Dans un contexte où nous produisons de plus en plus de données personnelles et où nous contrôlons de moins en moins comment et par qui elles sont utilisées, une nouvelle manière de les gérer voit le jour: le « nuage personnel ». En partenariat avec la jeune pousse française Cozy Cloud (https://cozy.io) qui développe une telle technologie, nous définissons à travers ces travaux une manière collaborative d'interroger ces nuages personnels qui respecte la vie privée des utilisateurs.Pour y parvenir nous détaillons dans cette thèse trois contributions : (1) un ensemble de quatre prérequis que tout protocole doit respecter dans ce contexte particulier : l'aléa imposé qui empêche un attaquant d'influencer le déroulement de l'exécution, la dispersion des connaissances qui assure qu'aucun participant ne possède trop d'informations, l'atomicité des tâches qui diminue au maximum le rôle joué par chaque participant directement impliqué dans l'exécution et les communications cachées pour protéger l'identité des participants et les informations échangées ; (2) SEP2P un protocole se basant sur une table de hashage distribuée et CSAR, un protocole permettant de générer un nombre aléatoire, afin de générer une liste aléatoire et vérifiable d'acteurs en accord avec le premier prérequis ; et (3) DISPERS un protocole qui applique les trois derniers prérequis et découpe l'exécution d'une requête de sorte à minimiser les informations accédées par chaque acteur pour minimiser l'impact d'une fuite au cas où un attaquant aurait été sélectionné parmi ces mêmes acteurs. / In a context where we produce more and more personal data and where we control less and less how and by whom they are used, a new way of managing them is on the rise: the "personal cloud". In partnership with the french start-up Cozy Cloud (https://cozy.io) that is developing such technology, we propose through this work a way of collaboratively querying the personal clouds while preserving the privacy of the users.We detail in this thesis three contributions to achieve this objective: (1) a set of four requirements any protocol has to respect in this particular context: imposed randomness to prevent an attacker from influencing the execution of a query, knowledge dispersion to prevent any node from concentrating information, task atomicity to split the execution in as many independent tasks as necessary and hidden communications to protect the identity of the participants as well as the content of their communications; (2) SEP2P a protocol leveraging a distributed hash table and CSAR, another protocol that generates a verifiable random number, in order to generate a random and verifiable list of actors in accordance with the first requirement; and (3) DISPERS a protocol that applies the last three requirements and splits the execution of a query so as to minimize the impact of a leakage (in case an attacker was selected as actor) by providing to each actor the minimum amount of information it needs in order to execute its task.

L’anonymisation des données personnelles requiert l’utilisation d’algorithmes complexes permettant de minimiser le risque de ré-identification tout en préservant l’utilité des données. Dans cette thèse, nous décrivons une approche fondée sur les modèles qui guide le propriétaire des données dans son processus d’anonymisation. Le guidage peut être informatif ou suggestif. Il permet de choisir l’algorithme le plus pertinent en fonction des caractéristiques des données mais aussi de l’usage ultérieur des données anonymisées. Le guidage a aussi pour but de définir les bons paramètres à appliquer à l’algorithme retenu. Dans cette thèse, nous nous focalisons sur les algorithmes de généralisation de micro-données. Les connaissances liées à l’anonymisation tant théoriques qu’expérimentales sont stockées dans une ontologie. / Personal data anonymization requires complex algorithms aiming at avoiding disclosure risk without losing data utility. In this thesis, we describe a model-driven approach guiding the data owner during the anonymization process. The guidance may be informative or suggestive. It helps the data owner in choosing the most relevant algorithm given the data characteristics and the future usage of anonymized data. The guidance process also helps in defining the best input values for the algorithms. In this thesis, we focus on generalization algorithms for micro-data. The knowledge about anonymization is composed of both theoretical aspects and experimental results. It is managed thanks to an ontology.

