CN115380506B 隐私保护的活动聚合机制的方法、系统 （谷歌有限责任公司）

2022.09.06PCT/US2021/0206942021.03.03WO2022/186831EN2022.09.09US2019089547A1,2019.03.21本公开涉及一种用于保护隐私的网络活动应用分配基于随机选择的标识符和指示随机化群组被分配给应用的第一时间的时间戳而构造的随机化群组；以及在该第一时间向应用提供(i)与随机选择的标识符和时间戳相对应的数字签名证书和(ii)与该证书相关联的唯一公钥和给在其他用户设备上执行的至少阈值数量的其2从用户的用户设备上的应用接收来自第一域的对数字内在第一时间向所述应用分配随机化群组，所述随机化群组是基指示所述随机化群组被分配给所述应用的所述第在所述第一时间向所述应用提供(i)与所述随机选择的标识符和所述时间戳相对应的在第二时间从所述应用接收与所述随机选择的标识符相对应的模糊标识符和指示包含所述随机化群组的年龄的cookie的年龄范围的随其中，所述随机化群组的所述年龄是基于在所述第二其中，在将所述随机化群组分配给所述应用的预定时间还被分配给在其他用户设备上执行的至少阈值数量的其其中，所述随机选择的标识符是从两个或更多个随机生成的标其中，所述随机选择的标识符是从两个或更多个随机生成的标由所述应用提供来自不同于所述第一域的第二域的对数字内容的请求和所述随机化3包括指令的一个或多个存储器元件，所述指令在被从用户的用户设备上的应用接收来自第一域的对数字内在第一时间向所述应用分配随机化群组，所述随机化群组是基指示所述随机化群组被分配给所述应用的所述第在所述第一时间向所述应用提供(i)与所述随机选择的标识符和所述时间戳相对应的在第二时间从所述应用接收与所述随机选择的标识符相对应的模糊标识符和指示包含所述随机化群组的年龄的cookie的年龄范围的随其中，所述随机化群组的所述年龄是基于在所述第二其中，在将所述随机化群组分配给所述应用的预定时间还被分配给在其他用户设备上执行的至少阈值数量的其其中，所述随机选择的标识符是从两个或更多个随机生成的标其中，所述随机选择的标识符是从两个或更多个随机生成的标由所述应用提供来自不同于所述第一域的第二域的对数字内容的请求和所述随机化413.一种编码有指令的非暂时性计算机存储介质，所述指令在由分布式计算系统执行从用户的用户设备上的应用接收来自第一域的对数字内在第一时间向所述应用分配随机化群组，所述随机化群组是基指示所述随机化群组被分配给所述应用的所述第在所述第一时间向所述应用提供(i)与所述随机选择的标识符和所述时间戳相对应的在第二时间从所述应用接收与所述随机选择的标识符相对应的模糊标识符和指示包含所述随机化群组的年龄的cookie的年龄范围的随其中，所述随机化群组的所述年龄是基于在所述第二其中，在将所述随机化群组分配给所述应用的预定时间还被分配给在其他用户设备上执行的至少阈值数量的其其中，所述随机选择的标识符是从两个或更多个随机生成的标其中，所述随机选择的标识符是从两个或更多个随机生成的标由所述应用提供来自不同于所述第一域的第二域的对数字内容的请求和所述随机化56第一时间的时间戳而构造的随机化群组；以及在第一时间向应用提供(i)与随机选择的标择的标识符是从两个或更多个随机生成的标识符中选择的随机生成的标识符，并且其中，7验证系统验证随机化群组被分配给至少阈值以克服在浏览器不支持使用第三方cookie时如，k＝100的随机化群组标识符的k-匿名性的保证确保至少有100个随机用户与随机化群8定随机化群组标识符的统计属性。这允许用户通过独立来源确认他们的匿名性得到维护，员重新使用现有基础设施来提供有关Web活动的相关统计数据并执行安全功能以保护第三[0021]图3A是图示了用于发布和实现在范围上被限制到单个发布域的隐私保护的监控[0027]图1是用于隐私保护的数据收集和分析的环境100的框图。示例环境100包括网络[0028]用户设备106是能够通过网络102请求和接收资源(例如，电子文档)的电子设9资源并为用户设备106上的其他程序提供公共服务。