Privacy-Enhancing Methods for Time Series and their Impact on Electronic Markets

The amount of collected time series data containing personal information has increased in the last years, e.g., smart meters store time series of power consumption data. Using such data for the benefit of society requires methods to protect the privacy of individuals. Those methods need to modify the data. In this thesis, we contribute a provable privacy method for time series and introduce an application specific measure in the smart grid domain to evaluate their impact on data quality

Harnessing Flexible and Reliable Demand Response Under Customer Uncertainties

Demand response (DR) is a cost-effective and environmentally friendly approach for mitigating the uncertainties in renewable energy integration by taking advantage of the flexibility of customers' demands. However, existing DR programs suffer from either low participation due to strict commitment requirements or not being reliable in voluntary programs. In addition, the capacity planning for energy storage/reserves is traditionally done separately from the demand response program design, which incurs inefficiencies. Moreover, customers often face high uncertainties in their costs in providing demand response, which is not well studied in literature. This paper first models the problem of joint capacity planning and demand response program design by a stochastic optimization problem, which incorporates the uncertainties from renewable energy generation, customer power demands, as well as the customers' costs in providing DR. We propose online DR control policies based on the optimal structures of the offline solution. A distributed algorithm is then developed for implementing the control policies without efficiency loss. We further offer enhanced policy design by allowing flexibilities into the commitment level. We perform real world trace based numerical simulations. Results demonstrate that the proposed algorithms can achieve near optimal social costs, and significant social cost savings compared to baseline methods

Privacy and security in cyber-physical systems

Data privacy has attracted increasing attention in the past decade due to the emerging technologies that require our data to provide utility. Service providers (SPs) encourage users to share their personal data in return for a better user experience. However, users' raw data usually contains implicit sensitive information that can be inferred by a third party. This raises great concern about users' privacy. In this dissertation, we develop novel techniques to achieve a better privacy-utility trade-off (PUT) in various applications. We first consider smart meter (SM) privacy and employ physical resources to minimize the information leakage to the SP through SM readings. We measure privacy using information-theoretic metrics and find private data release policies (PDRPs) by formulating the problem as a Markov decision process (MDP). We also propose noise injection techniques for time-series data privacy. We characterize optimal PDRPs measuring privacy via mutual information (MI) and utility loss via added distortion. Reformulating the problem as an MDP, we solve it using deep reinforcement learning (DRL) for real location trace data. We also consider a scenario for hiding an underlying ``sensitive'' variable and revealing a ``useful'' variable for utility by periodically selecting from among sensors to share the measurements with an SP. We formulate this as an optimal stopping problem and solve using DRL. We then consider privacy-aware communication over a wiretap channel. We maximize the information delivered to the legitimate receiver, while minimizing the information leakage from the sensitive attribute to the eavesdropper. We propose using a variational-autoencoder (VAE) and validate our approach with colored and annotated MNIST dataset. Finally, we consider defenses against active adversaries in the context of security-critical applications. We propose an adversarial example (AE) generation method exploiting the data distribution. We perform adversarial training using the proposed AEs and evaluate the performance against real-world adversarial attacks.Open Acces

Privacy-preserving energy management techniques and delay-sensitive transmission strategies for smart grids