L'évolution rapide du web a changé la façon dont l'information est créée, distribuée, évaluée et consommée. L'utilisateur est dorénavant mis au centre du web en devenant le générateur de contenu le plus prolifique. Pour évoluer dans le flot d'informations, les utilisateurs ont besoin de filtrer le contenu en fonction de leurs centres d'intérêts. Pour bénéficier de contenus personnalisés, les utilisateurs font appel aux réseaux sociaux ou aux systèmes de recommandations exploitant leurs informations privées. Cependant, ces systèmes posent des problèmes de passage à l'échelle, ne prennent pas en compte la nature dynamique de l'information et soulèvent de multiples questions d'un point de vue de la vie privée. Dans cette thèse, nous exploitons les architectures pair-à-pair pour implémenter des systèmes de recommandations pour la dissémination personnalisée des news. Une approche pair-à-pair permet un passage à l'échelle naturel et évite qu'une entité centrale contrôle tous les profils des utilisateurs. Cependant, l'absence de connaissance globale fait appel à des schémas de filtrage collaboratif qui doivent palier les informations partielles et dynamiques des utilisateurs. De plus, ce schéma de filtrage doit pouvoir respecter la vie privée des utilisateurs. La première contribution de cette thèse démontre la faisabilité d'un système de recommandation de news totalement distribué. Le système proposé maintient dynamiquement un réseau social implicit pour chaque utilisateur basé sur les opinions qu'il exprime à propos des news reçues. Les news sont disséminées au travers d'un protocole épidémique hétérogène qui (1) biaise l'orientation des cibles et (2) amplifie la dissémination de chaque news en fonction du niveau d'intérêt qu'elle suscite. Ensuite, pour améliorer la vie privée des utilisateurs, nous proposons des mécanismes d'offuscation permettant de cacher le profil exact des utilisateurs sans trop dégrader la qualité de la recommandation fournie. Enfin, nous explorons un nouveau modèle tirant parti des avantages des systèmes distribués tout en conservant une architecture centralisée. Cette solution hybride et générique permet de démocratiser les systèmes de recommandations en offrant aux fournisseurs de contenu un système de personnalisation à faible coût. / The rapid evolution of the web has changed the way information is created, distributed, evaluated and consumed. Users are now at the center of the web and becoming the most prolific content generators. To effectively navigate through the stream of available news, users require tools to efficiently filter the content according to their interests. To receive personalized content, users exploit social networks and recommendation systems using their private data. However, these systems face scalability issues, have difficulties in coping with interest dynamics, and raise a multitude of privacy challenges. In this thesis, we exploit peer-to-peer networks to propose a recommendation system to disseminate news in a personalized manner. Peer-to-peer approaches provide highly-scalable systems and are an interesting alternative to Big brother type companies. However, the absence of any global knowledge calls for collaborative filtering schemes that can cope with partial and dynamic interest profiles. Furthermore, the collaborative filtering schemes must not hurt the privacy of users. The first contribution of this thesis conveys the feasibility of a fully decentralized news recommender. The proposed system constructs an implicit social network based on user profiles that express the opinions of users about the news items they receive. News items are disseminated through a heterogeneous gossip protocol that (1) biases the orientation of the dissemination, and (2) amplifies dissemination based on the level of interest in each news item. Then, we propose obfuscation mechanisms to preserve privacy without sacrificing the quality of the recommendation. Finally, we explore a novel scheme leveraging the power of the distribution in a centralized architecture. This hybrid and generic scheme democratizes personalized systems by providing an online, cost-effective and scalable architecture for content providers at a minimal investment cost.

