据具体情况进行评估。此外，一些常见的挑战包括实现和计算复杂性。有时，他们仍然需要一个可信的第三方来证明一份声明。58］．我们认为，zkp具有作为隐私保护协议的构建模块的潜力，但目前是一个活跃的研究领域[59]，而不是一个实用的、易于使用的实现工具。

可信执行环境

TEE(也称为安全硬件飞地)是现代处理器中的一种芯片级硬件设计，可以对机密数据进行隔离执行。图9说明了TEEs如何封装私有原始数据而不暴露给研究人员。tee的一个主要好处是它们与本机计算相比几乎没有性能开销，这使得它们适用于广泛的应用程序[25]，同时保证恶意应用程序无法篡改在安全enclave上运行的计算。

在使用tee时，一个重要的考虑因素是可能被利用的硬件漏洞的真实风险。2018年初，据报道，现代商业处理器中的硬件漏洞可以将私人数据暴露给流氓进程(Meltdown)或对执行分支预测的处理器的攻击(Spectre) [61］．另一个漏洞(预示)明确影响英特尔SGX处理器[62，这不禁让人质疑一个安全的飞地究竟能有多可靠。为了解决这些问题，新兴的开源TEE项目认为，通过商业设计中的模糊性来实现安全性是不够的，社区驱动的开放安全性将导致更可靠的设计[25］．

对tee在数据隐私方面的另一个批评是，实际应用程序可能只使用一个或几个tee，这些tee集中管理数据。其想法是，“要求所有参与者在全球范围内信任一个或几个(TEE)处理器仍然是一个非常强大的假设”[63］．为了解决这一限制，出现了一些将区块链与tee结合起来以分散计算节点网络的项目。这种方法将在下一节区块链方法中进一步讨论。

‎ 查看此图

区块链方法

私有和联盟区块链

私有和联盟区块链网络限制谁可以参与网络，通常通过创建由高度可信实体管理的访问控制。通常，还会包含额外的规则来创建权限系统，控制哪些节点可以验证交易，并使交易数据对相关各方私有。最后一个原因在以隐私为中心的数据共享上下文中特别有吸引力，但它的代价是要信任私有网络的维护者。然而，使公共区块链如此吸引人的相同特征——由加密经济激励保护的无信任、去中心化的网络状态——在私有区块链中缺失，并在中得到说明图10．

‎ 查看此图

公共区块链智能合约

公共区块链上的智能合约是小型的模块化软件，一旦部署到网络上就无法更改。这对于隐私保护软件来说是一种有利的品质，因为智能合约的用户可以保证他们的数据总是以相同的方式处理。当智能合约代码公开时，部署的智能合约的功能是可验证的。

然而，在考虑传统的公共区块链(如以太坊)进行数据共享时，第一个重要的承认应该是上传到公共区块链的输入数据是公开可见的，并被永久记录。这使得所有资金发送者和接收者、所有交易数据以及每个合同变量的状态对任何观察者都是可见的，如图所示图11．

一种观点认为，区块链提供了隐私，因为数据交易的发起者和接收者仅由随机生成的账户地址描述。因此，如果参与者为每笔交易生成新的地址，那么匿名是可能的。然而，网络跟踪器已经表明，通过分析交易可以使用户去匿名化。64]，对于某些敏感数据，例如GPS坐标，通过与其他可用的结构化数据(例如来自社交媒体的数据)进行比较，有可能重新识别出大部分用户[33，55-57］．

‎ 查看此图

包含零知识证明的隐私保护区块链

将zkp与公共区块链结合在一起的吸引力在于，在保持区块链的好处的同时实现数据隐私:没有单点信任和交易的不可变性。这种技术的一种实现引起了公众的注意，即能够隐藏加密货币交易的来源、目的地和金额[18，34，35］．

在区块链上扩展zkp以包括智能合约逻辑的想法将是保护隐私、不可信应用程序的强大催化剂。一个叫Hawk的提议33]使用zkp验证交易，并在链下执行私人智能合约。不幸的是，Hawk不能保证事后的隐私，因为它依赖于最低程度信任的管理人员，在交易期间不会泄露敏感数据，但在交易完成后也不提供任何保证。此外，Hawk的论文还没有变成可用的软件版本。同样，也没有描述以太坊上的私人智能合约是否以及何时在不久的将来可用的细节。

在区块链上下文中，ZKP计算复杂度的限制加剧了，这要求在分布式规模上部署该技术。区块链上的ZKPs是一个活跃的研究领域，在这种情况下暂时无法实现私有数据共享和功能工程。使用zkp与区块链智能合约共享GPS坐标数据的应用程序将不得不等待技术的发展。