软件107能够充当在程序和用户设备者网页的电子文档服务器104能够通过发送机器超文本标记语言(HTML)代码来响应该请源请求内容。用户设备106将从数据源获得的内容集成到给定电子文档的呈现中以创建包标签或数字内容脚本。数字内容标签或数字内容脚本的执行配置用户设备106以生成对数设备106)的名称(或网络位置)和/或DCDS110能够用来选择响应于请求而提供的数字内容呈现中的位置和/或有资格在这些位置中呈现的媒体类型的数据能够被提供给DCDS110。提交请求的州或地区的地理信息或提供用于其中将显示数字内容的环境的场境的其他信[0037]也能够在请求108中提供指定用户设备106的特征的数据，诸如标识用户设备106且请求108本身能够被格式化为具有报头和有效载荷数据的分组化数据。报头能够指定分个人身份信息，或者用户的地理位置可以在获取位置信息的情况下被一般化(例如达到城[0039]DCDS110响应于接收到请求108和/或使用包括在请求108中的信息来选择将与给应于请求108标识和分布数字内容。该多个计算设备的集合一起操作以从数百万或更多可多的可用数字内容能够例如在数字组件数据库112中被索引。每个数字内容索引条目能够的不同部分以标识具有与请求108中包括[0041]DCDS110聚合从该多个计算设备的集合接收的结果并使用与聚合结果相关联的设备106能够将选择的数字内容的集合整合到给定的电子文档中，使得选择的数字内容集合和电子文档的内容一起被呈现在用户设备106的[0042]DCDS110能够将来自用户设备106的软件107的请求108转发到数据源，诸如电子[0043]随机化群组生成器121(RCX生成器)允许电子文档服务器104生成随机化群组，即识符和随机化群组时间戳的隐私保护的监控机制的特定格式。响应于来自诸如软件107的应用或诸如用户设备106的设备的初始第三方请求而生成随机化群组，并且随机化群组包群组能够是域范围的，这意味着在随机化群组生成器121和/或电子文档服务器104关联于供用于与从电子文档服务器104请求的内容一起显示的设备106上执行的多个其他浏览器107，这些浏览器也已经向电子文档服务器104提供了初107的初始请求而创建的随机生成的64位标识符。随机化群组标识符被分配到的其他应用匿名性的保证，这意味着每个随机化群组标识符被分配给在不同用户设备106上运行的至[0047]随机化群组时间戳指示随机化群组标识符响应于请求108被请求和/或分配给软121然后能够基于例如诸如k值和维护k-匿名性所需的年龄范围或预定年龄范围等信息以生成器121还生成能够被用于证明随机化群组的有效性的证书。例如，随机化群组生成器121能够生成包含由电子文档服务器104签名的公共验证密钥的证书。电子文档服务器104[0049]包括随机化群组标识符和随机化群组时间戳两者的随机化群组是允许匿名性以[0050]在一些实施方式中，发布域或电子文档服务器104不提供除随机化群组之外的元123相关联的电子文档服务器104接收随机化群组标识符和随机化群组年龄数据以及对数据的请求，并且使用接收到的随机化群组标识符和随机化群组年龄数据来执行安全功能。例如，分析器123能够基于随机化群组标识符和随机化群组年龄数据来检测某些类型的欺[0052]系统100包括用户设备106或浏览器107的用户能够选择使用的一个或多个第三方独立验证服务。该第三方独立验证服务独立验证由发布服务分配的随机化群组的隐私属私属性的独立验证对于用户来说是可选的并且在下文以及随机化群组标识符和随机化群组年龄参数对的统计属性的验证。验证服务器130充当独立服务器，其不发布随机化群组并且不参与监控随机化群组数据或否则与监控和/或分诸如电子文档服务器104的发布服务器为特定随机化群组维护保证的隐私级别。