Avec l'utilisation de notre carte bancaire pour payer un achat sur Internet ou de notre téléphone portable pour nous connecter aux réseaux sociaux, les transactions électroniques font partie de notre quotidien et sont désormais incontournables. Malheureusement, lors de tels échanges, un grand nombre de données personnelles sont transférées et une telle informatisation n'est pas sans conséquence. Les problèmes de sécurisation et de protection de ces données sont bien présents. Dans cette thèse, nous nous concentrons sur la problématique de la protection de la vie privée des utilisateurs dans des systèmes informatiques. Pour cela, nous nous intéressons à trois domaines d'actualité. Dans un premier temps, nous proposons un système de gestion des données centré sur l'utilisateur. Ainsi, lors de sa navigation sur Internet, l'internaute sera guidé et aura la possibilité de faire appel aux huit fonctionnalités offertes par l'application. Un second problème, sur lequel nous avons travaillé, est le cas des dossiers médicaux des patients et de l'accès à ces documents confidentiels. Nous proposons une architecture de e-santé permettant la protection des informations personnelles des patients au sein d'un établissement de santé et entre plusieurs établissements. Pour finir, nous avons travaillé dans le domaine de la monétique et plus précisément sur le paiement en ligne. Nous exposons ainsi trois nouveaux protocoles respectant davantage les données personnelles des internautes. Deux d'entre eux sont une amélioration de protocoles existants : 3D-Secure et le protocole d'Ashrafi et Ng. La dernière architecture, totalement nouvelle, permet de procéder à un paiement sur Internet sans fournir aucune information bancaire du client. Pour chacune de ces infrastructures, des exigences de sécurité et de protection de la vie privée sont décrites. Les solutions existantes, ainsi que celles proposées, sont détaillées et analysées en fonction de ces exigences. Les propositions d'architectures respectueuses de la vie privée ont toutes fait l'objet d'une preuve de concept avec une implémentation logicielle.

Cette thèse étudie les aspects passage à l’échelle et respect de la vie privée des systèmes de recommandation grâce à l’emploi d’algorithmes à base de sketchs. Les contributions techniques liées à cette étude nous permettent de proposer un système de recommandations personnalisées capable de passer à l’échelle tant en nombre d’utilisateurs qu’en nombre de produits à recommander, tout en offrant une bonne protection de la confidentialité de ces recommandations. La thèse se situe ainsi à la croisée de trois domaines qui sont les systèmes de recommandation, la confidentialité différentielle et les techniques à base de sketchs. Concernant la confidentialité, nous nous sommes intéressés à définir de nouveaux mécanisme garantissant une bonne confidentialité mais aussi à les évaluer. Nous avons pu observer que c’est qui est le paramètre essentiel contrôlant le respect plus ou moins garanti de la confidentialité différentielle. Par ailleurs, le besoin de fonctionner à grande échelle demande de relever les défis liés à la modélisation de très nombreux utilisateurs et à la prise en compte de très nombreux produits à recommander. Ces défis sont particulièrement difficiles à relever dans un contexte où les préférences des utilisateurs et le catalogue de produits évoluent dynamiquement. Cette évolution complexifie les techniques de stockage des profils des utilisateurs, leur mise à jour et leur interrogation. Nos contributions sur cet aspect intéressent non seulement le domaine de la recommandation, mais ont une portée plus générale. Globalement, nous avons mené de nombreuses campagnes d’évaluation de nos propositions, sur des jeux de données réels de très grande taille, démontrant ainsi la capacité de nos contributions à passer à l’échelle tout en offrant de la dynamicité et des garanties sur la confidentialité. / In this thesis, we aim to study and evaluate the privacy and scalability properties of recommender systems using sketching techniques and propose scalable privacy preserving personalization mechanisms. Hence, the thesis is at the intersection of three different topics: recommender systems, differential privacy and sketching techniques. On the privacy aspects, we are interested in both new privacy preserving mechanisms and the evaluation of such mechanisms. We observe that the primary parameter in differential privacy is a control parameter and motivated to find techniques that can assess the privacy guarantees. We are also interested in proposing new mechanisms that are privacy preserving and get along well with the evaluation metrics. On the scalability aspects, we aim to solve the challenges arising in user modeling and item retrieval. User modeling with evolving data poses difficulties, to be addressed, in storage and adapting to new data. Also, addressing the retrieval aspects finds applications in various domains other than recommender systems. We evaluate the impact of our contributions through extensive experiments conducted on benchmark real datasets and through the results, we surmise that our contributions very well address the privacy and scalability challenges.