The smart grid (SG) is the enhancement of the traditional electricity grid that allows bidirectional flow of electricity and information through the integration of advanced monitoring, communication and control technologies. In this thesis, we focus on important design problems affecting particularly two critical enabling components of the SG infrastructure : smart meters (SMs) and wireless sensor networks (WSNs). SMs measure the energy consumption of the users and transmit their readings to the utility provider in almost real-time. SM readings enable real-time optimization of load management. However, possible misuse of SM readings raises serious privacy concerns for the users. The challenge is thus to design techniques that can increase the privacy of the users while maintaining the monitoring capabilities SMs provide. Demand-side energy management (EM), achieved thanks to the utilization of storage units and alternative energy sources, has emerged as a potential technique to tackle this challenge. WSNs consist of a large number of low power sensors, which monitor physical parameters and transmit their measurements to control centers (CCs) over wireless links. CCs utilize these measurements to reconstruct the system state. For the reliable management of the SG, near real-time and accurate reconstruction of the system state at the CC is crucial. Thus, low complexity delay-constrained transmission strategies, which enable sensors to accurately transmit their measurements to CCs, should be investigated rigorously. To address these challenges, this dissertation investigates and designs privacy-preserving EM techniques for SMs and delay-constrained transmission strategies for WSNs. The proposed EM techniques provide privacy to SM users while maintaining the operational benefits SMs provide. On the other hand, the proposed transmission strategies enable WSNs to meet low latency transmission requirements, which in turn, facilitate real-time and accurate state reconstruction; and hence, the efficient and robust management of the SG. First, we consider an SM system with energy harvesting and storage units. Representing the system with a discrete-time finite state model, we study stochastic EM policies from a privacy-energy efficiency trade-off perspective, where privacy is measured by information leakage rate and energy efficiency is measured by wasted energy rate. We propose EM policies that take stochastic output load decisions based on the harvested energy, the input load and the state of the battery. For the proposed policies, we characterize the fundamental trade-off between user's privacy and energy efficiency. Second, we consider an SM system with a storage unit. Considering a discrete-time power consumption and pricing model, we study EM policies from a privacy-cost trade-off perspective, where privacy is measured by the load variance as well as mutual information. Assuming non-causal knowledge of the power demand profile and prices, we characterize the optimal EM policy based on the solution of an optimization problem. Then, assuming that the power demand profile is known only causally, we obtain the optimal EM policy based on dynamic programming, and also propose a low complexity heuristic policy. For the proposed policies, we characterize the trade-off between user's privacy and energy cost. Finally, we study the delay-constrained linear transmission (LT) of composite Gaussian measurements from a sensor to a CC over a point-to-point fading channel. Assuming that the channel state information (CSI) is known by both the encoder and decoder, we propose the optimal LT strategy in terms of the average mean-square error (MSE) distortion under a strict delay constraint, and two LT strategies under general delay constraints. Assuming that the CSI is known only by the decoder, we propose the optimal LT strategy in terms of the average MSE distortion under a strict delay constraint.La red de energía inteligente (SG) es la mejora de la red eléctrica tradicional. En esta tesis, nos enfocamos en las problemáticas asociadas al diseño de dos de los componentes más críticos de la infraestructura de la SG : los medidores inteligentes (SMs) y las redes de sensores inalámbricos (WSNs). Los SMs miden el consumo de energía de los usuarios y transmiten sus medidas al proveedor de servicio casi en tiempo real. Las medidas de SM permiten la optimización en tiempo real de la gestión de carga en la red. Sin embargo, el posible mal uso de estas medidas plantea preocupaciones graves en cuanto a la privacidad de los usuarios. El desafío es, por lo tanto, diseñar técnicas que puedan aumentar la privacidad de los usuarios manteniendo las capacidades de supervisión que proveen los SMs. Una solución tecnológica es el diseño de sistemas de gestión de energía (EM) inteligentes compuestos por dispositivos de almacenamiento y generación alternativa de energía. Las WSNs se componen de un gran número de sensores, que miden parámetros físicos y transmiten sus mediciones a los centros de control (CCs) mediante enlaces inalámbricos. Los CCs utilizan estas mediciones para estimar el estado del sistema. Para una gestión fiable de la SG, una buena reconstrucción del estado del sistema en tiempo real es crucial. Por ello, es preciso investigar estrategias de transmisión con estrictos requisitos de complejidad y limitaciones de latencia. Para afrontar estos desafíos, esta tesis investiga y diseña técnicas de EM para preservar la privacidad de los usuarios de SM y estrategias de transmisión para WSNs con limitaciones de latencia. Las técnicas de EM propuestas proporcionan privacidad a los consumidores de energía manteniendo los beneficios operacionales para la SG. Las estrategias de transmisión propuestas permiten a las WSNs satisfacer los requisitos de baja latencia necesarios para la reconstrucción precisa del estado en tiempo real; y por lo tanto, la