通过让用户有机会通过独立服务验证他们的隐私正在由参与的发布域维护，系统100鼓励用户信任[0054]可信域服务器140是独立于电子文档服务器104的服务器，它能够响应于请求108[0055]随机化群组生成器142(RCX生成器)是与如上所述的随机化群组生成器121类似地140和/或第三方服务器150来实现过程200的操作。过程200的操作也能够被实现为存储在指令的执行能够使一个或多个数据处理装置执行过程[0059]请求1是来自软件107的初始请求。初始请求指示软件107先前没有向电子文档服向电子文档服务器104发布请求，并且因此电子文档服务器104应该向软件107发布和分配生成/构造随机化群组201并将随机化群组分配给请求用户设备1[0062]随机化群组生成器121基于随机选择的标识符和时间戳生成每个随机化群组。能器107或足够数量的不同用户设备106时，能够从已经在使用的现有标识符中选择标识符。[0063]应用于随机化群组标识符的k-匿名性概念保证每个随机化群组标识符被分配给组标识符被分配给在不同用户设备106上运行的至少k个浏览器107。为了保证这种级别的求1的浏览器107随机分配给与特定随机化群组标识符相关联的浏览器1[0064]每个发布域执行分配过程以提供标识符的均匀分布(或在均匀分布的阈值内)的相关联的随机化群组标识符的集合中的一个。随机化群组生成器121将不同随机化群组标成器121能够基于向相应电子文档服务器104提供对于内容的请求的预期和当前浏览器107121能够基于向电子文档服务器104提供对于内容的请求的预期浏览器107来生成或接收阈值数量的不同随机化群组标识符，并且能够基于来自向电子文档服务器104提供对于内容的请求的不同浏览器107的实际的当前流量来调整不同随机化群组标识符的阈值数量。例机化群组生成器121能够接收来自在分开的用户设备106上运行的不同浏览器107的多个请系统100能够通过设置和调整网络活动水平的阈值来确保系统具有足够的流量，并确保域[0067]当随机化群组标识符分配到期或被清除时，随机化群组生成器121能够重新分配识符的列表(包括先前过期的随机化群组标识符)将随机化群组标识符随机分配给浏览器机化群组标识符的用户数量可以由于用户重置他们的随机化群组或他们的随机化群组到化群组和公钥/私钥对的证书。由随机化群组生成器121提供的该证书包含浏览器107的可之外的域访问。随机化群组生成器121使用密码算法生成可能为其他人所知的公钥和可能颁发了证书，则验证服务器130将检索通过诸如公钥基础设施(PKI)的技术被分布，并且密钥不需要由与生成证书的随机化群组生成器121相关联的电子文档服务器104分布。验证服务器130然后生成质询并将该质询传后能够使用在签名的证书上发布的公共验证密钥来验证签是后续请求。随机化群组数据允许与电子文档服务器104相关联的域监视在域内的不同浏成要被提供的随机化群组年龄桶，而不是随机化群组时间戳，以模糊浏览器107的具体身能够是分桶函数，例如log2(currentTime–randomizedcohort.Timestamp)，其中，[0076]因为浏览器107向随机化群组标识符和随机化群组时间戳都提供后续请求，所以发布域(在该示例中，发布域的电子文档服务器104)负责保证至少有k个用户或浏览器107的用户代理被分配给每对随机化群组标识符和随机化群组年龄桶，以满足其k-匿名性保[0077]可选地，浏览器107的用户能够选择验证分配给浏览器107的随机化群组的统计104或可信域服务器140)能够维护验证服务器130，并且用户能够选择将他们的浏览器107130以验证由与其他域相关联的其他电子文档服务器104发布的随机化群组的统计和/或隐107将在阶段B中由随机化群组生成器121生成的证书提供给验证服务器130。浏览器107还[0080]验证服务器130验证验证服务器130有权访问的随机化群组标识符的集合是均匀有权访问的随机化群组标识符和/或随机化群组年龄桶的列表进行比较，以确定在分配给在适当范围内的每个不同的随机化群组标识符的不同用户设备上运行的浏览器的数量是的随机化群组标识符和随机化群组年龄桶对的列表。