La diffusion massive de dispositifs portables, de plus en plus utilisés pour le traitement et la communication de l'information, permet la collecte d'importantes masses de données liées à l'activité des utilisateurs sur des applications mobiles. Nous nous intéressons aux données de localisation (les traces de mobilité) qui sont issues de systèmes mobiles formés par un groupe d'utilisateurs. Les données de mobilité produites dans un système mobile sont étudiées suivant deux axes : - L'utilisation des modèles de mobilité est à la base du développement d'algorithmes de communication dédiés au systèmes mobiles. Les données de mobilité réelles concernant les utilisateurs vont nous permettre de comparer les données de mobilité synthétiques utilisées dans la simulation avec la réalité qu'ils sont censés décrire. - La manipulation des données de mobilité réelles implique une réflexion sur les conséquences que les informations extraites de ces données ont relativement à la protection de la vie privée des utilisateurs. Les contributions sur ces deux fronts sont les suivantes : - Une analyse fine des propriétés spatiales et sociales d'un ensemble de traces de mobilité réelles collecté expérimentalement à l'aide d'une plateforme à haute precision. - Une comparaison exploratoire entre des traces de mobilité réelles et des traces de mobilité synthétiques générées à partir de sept différents modèle de mobilité. - La conception et l'analyse d'un algorithme d'inférence par co-localisation décorrélée des informations sur la localisation des utilisateurs ciblés. - La quantification du potentiel des données de co-localisation non-déterministes sur la perte de protection de la vie privée d'un ensemble d'utilisateurs. / The wide diffusion of smart portable devices allows the collection of a big amount of data concerning the activities of users from mobile apps. We focus our attention on location data, i.e. mobility traces, of a set of users in a crowd. Data collected from these mobile systems are studied following two axies: - Mobility models are used to simulate the behavior of users to develop opportunistic forwarding algorithms. We compare real and synthetic mobility traces to show the distance between the reality and the models. - Information on mobility may endanger the privacy of users. We analyze the impact of such information on privacy of users. The main contributions are: - We analyze the spatial and social properties of human motion from real traces collected by a highly accurate experimental localization system. - We compare the real traces with synthetic mobility traces generated from seven popular mobility models - We provide an inference algorithm based on co-location of users and we show its efficiency on different datasets. - We quantify the effect of probabilistic co-location information by means of a novel co-location attack.

Aujourd'hui, les progrès dans le développement d'appareils mobiles et des capteurs embarqués ont permis un essor sans précédent de services à l'utilisateur. Dans le même temps, la plupart des appareils mobiles génèrent, enregistrent et de communiquent une grande quantité de données personnelles de manière continue. La gestion sécurisée des données personnelles dans les appareils mobiles reste un défi aujourd’hui, que ce soit vis-à-vis des contraintes inhérentes à ces appareils, ou par rapport à l’accès et au partage sûrs et sécurisés de ces informations. Cette thèse adresse ces défis et se focalise sur les traces de localisation. En particulier, s’appuyant sur un serveur de données relationnel embarqué dans des appareils mobiles sécurisés, cette thèse offre une extension de ce serveur à la gestion des données spatio-temporelles (types et operateurs). Et surtout, elle propose une méthode d'indexation spatio-temporelle (TRIFL) efficace et adaptée au modèle de stockage en mémoire flash. Par ailleurs, afin de protéger les traces de localisation personnelles de l'utilisateur, une architecture distribuée et un protocole de collecte participative préservant les données de localisation ont été proposés dans PAMPAS. Cette architecture se base sur des dispositifs hautement sécurisés pour le calcul distribué des agrégats spatio-temporels sur les données privées collectées. / Nowadays, the advances in the development of mobile devices, as well as embedded sensors have permitted an unprecedented number of services to the user. At the same time, most mobile devices generate, store and communicate a large amount of personal information continuously. While managing personal information on the mobile devices is still a big challenge, sharing and accessing these information in a safe and secure way is always an open and hot topic. Personal mobile devices may have various form factors such as mobile phones, smart devices, stick computers, secure tokens or etc. It could be used to record, sense, store data of user's context or environment surrounding him. The most common contextual information is user's location. Personal data generated and stored on these devices is valuable for many applications or services to user, but it is sensitive and needs to be protected in order to ensure the individual privacy. In particular, most mobile applications have access to accurate and real-time location information, raising serious privacy concerns for their users.In this dissertation, we dedicate the two parts to manage the location traces, i.e. the spatio-temporal data on mobile devices. In particular, we offer an extension of spatio-temporal data types and operators for embedded environments. These data types reconcile the features of spatio-temporal data with the embedded requirements by offering an optimal data presentation called Spatio-temporal object (STOB) dedicated for embedded devices. More importantly, in order to optimize the query processing, we also propose an efficient indexing technique for spatio-temporal data called TRIFL designed for flash storage. TRIFL stands for TRajectory Index for Flash memory. It exploits unique properties of trajectory insertion, and optimizes the data structure for the behavior of flash and the buffer cache. These ideas allow TRIFL to archive much better performance in both Flash and magnetic storage compared to its competitors.Additionally, we also investigate the protect user's sensitive information in the remaining part of this thesis by offering a privacy-aware protocol for participatory sensing applications called PAMPAS. PAMPAS relies on secure hardware solutions and proposes a user-centric privacy-aware protocol that fully protects personal data while taking advantage of distributed computing. For this to be done, we also propose a partitioning algorithm an aggregate algorithm in PAMPAS. This combination drastically reduces the overall costs making it possible to run the protocol in near real-time at a large scale of participants, without any personal information leakage.