gestión eficiente y robusta de la SG. En primer lugar, consideramos el diseño de un sistema de SM con una unidad de almacenamiento y generación de energía renovable. Representando el sistema con un modelo de estados finitos y de tiempo discreto, proponemos políticas estocásticas de EM. Para las políticas propuestas, caracterizamos la relación fundamental existente entre la privacidad y la eficiencia de energía del usuario, donde la privacidad se mide mediante la tasa de fuga de información y la eficiencia de energía se mide mediante la tasa de energía perdida. En segundo lugar, consideramos el diseño de un sistema de SM con una unidad de almacenamiento. Considerando un modelo de tiempo discreto, estudiamos la relación existente entre la privacidad y el coste de la energía, donde la privacidad se mide por la variación de la carga, así como la información mutua. Suponiendo que el perfil de la demanda de energía y los precios son conocidos de antemano, caracterizamos la política de EM óptima. Suponiendo que la demanda de energía es conocida sólo para el tiempo actual, obtenemos la política de EM óptima mediante programación dinámica, y proponemos una política heurística de baja complejidad. Para las políticas propuestas, caracterizamos la relación existente entre la privacidad y el coste de energía del usuario. Finalmente, consideramos el diseño de estrategias de transmisión lineal (LT) de mediciones Gaussianas compuestas desde un sensor a un CC sobre un canal punto a punto con desvanecimientos. Suponiendo que la información del estado del canal (CSI) es conocida tanto por el trasmisor como por el receptor, proponemos la estrategia de LT óptima en términos de la distorsión de error cuadrático medio (MSE) bajo una restricción de latencia estricta y dos estrategias de LT para restricciones de latencia arbitrarias. Suponiendo que la CSI es conocida sólo en el receptor, proponemos la estrategia de LT óptima en términos de la distorsión de MSE bajo una restricción de latencia estricta.La xarxa d'energia intel·ligent (SG) és la millora de la xarxa elèctrica tradicional. En aquesta tesi, ens enfoquem en les problemàtiques associades al disseny de dos dels components més crítics de la infraestructura de la SG : els mesuradors de consum intel·ligents(SMs) i les xarxes de sensors sense fils (WSNs).Els SMs mesuren el consum d'energia dels usuaris i transmeten les seves mesures al proveïdor de servei gairebé en temps real. Les mesures de SM permeten l'optimització en temps real de la gestió de càrrega a la xarxa. No obstant això, el possible mal ús d'aquestes mesures planteja preocupacions greus en quant a la privacitat dels usuaris. El desafiament és, per tant, dissenyar tècniques que puguin augmentar la privadesa dels usuaris mantenint les capacitats de supervisió que proveeixen els SMs. Una solució tecnològica és el disseny de sistemes de gestió d'energia (EM) intel·ligents compostos per dispositius d'emmagatzematge i generació alternativa d'energia.Les WSNs es componen d'un gran nombre de sensors, que mesuren paràmetres físics i transmeten les seves mesures als centres de control (CCs) mitjançant enllaços sense fils. Els CCs utilitzen aquestes mesures per estimar l'estat del sistema. Per a una gestió fiable de la SG, una bona reconstrucció de l'estat del sistema en temps real és crucial. Per això, cal investigar estratègies de transmissió amb estrictes requisits de complexitat i limitacions de latència. Per d'afrontar aquests desafiaments, aquesta tesi investiga i dissenya tècniques d'EM per preservar la privacitat dels usuaris de SM i estratègies de transmissió per WSNs amb limitacions de latència. Les tècniques d'EM propostes proporcionen privacitats als consumidors d'energia mantenint els beneficis operacionals per la SG. Les estratègies de transmissió proposades permeten a les WSNs satisfer els requisits de baixa latència necessaris per a la reconstrucció precisa de l'estat en temps real; i per tant, la gestió eficient i robusta de la SG.En primer lloc, considerem el disseny d'un sistema de SM amb una unitat d'emmagatzematge i generació d'energia renovable. Representant el sistema amb un model d'estats finits i de temps discret, proposem polítiques estocàstiques d'EM. Per a les polítiques propostes, caracteritzem la relació fonamental existent entre la privadesa i l'eficiència d'energia de l'usuari, on la privacitat es mesura mitjançant la taxa de fugida d'informació i l'eficiència d'energia es mesura mitjançant la taxa d'energia perduda.En segon lloc, considerem el disseny d'un sistema de SM amb una unitat d'emmagatzematge. Considerant un model de temps discret, estudiem la relació existent entre la privacitat el cost de l'energia, on la privacitat es mesura per la variació de la càrrega, així com mitjançant la informació mútua. Suposant que la corba de la demanda d'energia i els preus són coneguts per endavant, caracteritzem la política d'EM òptima. Suposant que la demanda d'energia és coneguda només per al temps actual, obtenim la política d'EM òptima mitjançant programació dinàmica, i proposem una política heurística de baixa complexitat. Per a les polítiques propostes, caracteritzem la relació existent entre la privacitat i el cost d'energia de l'usuari.Finalment, considerem el disseny d'estratègies de transmissió lineal (LT) de mesures Gaussianes compostes des d'un sensor a un CC sobre un canal punt a punt amb esvaïments. Suposant que la informació de l'estat del canal (CSI) és coneguda tant pel transmissor com pel receptor, proposem l'estratègia de LT òptima en termes de la distorsió d'error quadràtic mitjà (MSE) sota una restricció de latència estricta. A més, proposem dues estratègies de LT per a restriccions de latència arbitràries. Finalment, suposant que la CSI és coneguda només en el receptor, proposem l'estratègia de LT òptima en termes de la distorsió de MSE sota una restricció de latència estricta

