Confidentialité de la localisation dans l'informatique ubiquitaire

Le domaine de l'informatique ubiquitaire envisage une ère où le consommateur moyen possédera des centaines ou des milliers de dispositifs informatiques mobiles et embarqués. Ces dispositifs exécuteront des actions en fonction du contexte de leurs utilisateurs, et les systèmes ubiquitaires collecteront, collationneront et distribueront donc bien plus d'informations personnelles sur les individus que ne le font les ordinateurs aujourd'hui. Une grande partie de ces informations personnelles sera considérée comme privée, et les mécanismes permettant aux utilisateurs de contrôler la diffusion de ces données sont donc essentiels. Les informations de localisation constituent une forme de contexte particulièrement utile dans l'informatique ubiquitaire, pourtant leur diffusion inconditionnelle peut s'avérer très invasive. Cette thèse développe de nouvelles méthodes pour assurer la confidentialité de la localisation dans l'informatique ubiquitaire. Une grande partie des travaux antérieurs dans ce domaine utilise le contrôle d'accès pour garantir la confidentialité de la localisation. Cette thèse adopte une approche différente et soutient que de nombreuses applications sensibles à la localisation peuvent fonctionner avec des données de localisation anonymisées et que, lorsque cela est possible, leur utilisation est préférable à celle du contrôle d'accès. Une anonymisation appropriée des données de localisation n'est pas une tâche triviale : selon un modèle de menace réaliste, la simple suppression des identifiants explicites n'anonymise pas les informations de localisation. Cette thèse décrit pourquoi il en est ainsi et développe deux modèles de sécurité quantitatifs pour anonymiser les données de localisation : le modèle de zone de mélange et le modèle de qualité variable. Un tiers de confiance peut utiliser l'un ou l'autre de ces modèles, ou les deux, pour s'assurer que tous les événements de localisation transmis à des applications non fiables sont convenablement anonymisés. Le modèle de zone de mélange prend en charge les applications non fiables qui nécessitent des informations de localisation précises sur les utilisateurs dans un ensemble d'emplacements physiques disjoints. En revanche, le modèle de qualité variable réduit la précision temporelle ou spatiale des informations de localisation afin de préserver l'anonymat de l'utilisateur à chaque emplacement. Les deux modèles fournissent une mesure quantitative du niveau d'anonymat atteint ; toute situation donnée peut donc être analysée afin de déterminer la quantité d'informations qu'un attaquant peut obtenir grâce à l'analyse des données anonymisées. La pertinence de ces deux modèles est démontrée et le niveau de confidentialité de la localisation offert aux utilisateurs d'applications réelles sensibles à la localisation est mesuré.