深度|从滴滴被查聊聊隐私计算

滴滴在美国刚刚“低调”上市，国家网信办的安全审查就接踵而至。

作者：白硕

滴滴网刚刚“低调”在美国上市，国家网络信息办公室的安全审查也随之而来。昨天公布了审查结论，滴滴应用被明确要求下架。滴滴网作为一家平台公司，拥有并知晓这些数据，无论是涉及客户隐私还是国家公路基础设施数据的退出，都是不争的事实。自2017年以来，笔者在多场演讲中介绍并呼吁业界关注隐私计算技术，关于隐私计算的演讲有十多场。本表只是对作者近年来的呼吁作了一个很好的评述。本文试图从隐私计算技术的角度进行分析，看看这两部分数据对滴滴来说是否“可用和不可见”，是否会影响滴滴的业务。

首先，谁是网上租车业务的客户并不重要。只要你有支付能力、位置信息和出行需求，不管你是谁，都需要把车派到位。当然，有人会问，如果你没有绑定一个真正的用户，你怎么知道你有没有钱。这其实很简单。用户只需“匿名”将预付款键入智能合约，等到交通服务完成后，再根据份额比例将智能合约转移给司机和平台方。如果必须终止中间服务，也可以根据智能合约中约定的终止条件进行结算。在这种情况下，用户是谁显然无关紧要。只要你能准确地拉着作品收钱，就不要问用户是谁。

其次，对于网上代驾业务来说，道路数据的确是不可或缺的信息基础设施，但道路数据的作用并不是建立在平台上“知道”数据。在隐私计算框架下，道路数据可以与客户和汽车的地理位置“背靠背”关联。换言之，道路基础设施可以像一个黑匣子，通过API接口响应客户的请求，匹配附近的车辆，计算优化的路线，估算时间和价格等，这些都不是建立在平台公司必须“看穿”道路数据的前提下；但借助于隐私计算技术，我们可以在不透彻计算过程的情况下确认计算结果的可信度。因此，通过隐私计算技术，道路数据服务可以封装成一个黑匣子，数据是看不见的，但是API是可用的，并且API的使用可以在隐私计算的意义上自我认证。只要国家法律规定这部分数据不能外泄，黑匣子就可以作为黑匣子保管，甚至可以由国家认可的专门小组开发和运行。

有人可能会说，根据支付历史，推断客户的支付能力，这与推荐的档位甚至定价（大数据很熟悉）有关，这意味着除了在线接单、配单和排程之外，我们还需要进行后台大数据分析。如果没有数据的“可见”特性，我们能做到这一切吗？当然，大数据分析的隐私计算框架本身并不完善，但事实上，可以通过两种不同的方式允许客户发起业务：一种是“一次性匿名”，即这次旅行与用户历史上的任何旅行都没有关联；二是“一次性匿名”；另一种是“一致匿名”，也就是说，这个旅行可以与您在历史上选择为“一致匿名”的每一次旅行相关联，但是它仍然与旅行场景之外的客户没有关联。将关联交换机握在用户手中，可以防止平台滥用关联数据。如果客户选择匿名发起业务，这意味着客户不想将自己的旅行行为与历史上的旅行行为联系起来。你坚持连接，说这是为了客户的利益或者别的什么。是不是违背了顾客的意愿？这背后的图景是否有点超出了业务范围？

个人旅行的轨迹可能对“相关方”有用。有一种技术安排，平台方看不见，无关方看不见，但“相关方”可以看到。这种技术安排的关键是私钥的管理。如果这项工作做得好，也将挽救所有打着“相关方”旗号、向用户索要私人数据的平台。为了获取隐私数据，公开的次数越多，控制的难度就越大。**用一种方法解决实名制映射问题，从平台上获取的剩余私有数据可以还原为实名制映射下的可见数据。这是阻止私人数据丢失的**方法。

预计有一天，平台公司将能够证明自己没有接触过用户隐私数据和国家重点基础设施数据，而现有平台的服务功能也不会缺失。这一天可能不会太遥远。每一位从事隐私计算技术研究与开发的人，努力迎接这一天。