Privacy preserving protocols for smart meters and electric vehicles

Tese de mestrado, Segurança Informática, Universidade de Lisboa, Faculdade de Ciências, 2015Actualmente existe a tendência para se adicionar mais inteligência em vários pontos da rede elétrica, permitindo uma comunicação bidireccional entre a empresa fornecedora de energia eléctrica e as nossas casas. Ao longo dos próximos anos, os contadores de energia nas nossas casas serão gradualmente substituídos por um equipamento com mais capacidades, denominado medidor inteligente. Os medidores inteligentes podem colher informações sobre os gastos de energia em tempo real, e encaminhar os dados para o fornecedor. Além disso, podem receber comandos do fornecedor (ou outros intervenientes) e agir em conformidade, nomeadamente através da interacção com equipamentos locais (por exemplo, ar condicionado ou congelador) para ajustar o seu modo de operação, diminuindo temporariamente o consumo de energia. Os medidores inteligentes podem ainda apoiar a produção local de energia (com painéis solares ou geradores eólicos) e o seu armazenamento (através de um banco de baterias ou veículo eléctrico), sendo necessário haver coordenação entre a sua operação e as empresas fornecedoras de energia eléctrica. Estes medidores, quando coordenados de uma forma apropriada, podem permitir uma redução dos picos globais de consumo. Deste modo evitam investimentos na rede energética direccionados para lidar com estas condições extremas, que tendem a ocorrer durante o horário laboral. A evolução no uso de veículos eléctricos irá gerar também um grande consumo de energia. Caso todos os veículos se tornem eléctricos, a rede actual não tem capacidade para lidar com o enorme pico gerado. No entanto, estes veículos poderão também ter a capacidade de transferir para a rede parte da sua energia, o que significa que, poderão ser usados em caso de necessidade para colmatar flutuações no consumo de energia (juntamente com outras fontes alternativas de geração). Esta coordenação, quando eficiente, pode permitir grandes vantagens em situações limite, como por exemplo quando há um fornecimento reduzido de energia, em que os medidores podem desactivar total ou parcialmente os aparelhos domésticos, permitindo uma melhor distribuição de energia por todos, priorizando, se necessário, certos locais como por exemplo hospitais. Como esperado, este tipo de configuração é propenso a muitas formas de ataque, desde a espionagem de comunicações até à manipulação física dos medidores inteligentes. Por isso, é necessário desenvolver protocolos seguros que possam ser usados para proteger os dispositivos e aplicações que irão operar na rede eléctrica futura. Este projecto em particular, desenvolve uma solução que protege as comunicações entre o medidor inteligente e a empresa distribuidora de energia no que diz respeito aos ataques à privacidade. Nestes ataques, o adversário obtém informação sobre o que o utilizador está a fazer em sua casa, monitorizando em tempo real a informação que é transmitida pelo medidor inteligente. Nos últimos anos tem-se assistido igualmente a uma evolução rápida nas tecnologias de transferência de energia sem fios, existindo actualmente alguns protótipos em funcionamento, como o carregamento de baterias em autocarros eléctricos numa universidade da Coreia do Sul. Uma eventual utilização generalizada desta tecnologia obriga à definição de novas formas de pagamento, possibilitando que os veículos eléctricos se possam abastecer em movimento. Se existir um protocolo demasiado simples que faça esta tarefa, pode levar a que o condutor seja identificado quando e onde carregar as baterias do seu veículo, algo que não acontece com um tradicional abastecimento de combustível pago com notas ou moedas. Este projecto lida com duas vertentes relacionadas que tratam da aferição do consumo de energia. Uma é baseada nos contadores inteligentes das casas, e outra nos “contadores” em veículos (mais concretamente, a forma de pagamento da energia transferida sem fios para um veículo em movimento). Apresentam-se diferentes técnicas/algoritmos já propostos que podem contribuir para uma solução, mas que apesar disso não conseguem atingir todos os requisitos e funcionalidades pretendidas de forma isolada. Estabelece-se também uma relação com o trabalho