包含可信执行环境的隐私保护区块链

为了鼓励减少数据孤岛，混合tee和区块链智能合约的平台正在出现。这种方法具有模块化、不可变软件和隔离计算环境的优点，因此数据管道是透明和安全的。该技术说明在图12．

然而，这种方法仍然取决于底层TEE硬件的安全性及其漏洞。结合区块链和tee的平台是新技术，本质上是实验性的，因此潜在的安全威胁仍有待发现。

这种方法还在实现的实用性和可访问性方面提供了好处。绿洲[32]和Enigma [36]项目是开发人员友好的，发布文档、教程和测试网，用于开发和部署应用程序。

‎ 查看此图

位置共享用例的软件实现

在本文中，在比较隐私保护技术时，采用的两个评价标准是可推广性和实现的实用性。为了进一步评估我们的发现，即混合区块链- tee技术为开发隐私保护软件提供了一个实用的平台，我们实现了一个概念验证软件应用程序，解决了框架本文的位置共享用例。本用例基于这样的场景:研究参与者与第三方研究团队共享有关其位置数据的有用特征，而不透露其原始GPS坐标。

实现包括以下内容:

1. 部署在Oasis Devnet上的智能合约。
2. 智能手机(iOS)应用程序，具有图形用户界面，供参与者和第三方与智能合约交互。

Oasis Devnet上的保密智能合约支持私有交易数据和私有智能合约状态(表2)，用以为参加者保密，并可隐藏参加者的原始地理位置资料。Oasis Devnet管理每会话加密密钥，用于加密客户端和智能合约实例之间的通信，这样其他人就无法查看未加密的交易数据[65］．

图13演示用户与已部署智能合约的交互。该合同为参与者提供了一种公开可访问的方法，以发布他们带有时间戳的位置数据。通过在智能合约状态下维护参与者钱包地址和参与者标识符之间的私有映射，参与者身份是保密的。

智能合约还为第三方提供了一种公开可访问的方法，以注册具有预定位置类别的地理坐标(即，医院，健身房,或药店)．第三方可以查询智能合约，查看参与者对位置类别的访问情况。例如，这些数据可以用来建立一个参与者访问注册药店的模型。

‎ 查看此图

智能合约目前作为传统智能合约部署在Oasis Devnet上，而不是作为保密聪明的合同。只有保密智能合约在tee上运行，并维护智能合约状态值和交易数据的隐私。但是，用于从iOS智能手机应用程序部署智能合约的库(web3swift)还不支持保密在撰写本文时，智能合约部署到Oasis Devnet。我们计划在不久的将来，当web3swift库支持可用时，实现对它的支持。

此外，我们希望这个概念验证软件可以作为未来对特征工程用例隐私保护感兴趣的研究的起点。关于软件设计、开发堆栈、实现和权衡的更多细节在目前正在审查的教程手稿中描述[66］．该软件源代码可在GitHub的HD2i/GeolocationSmartContract上公开获取[67]及HD2i/Geolocation-iOS [68］．有关使用的全部细节都包含在软件中。

讨论

隐私保护方法的比较

我们发现，依靠可信第三方来保护参与者数据的传统方法通常无法完全保证敏感数据不会被用于意想不到的目的。参与者必须对使用服务器端去识别程序并自己维护数据仓库的研究人员提供高度信任。过去十年中，集中式服务器上发生的大量数据泄露事件表明，负责任的问题应该是问自己，私人信息何时会暴露，而不是是否会暴露。为了解决这个问题，研究人员应该尽量限制原始数据的曝光。一种有效的方法是在每个参与者控制下的个人设备上执行客户端特征提取，例如个人智能手机或私人数据服务器。这种方法的主要缺点是研究人员在开发安全、经过验证的软件时负担很大;与此同时，参与者仍然需要相信软件只收集预期的数据，并且没有其他数据收集程序只在隐私政策的细则中描述。

有几种复杂的加密技术提供了隐私保护方法，这是一个活跃的研究领域。PRE可用于对加密数据的访问控制，但它不能保证后验隐私。安全MPC在从两方或多方收集加密数据并计算汇总结果时，不需要可信的第三方。然而，与性能相关的实际实现依赖于由一方管理的少量计算节点，这需要对操作员、软件和计算节点的安全性进行信任。HE被认为是隐私保护方法的圣杯，在这种方法下，可以对加密空间中的私有数据执行计算。然而，很少有加密数据可以用作特性的用例，或者应用程序受到计算性能的限制。zkp是一种广泛的加密技术，它提供了强大的数据隐私保障，但需要针对特定的应用程序进行评估。从表面上看，它们可以用于身份验证，但其他应用程序通常会导致实现和计算的复杂性。