验证服务器130然后能够确定在分配给在特定年龄桶和/或域内的每个不同随机化群组标识符的不同用户设备上运行的不同浏内的每个不同随机化群组标识符的不同用户设备上运行的不同浏览器的数量是否是正态[0081]浏览器107能够以特定时间间隔自动请求来自诸如验证服务器130的验证服务的[0082]可选地，在随机化群组是全局范围的并且不是由每个域分配的内容传递过程期间，浏览器107从其请求内容的电子文档服务器104能够在其对来自浏览器107的初始请求随机化群组提供给每个电子文档服务器104。使用全局范围的随机化群组防止恶意域串通生随机化群组的实体与内容从其被请求的服务器，诸如电子文档服务器104或第三方服务证提供随机化群组标识符和随机化群组时间戳的浏览器107实际上已被分配了来自诸如可[0084]证明请求能够指定浏览器107应该请求验证服务器130以确定随浏览器107对内容的请求提供给电子文档服务器104的随机化群组标识符和随机化群组年龄桶是否实际上由验证服务器130要求浏览器107证明其作为浏览器107的身份，证书和相关联的随机化群组信息由诸如可信域服务器140的可信服务器分配给该浏览器107。验证服务器130能够通过生成与由随机化群组生成器121提供和签名的证书不同的匿名证书来促进该证明过程，该群组对于每个域是本地范围的使得每个域向浏览器104发布随机化群组，并且因此将能够基于由随机化群组生成器121发布的签名证书来确定浏览器107是否是它向其分配了随机通过使用如上文关于阶段B所述生成的公钥/私钥对而使用公共密钥加密来验证它自己的读链接到ExampleVideoHostingP上的特定视频的文章。在该示例中，浏览器107先前已从可信域服务器140被分配了随机化群组和证书，并且因此浏览器107向与电子[0086]因为由可信服务器分配给浏览器107的全局范围的随机化群组不是由与电子文档ExampleVideoHostingP可以请求浏览器107证明其身份并将该请求转发给验并且能够是例如随机生成的16位值。浏览器107将由随机化群组生成器142提供的秘密X和签名方案从验证服务器130屏蔽X。然后验证服务器130接收浏览器107的证书和盲化秘密X并基于该证书生成指示随机化群组标识符和随机化群组年龄桶的匿名证书。验证服务器子文档服务器104。电子文档服务器104能够将来自验证服务器130的签名的匿名证书中的随机化群组信息与电子文档服务器104从浏览器107接收的随机化群组标识符和随机化群组年龄桶进行比较。如果信息匹配，则浏览器107已经成功证明其身份具有可信域服务器140向其分配了提供给电子文档服务器104的随机化群组信息证存在具有相同的随机化群组标识符的大约至少k个用户。[0088]在另一示例实施方式中，电子文档服务器104能够向浏览器107返回唯一的跟踪[0089]独立验证服务器130能够协作以表示随机化群组的整个群体的某些统计属性被满用户的敏感数据或不然以隐藏方式嵌入信息。系统100能够在比特级别执行一致性检查以证服务器130记住先前已为每个用户分配的随机化群组标识符并测试随时间的比特级相关验证服务器130能够将随机化群组标识符和随机化群组年龄桶的统计和/或隐私属性以未或在不同用户设备上运行的不同随机化群组浏览器的数量提供给与随机化群组标识符相从均匀分布的阈值偏差进行比较，或者将在与随机化群组标识符相关联的浏览器107的不同用户设备上运行的不同随机化群组浏览器的数量与在应该与随机化群组标识符相关联标识符相关联的浏览器107不同的用户设备上运行的不同随机化群组浏览器的数量不满足特定域是本地范围的时并且当随机化群组是全局范围的时，特定电子文档服务器104的每个分析器123能够执行由与分析器123相关联的电子文档服务器104指定的[0097]电子文档服务器104的分析器123通过使用随机化群组信息来监控匿名用户网络随机化群组标识符和/或年龄桶相关联的用户组的不规则资源请求差的偏差，或与一个或多个随机化群组相关联的一段时间内的活动尖峰(偏差的数量或速过与恶意活动引起的风险和潜在损害相比的诸如活动的风险比及其对域资源的影响的度[0099]分析器123能够计算与随机化群组标识符组合接收的随机化群组年龄桶的年龄分阈值年龄值的随机化群组年龄桶值的浏览器的活动量等于或低于阈值量并且确定存在异[0100]分析器123能够通过使用防伪装的算法执行欺诈检测来检测涉及恶意用户的群组123能够限制两个或更多随机化群组标识符/随机化群组年龄桶对在某个时间窗口内访问同一长尾网站的集合的概率。