já realizado que utiliza tais técnicas. É estudado um protocolo especifico, o Low Overhead PrivAcy (LOPA), que organiza vários medidores num grupo. Em cada grupo é gerada secretamente uma chave entre cada medidor do grupo, depois é criada a partir dessa chave uma outra chave, que é somada a cada medição que cada medidor envia para um agregador, sem que ninguém consiga ver o valor da medição individual (devido à chave). O agregador, ao somar todas as medições de todos os medidores de um grupo, obtém o valor total de consumo de todos os medidores. O agregador, no entanto, não consegue saber cada medição individual, devido ao modo como a chave é gerada, garantindo a privacidade de cada casa. Este protocolo é explicado em detalhe, implementado e avaliado. São propostos também três protocolos para o pagamento da transferência de energia, que permitem manter o anonimato de um veículo, evitando que se saiba quando ou onde este circula. Os protocolos também lidam com ineficiências de transmissão, assegurando uma rapidez, simplicidade e segurança adequadas para serem aplicados em carros em movimento a velocidades habituais de circulação. Um dos protocolos permite uma transferência de energia pós-paga, e os outros dois usam uma modalidade de pré-pagamento, um com contas temporárias e o outro com dinheiro digital. Estes protocolos baseiam-se num conjunto de mensagens que empregam técnicas como assinaturas digitais (para garantir a integridade e autenticação das comunicações), técnicas de cifra, dinheiro digital, ou entidades terceiras confiáveis para permitir a confidencialidade. Pretende-se que seja assegurada a segurança do pagamento, ao mesmo tempo que é permitido ao ponto de carregamento identificar o responsável pelo veículo, em caso de incumprimento. O dinheiro digital e o protocolo de perfis pseudo-anónimos foram implementados e avaliados em duas plataformas diferentes. Os resultados experimentais foram muito satisfatórios, dando indicações de que estes protocolos poderiam ser utilizados na prática.There is currently a trend to add more intelligence to various points of the electric grid, thus enabling a bidirectional communication path between the electrical utility company and our homes, by upgrading the existing components along the way. For example, the metering devices in our homes will be gradually replaced with a more capable equipment, called smart meter. Smart meters can collect information about energy spending in real-time, and forward this data to the utility. Moreover, they can receive information from the utility (or other operators) and act on it, for instance, by interacting with local equipments (e.g., air conditioner or refrigerator) to adjust their operation mode (e.g., make them decrease the energy use). Smart meters can also support local energy production (e.g., solar panels or windmills) and storage (e.g., batteries), by coordinating its operation with the utility companies. As expected, this sort of setting is prone to many forms of attack, ranging from eavesdropping on the communications to the physical tampering of the smart meters. Therefore, it is necessary to develop secure protocols that can be used to protect the devices and applications that will be operating in this future smart grid. In particular, in this project we study and evaluate a solution that protects the communications between the smart meter and the electrical company with respect to attacks on privacy. For instance, it addresses a form of attack where the adversary learns information about what a person is doing at home by monitoring the messages transmitted by the smart meter in real-time. In recent years there have been rapid developments in Wireless Power Transfer technology (WPT). There are currently some prototypes in operation, such as charging batteries in electric buses at a university in South Korea. In the event of a widespread use of this technology, it is required that new forms of accounting and payment of energy are established. This project proposes a protocol for the payment of energy transfer that ensures the anonymity of the vehicle, precluding attacks that attempt to determine where it circulates. The protocol also handles transmission inefficiencies, ensuring a fast, simple and adequate application in cars moving at normal speeds of movement