Au milieu du siècle dernier, les traités relatifs aux droits de l'homme et les normes éthiques de la réglementation de la recherche n'ont pas suffi à prévenir les violations de la dignité de la personne humaine dans les expériences médicales pratiquées contre les minorités sociales. Il existe, aujourd’hui, un ensemble complexe de règles qui visent non seulement à protéger les volontaires, mais aussi à garantir un accès équitable aux résultats de la recherche. Les contradictions et les interprétations erronées de ces normes limitent toutefois la pleine réalisation de ces garanties, essentielles par rapport aux minorités sociales, face à leur manque de représentation politique dans la société. Dans ce sens, une étude exploratoire-descriptive a été réalisée en passant en revue la littérature et en appliquant un questionnaire destiné à comparer les réponses présentées par les comités d'éthique du Brésil et de la France. Il a été conclu qu'il est impératif que le principe du partage des avantages soit largement appliqué dans toutes les recherches, y compris celles qui utilisent des données personnelles et des échantillons corporels, notamment en ce qui concerne les minorités sociales, afin que les progrès scientifiques soient accessibles à tous. / In the middle of the last century, treaties of human rights and set ethical principles regarding human experimentation were not enough to prevent, in practice, violations of the dignity of the human person in medical experiments practiced in social minorities. Nowadays, there is a complex set of rules that aim not only to protect volunteers but also to ensure equitable access to research results. Contradictions and misinterpretations of these norms, however, limit the full realization of these guarantees, essential in relation to social minorities, in face of their lack of political representation in society. In this sense, an exploratory-descriptive study was carried out by reviewing the literature and applying a questionnaire designed to compare the responses presented by independent ethics committees from Brazil and France. It was concluded that it is imperative that the benefit-sharing be broadly applied in all research, including those that use personal data and body samples, especially with regard to social minorities in order to make progress increasingly accessible to all. / Em meados do século passado, tratados de direitos humanos e normas éticas de regulação da pesquisa não foram suficientes para impedir, na prática, violações à dignidade da pessoa humana em experiências médicas praticadas em minorias sociais. Hodiernamente, há um complexo de normas que objetivam não só proteger voluntários como lhes garantir equitativo acesso aos resultados das pesquisas. Contradições e interpretações equivocadas dessas normas, entretanto, limitam a plena efetivação dessas garantias, essenciais em relação às minorias sociais, diante da sua falta de representação política na sociedade. Neste sentido, um estudo exploratório-descritivo foi realizado através de revisão da literatura e aplicação de questionário elaborado para comparar as respostas apresentadas pelos comitês de revisão ética do Brasil e da França. Concluiu-se que é imprescindível que o preceito da repartição de benefícios seja aplicado, na prática, de forma ampla, em todas as pesquisas, inclusive naquelas que utilizam dados pessoais e amostras corporais, especialmente com relação às minorias sociais, para que as pesquisas oportunizem a todos a percepção do progresso científico-tecnológico.