计算硬件的进步通过tee的设计实现了隐私保护。这些芯片级设计创建了一个隔离的内存空间，可以对敏感数据进行计算。然而，与软件数据泄露一样，很难保证硬件漏洞不会被利用。此外，参与者仍然必须相信TEE计算节点上运行的软件就是所发布的软件。

前三种方法都有一个共同的元素:特征提取运行在由可信第三方管理的集中式服务器或计算节点上。尽管一些方法提供了更高级别的数据安全性，但在可见性方面仍然存在缺陷。参与者必须相信第三方正在做它所说的事情，而不是别的。这就是区块链技术提供独特优势的地方。

区块链提供了一个无信任的环境，通过运行在一个去中心化的网络上，不受加密经济激励的篡改，具有可见性和不可变性。此外，它们还提供了作为不可变软件(智能合约)的独特好处，如果合约代码公开，可以验证它是否完全按照承诺的方式执行。当然，这只能在公共区块链中得到保证，在公共区块链中，私人或联盟区块链倾向于合并可信方，并且更加集中。不幸的是，区块链是为了安全和数据完整性而设计的，而不是为了数据隐私。

加密技术和tee与区块链的组合解决了单点信任弱点，并为可信赖的隐私保护平台提供了最高潜力。两种有前景的混合产品是包含zkp的区块链和包含tee的区块链。与ZKPs合作的区块链已经成功地提供了加密货币的交易隐私，但在智能合约数据隐私方面还没有发展到相同的水平。带tee的区块链是一种正在开发中的技术，但它已经达到了一个成熟的水平，开发人员可以开始在这些平台上开发和部署真正的应用程序。当然，这些平台上潜在的硬件漏洞并不是理想的方法;然而，在像FHE这样的加密方法能够大规模广泛应用之前，带有TEEs的区块链似乎是目前可用的最佳方法。此外，我们发现健壮的开发人员文档和工具是可用的，这使得这种方法也可用于产品实现。我们针对地理位置用例的软件实现在一定程度上受到了Oasis平台提供的实用方向和开发人员支持的鼓励，并说明了隐私保护方法今天在非生产开发人员网络上是可实现的。然而，需要强调的是，在提交本文时，带有TEE开发者网络的区块链还处于实验阶段，应该采取保守的方法。

表3总结了我们的发现，并尝试从质量上比较每种方法必须在其他实体中放置多少信任。此外，还定义了每种方法的实用性(基于实现和计算复杂度)的粗略指示。还确定了每种方法的实际实现或开发项目的示例;中提供了更详细的信息多媒体附件1．最后，总结了每种方法的主要局限性。

限制

在关于最小暴露特征工程的介绍部分中，我们确定了分析管道中的特征工程步骤提供了限制暴露和删除可识别特征的机会。尽管我们提倡这一框架以尽可能减少私人数据的暴露，但我们认识到并非所有的特征工程问题都可以去识别。在这些情况下，我们建议采取数据安全保护措施，包括加密和安全服务器。

在公共区块链网络上的交易有固有的成本，参与交易的各方必须用加密货币支付。这一财务成本有多大，取决于加密货币的价值和任何给定时间的网络拥塞，因此这里没有提供可量化的金额。对于实际实现来说，成本可能是一个重要的考虑因素，但我们的重点是确定维护隐私的方法。

当向任何互联网连接的网络(包括公共区块链)发布交易时，一个合理的担忧是参与者会透露他们的互联网协议(IP)地址，这本身就是一个识别信息。解决这个问题的一个方法是实现一个互联网请求代理(例如，Tor软件的瘦客户端)，它可以中继互联网流量来隐藏用户的位置和使用情况[69］．但是，作者还没有实现这个特性，这将留给将来的工作。

结论

我们相信，区块链技术正在推动数据隐私的边界向前发展。不可变智能合约解决了在集中式服务器的单点信任上运行的隐私保护协议的基本限制。随着不同的加密和软件技术与区块链重叠，更强的隐私保障成为可能。特别是，我们认为区块链与TEEs的结合似乎是一种实用且具有前瞻性的隐私保护功能工程方法。这一结论得到了我们在混合区块链- tee开发平台上开发和部署的概念验证私有地理位置数据共享软件的支持。然而，没有一个系统是完全没有漏洞的，在与高度敏感的私人数据(如GPS坐标或其他生物医学数据)交互时，应该进行彻底的测试。