Privacy in the Smart City - Applications, Technologies, Challenges and Solutions

Many modern cities strive to integrate information technology into every aspect of city life to create so-called smart cities. Smart cities rely on a large number of application areas and technologies to realize complex interactions between citizens, third parties, and city departments. This overwhelming complexity is one reason why holistic privacy protection only rarely enters the picture. A lack of privacy can result in discrimination and social sorting, creating a fundamentally unequal society. To prevent this, we believe that a better understanding of smart cities and their privacy implications is needed. We therefore systematize the application areas, enabling technologies, privacy types, attackers and data sources for the attacks, giving structure to the fuzzy term “smart city”. Based on our taxonomies, we describe existing privacy-enhancing technologies, review the state of the art in real cities around the world, and discuss promising future research directions. Our survey can serve as a reference guide, contributing to the development of privacy-friendly smart cities

Toward practical and private online services

Today's common online services (social networks, media streaming, messaging, email, etc.) bring convenience. However, these services are susceptible to privacy leaks. Certainly, email snooping by rogue employees, email server hacks, and accidental disclosures of user ratings for movies are some sources of private information leakage. This dissertation investigates the following question: Can we build systems that (a) provide strong privacy guarantees to the users, (b) are consistent with existing commercial and policy regimes, and (c) are affordable? Satisfying all three requirements simultaneously is challenging, as providing strong privacy guarantees usually necessitates either sacrificing functionality, incurring high resource costs, or both. Indeed, there are powerful cryptographic protocols---private information retrieval (PIR), and secure two-party computation (2PC)---that provide strong guarantees but are orders of magnitude more expensive than their non-private counterparts. This dissertation takes these protocols as a starting point and then substantially reduces their costs by tailoring them using application-specific properties. It presents two systems, Popcorn and Pretzel, built on this design ethos. Popcorn is a Netflix-like media delivery system, that provably hides, even from the content distributor (for example, Netflix), which movie a user is watching. Popcorn tailors PIR protocols to the media domain. It amortizes the server-side overhead of PIR by batching requests from the large number of concurrent users retrieving content at any given time; and, it forms large batches without introducing playback delays by leveraging the properties of media streaming. Popcorn is consistent with the prevailing commercial regime (copyrights, etc.), and its per-request dollar cost is 3.87 times that of a non-private system. The other system described in this dissertation, Pretzel, is an email system that encrypts emails end-to-end between senders and intended recipients, but allows the email service provider to perform content-based spam filtering and targeted advertising. Pretzel refines a 2PC protocol. It reduces the resource consumption of the protocol by replacing the underlying encryption scheme with a more efficient one, applying a packing technique to conserve invocations of the encryption algorithm, and pruning the inputs to the protocol. Pretzel's costs, versus a legacy non-private implementation, are estimated to be up to 5.4 times for the email provider, with additional but modest client-side requirements. Popcorn and Pretzel have fundamental connections. For instance, the cryptographic protocols in both systems securely compute vector-matrix products. However, we observe that differences in the vector and matrix dimensions lead to different system designs. Ultimately, both systems represent a potentially appealing compromise: sacrifice some functionality to build in strong privacy properties at affordable costs.Computer Science