Dans cette thèse nous considérons une plate-forme de filtrage collaboratif distribué dans laquelle chaque pair héberge ses informations personnelles, comme les URL qu'il a aimé, les pages d'information qui ont attiré son intérêt ou les vidéos qu'il a regardé, sur sa propre machine. Ensuite, sans reposer sur un tiers fiable, le pair s'engage dans un protocole distribué combinant ses données personnelles avec celles d'autres pairs afin d'exécuter un filtrage collaboratif. L'objectif principal est d'être capable de recevoir des recommandations personnalisées ou d'autres services comme un moteur de recherche distribué et personnalisé. Les protocoles de filtrage collaboratif basés sur les utilisateurs, qui demandent de calculer des similarités entre les utilisateurs, ont été appliqués aux systèmes distribués. Comme le calcul de similarité entre les utilisateurs nécessite d'utiliser leurs profils privés personnels, cela lève de sérieuses inquiétudes quant à la vie privée. Dans cette thèse nous adressons le problème du calcul de similarités entre les pairs sur une plate forme collaborative. Notre travail fournit une primitive préservant la vie privée pour le calcul de similarité qui peut rendre les protocoles collaboratifs respectueux de la vie privée. Nous adressons le challenge unique qui est d'appliquer des techniques de préservation de la vie privée pour le calcul de similarité aux systèmes dynamiques à large échelle. En particulier, nous introduisons un protocole cryptographique bipartite qui assure la differential privacy, une notion forte de préservation de la vie privée. De plus, nous résolvons le problème du budget de vie privée qui empêcherait les pairs de calculer leur similarité plus d'un nombre fixe de fois en introduisant la notion de canaux anonymes bidirectionnels. Nous développons aussi une variante hétérogène de la differential privacy qui peut apporter différent niveaux de confidentialité pour différent utilisateurs, et même différent niveaux de confidentialité pour différents items du profile d'un même utilisateur, prenant ainsi en compte différentes attentes en terme de préservation de la vie privée. De plus, nous proposons un protocole non interactif qui est très efficace pour publier une représentation compacte et préservant la vie privée des profiles des utilisateurs qui peut être utilisée pour estimer la similarité. Enfin, nous étudions le problème de choisir un paramètre de vie privée à la fois théoriquement et empiriquement en créant plusieurs attaques par inférence qui démontrent pour quelles valeurs du paramètre de vie privée le niveau de vie privée fournis est acceptable. / In this thesis, we consider a distributed collaborative platform in which each peer hosts his private information, such as the URLs he liked or the news articles that grabbed his interest or videos he watched, on his own machine. Then, without relying on a trusted third party, the peer engages in a distributed protocol, combining his private data with other peers' private data to perform collaborative filtering. The main objective is to be able to receive personalized recommendations or other services such as a personalized distributed search engine. User-based collaborative filtering protocols, which depend on computing user-to-user similarity, have been applied to distributed systems. As computing the similarity between users requires the use of their private profiles, this raises serious privacy concerns. In this thesis, we address the problem of privately computing similarities between peers in collaborative platforms. Our work provides a private primitive for similarity computation that can make collaborative protocols privacy-friendly. We address the unique challenges associated with applying privacy-preserving techniques for similarity computation to dynamic large scale systems. In particular, we introduce a two-party cryptographic protocol that ensures differential privacy, a strong notion of privacy. Moreover, we solve the privacy budget issue that would prevent peers from computing their similarities more than a fixed number of times by introducing the notion of bidirectional anonymous channel. We also develop a heterogeneous variant of differential privacy that can provide different level of privacy to different users, and even different level of privacy to different items within a single user's profile, thus taking into account different privacy expectations. Moreover, we propose a non-interactive protocol that is very efficient for releasing a small and private representation of peers' profiles that can be used to estimate similarity. Finally, we study the problem of choosing an appropriate privacy parameter both theoretically and empirically by creating several inference attacks that demonstrate for which values of the privacy parameter the privacy level provided is acceptable.