在另一示例中，分析器123能够构建用户和网站之间的二分图，部且然后尝试找到对应于以协调的方式行动的用户的集群的二分图(一种特定类型的难在逃避诸如验证服务器130的独立验证服务器的检测的同时执行任何有意义规模的攻器123能够检测到特定的随机化群组标识符/随机化群组年龄桶对正被提供给电子文档服能访问已选择使用该特定验证服务器130作为其独立验证服务的用户的随机化群组标识符全局范围的随机化群组标识符/随机化群组年龄桶对相关联的可疑欺诈或异常活动，其能够被传送给其他电子文档服务器104以监控和防止跨参与域的滥服务器150实现。过程300和350中的所有过程也能够被实现为存储在一个或多个计算机可够使一个或多个数据处理装置执行过程300和DCDS110在图3A中未图示。例如，与ExampleImageHostingPlatform网络域相关联的览器107尚未被分配来自ExampleImageHostingPlatform的电子文档服务器104的随机化群组，并且因此该请求是初始请求。在另一示例中，如果浏览器107先前被分配了来自档服务器104先前已将随机化群组发布到软件107。软件107包括具有其请求的随机化群组能够从浏览器107接收对第二图像的请求以及分配的随机化群组标识符和随机化群组年龄器107能够将其由随机化群组生成器121生成的签名的证书提供给验证务器130能够基于证书执行验证过程以确定证书中提供的随机化群组标识符的统计和/或[0112]可选地，验证服务器130还能够在执行验证过程之前认证所提供的证书以确定所用公钥/私钥对来确定所提供的随机化群组标识符被分配给正在提供证书的浏览较以确定是否已检测到在统计上的异常或欺诈活动，或者是否为浏览器107保护了保证的机制的过程350由中央可信域服务器140而不是分开的电子文档服务器104执行。由可信域始请求被提供给电子文档服务器104。在一些示例中，该请求可以通过在图3B中未图示的与特定的网络域相关联并且生成能够跨不同域使用的文档服务器104能够将包括所请求的文本的响应信域服务器140已将全局范围的随机化群组分配给软件107，所以软件107包括随机化群组geHostingP的电子文档服务器104能够从浏览器107接收对图像的请求以及分器107可以将其由随机化群组生成器142生成的签名的证书提供给验证务器130能够基于证书执行验证过程以确定在证书中提供的随机化群组标识符的统计和/[0124]可选地，验证服务器130还能够在执行验证过程之前认证所提供的证书以确定所以确定是否已检测到统计上异常或欺诈的活动，或者是否为浏览器107保护了保证的隐私[0126]图4是图示用于发布和实现隐私保护的监控机制的示例过程400的流程图。过程多个数据处理装置执行指令能够使一个或多个数据处理装置执行过[0127]过程400开始于从用户的用户设备上的应用接收来自域的对数字内容的请求[0128]过程400继续至在第一时间向应用分配基于随机选择的标识符和指示随机化群组[0129]过程400继续至在第一时间向应用提供(i)对应于随机选择的标识符和时间戳并文档服务器104生成本地范围的随机化群组，则电子文档服务器104还向浏览器107提供所请求的数字内容。如果可信域服务器140生成全局范围的随机化群组，则电子文档服务器器104或可信域服务器140提供的随机化群组和/或证书来计算随机化群组年龄桶，如上文标识符还能够包括除了随机选择的标识符和随机化群组年龄桶之外的[0131]在一些实施方式中，将随机化群组分配给应用包括由域将随机化群