This document will focus on my core computer science research since 2010, covering the topic of data management and privacy. More speci cally, I will present the following topics : -ˆ A new paradigm, called Trusted Cells for privacy-centric personal data management based on the Asymmetric Architecture composed of trusted or open (low power) distributed hardware devices acting as personal data servers and a highly powerful, highly available supporting server, such as a cloud. (Chapter 2). ˆ- Adapting aggregate data computation techniques to the Trusted Cells environment, with the example of Privacy-Preserving Data Publishing (Chapter 3). - Minimizing the data that leaves a Trusted Cell, i.e. enforcing the general privacy principle of Limited Data Collection (Chapter 4). This document contains only results that have already been published. As such, rather than focus on the details and technicalities of each result, I have tried to provide an easy way to have a global understanding of the context behind the work, explain the problematic of the work, and give a summary of the main scienti c results and impact.

De nos jours, les réseaux sociaux ont considérablement changé la façon dont les personnes prennent des photos qu’importe le lieu, le moment, le contexte. Plus que 500 millions de photos sont partagées chaque jour sur les réseaux sociaux, auxquelles on peut ajouter les 200 millions de vidéos échangées en ligne chaque minute. Plus particulièrement, avec la démocratisation des smartphones, les utilisateurs de réseaux sociaux partagent instantanément les photos qu’ils prennent lors des divers événements de leur vie, leurs voyages, leurs aventures, etc. Partager ce type de données présente un danger pour la vie privée des utilisateurs et les expose ensuite à une surveillance grandissante. Ajouté à cela, aujourd’hui de nouvelles techniques permettent de combiner les données provenant de plusieurs sources entre elles de façon jamais possible auparavant. Cependant, la plupart des utilisateurs des réseaux sociaux ne se rendent même pas compte de la quantité incroyable de données très personnelles que les photos peuvent renfermer sur eux et sur leurs activités (par exemple, le cas du cyberharcèlement). Cela peut encore rendre plus difficile la possibilité de garder l’anonymat sur Internet dans de nombreuses situations où une certaine discrétion est essentielle (politique, lutte contre la fraude, critiques diverses, etc.).Ainsi, le but de ce travail est de fournir une mesure de protection de la vie privée, visant à identifier la quantité d’information qui permettrait de ré-identifier une personne en utilisant ses informations personnelles accessibles en ligne. Premièrement, nous fournissons un framework capable de mesurer le risque éventuel de ré-identification des personnes et d’assainir les documents multimédias destinés à être publiés et partagés. Deuxièmement, nous proposons une nouvelle approche pour enrichir le profil de l’utilisateur dont on souhaite préserver l’anonymat. Pour cela, nous exploitons les évènements personnels à partir des publications des utilisateurs et celles partagées par leurs contacts sur leur réseau social. Plus précisément, notre approche permet de détecter et lier les évènements élémentaires des personnes en utilisant les photos (et leurs métadonnées) partagées au sein de leur réseau social. Nous décrivons les expérimentations que nous avons menées sur des jeux de données réelles et synthétiques. Les résultats montrent l’efficacité de nos différentes contributions. / Today, social networking has considerably changed why people are taking pictures all the time everywhere they go. More than 500 million photos are uploaded and shared every day, along with more than 200 hours of videos every minute. More particularly, with the ubiquity of smartphones, social network users are now taking photos of events in their lives, travels, experiences, etc. and instantly uploading them online. Such public data sharing puts at risk the users’ privacy and expose them to a surveillance that is growing at a very rapid rate. Furthermore, new techniques are used today to extract publicly shared data and combine it with other data in ways never before thought possible. However, social networks users do not realize the wealth of information gathered from image data and which could be used to track all their activities at every moment (e.g., the case of cyberstalking). Therefore, in many situations (such as politics, fraud fighting and cultural critics, etc.), it becomes extremely hard to maintain individuals’ anonymity when the authors of the published data need to remain anonymous.Thus, the aim of this work is to provide a privacy-preserving constraint (de-linkability) to bound the amount of information that can be used to re-identify individuals using online profile information. Firstly, we provide a framework able to quantify the re-identification threat and sanitize multimedia documents to be published and shared. Secondly, we propose a new approach to enrich the profile information of the individuals to protect. Therefore, we exploit personal events in the individuals’ own posts as well as those shared by their friends/contacts. Specifically, our approach is able to detect and link users’ elementary events using photos (and related metadata) shared within their online social networks. A prototype has been implemented and several experiments have been conducted in this work to validate our different contributions.