Les systèmes de recommandation essayent de déduire les intérêts de leurs utilisateurs afin de leurs suggérer des items pertinents. Ces systèmes offrent ainsi aux utilisateurs un service utile car ils filtrent automatiquement les informations non-pertinentes, ce qui évite le problème de surcharge d’information qui est courant de nos jours. C’est pourquoi les systèmes de recommandation sont aujourd’hui populaires, si ce n’est omniprésents dans certains domaines tels que le World Wide Web. Cependant, les intérêts d’un individu sont des données personnelles et privées, comme par exemple son orientation politique ou religieuse. Les systèmes de recommandation recueillent donc des données privées et leur utilisation répandue nécessite des mécanismes de protection de la vie privée. Dans cette thèse, nous étudions la protection de la confidentialité des intérêts des utilisateurs des systèmes de recommandation appelés systèmes de filtrage collaboratif (FC). Notre première contribution est Hide & Share, un nouveau mécanisme de similarité, respectueux de la vie privée, pour la calcul décentralisé de graphes de K-Plus-Proches-Voisins (KPPV). C’est un mécanisme léger, conçu pour les systèmes de FC fondés sur les utilisateurs et décentralisés (ou pair-à-pair), qui se basent sur les graphes de KPPV pour fournir des recommandations. Notre seconde contribution s’applique aussi aux systèmes de FC fondés sur les utilisateurs, mais est indépendante de leur architecture. Cette contribution est double : nous évaluons d’abord l’impact d’une attaque active dite « Sybil » sur la confidentialité du profil d’intérêts d’un utilisateur cible, puis nous proposons une contre-mesure. Celle-ci est 2-step, une nouvelle mesure de similarité qui combine une bonne précision, permettant ensuite de faire de bonnes recommandations, avec une bonne résistance à l’attaque Sybil en question. / Recommendation systems try to infer their users’ interests in order to suggest items relevant to them. These systems thus offer a valuable service to users in that they automatically filter non-relevant information, which avoids the nowadays common issue of information overload. This is why recommendation systems are now popular, if not pervasive in some domains such as the World Wide Web. However, an individual’s interests are personal and private data, such as one’s political or religious orientation. Therefore, recommendation systems gather private data and their widespread use calls for privacy-preserving mechanisms. In this thesis, we study the privacy of users’ interests in the family of recommendation systems called Collaborative Filtering (CF) ones. Our first contribution is Hide & Share, a novel privacy-preserving similarity mechanism for the decentralized computation of K-Nearest-Neighbor (KNN) graphs. It is a lightweight mechanism designed for decentralized (a.k.a. peer-to-peer) user-based CF systems, which rely on KNN graphs to provide recommendations. Our second contribution also applies to user-based CF systems, though it is independent of their architecture. This contribution is two-fold: first we evaluate the impact of an active Sybil attack on the privacy of a target user’s profile of interests, and second we propose a counter-measure. This counter-measure is 2-step, a novel similarity metric combining a good precision, in turn allowing for good recommendations,with high resilience to said Sybil attack.

La personnalisation de contenu est devenu une fonctionnalité cruciale sur Internet, car elle aide les utilisateurs à filtrer le contenu qu'ils ne trouvent pas intéressant. Ces systèmes collectent une grande quantité de données pour fournir un service efficace. Cela implique que les utilisateurs perdent le contrôle sur leurs données, ce qui pose un problème de respect de la vie privée. Les systèmes pair-à-pair (P2P) offrent une intéressante alternative aux services centralisés. Dans ces systèmes, chaque utilisateur est responsable de ses données et contrôle lesquelles sont utilisées par le système. Néanmoins, ces systèmes ne règlent que partiellement le problème de respect de la vie privée car, en général, tous les utilisateurs du système peuvent accéder aux données des autres utilisateur. De plus il est difficile de s'assurer de l'identité des utilisateurs, et donc de leur faire confiance. C'est un problème dans un contexte comme une place de marché en ligne, comme par exemple eBay. Dans un contexte P2P, il est difficile de s'assurer qu'un utilisateur est bien qui il dit être, et qu'il remplira sa part du marché. Malgré ces défauts nous pensons que le P2P est le meilleur moyen de résoudre le problème de vie privée. Il faut néanmoins améliorer les systèmes P2P afin de mieux protéger les données utilisateur et augmenter la confiance entre les utilisateurs. Dans cette thèse nous présentons quatre contributions allant dans ce sens. La première, TAPS, fournit aux utilisateurs une estimation de la fiabilité des autres utilisateurs en fonction d'informations extraites d'un réseau social, ainsi que chemin reliant les deux utilisateurs sur le réseau. Par exemple, TAPS informera un utilisateur, Bob, qu'un autre utilisateur, Carole, est la sœur d'un collègue de sa femme Alice. Ainsi, Bob connaît l'identité de Carole et sait si il peut lui faire confiance. La seconde, PTAPS, est une alternative à TAPS préservant la vie privée des utilisateurs. Dans TAPS, les utilisateurs fournissent au système la liste de leurs amis. Dans PTAPS ces informations sont masqué et ne sont accessibles qu'aux amis de l'utilisateur. La troisième, FreeRec, est un système de personnalisation assurant l'anonymat des utilisateurs. Les problèmes de vie privée touchant les réseaux P2P sont dû en grande partie au fait qu'il est possible d'associer les actions d'un utilisateur à son identité . Une solution est de masquer l'identité de l'utilisateur aux autres utilisateurs. FreeRec fournit des recommandations tout en assurant l'anonymat des utilisateurs grâce à du routage en ognon. La dernière, DPPC, est un algorithme masquant les données des utilisateurs dans un système de recommandation. Les données des utilisateurs peuvent contenir des informations précises sur l'utilisateur. Il a été démontré que ces données sont parfois suffisantes pour découvrir l'identité de l'utilisateur. DPPC masques ces données tout en permettant à l'utilisateur de bénéficier du système de recommandation. / Content personalization became an important functionality on the Internet, as it helps users to filter out uninteresting content. These systems collect a lot of data to provide accurate recommendations. This implies that the users loose control over their data, which causes a problem of privacy. Peer-to-peer (P2P) systems offer an interesting alternative to centralized services. In these systems, each user is responsible for her own data and control which ones are used by the system. Nevertheless, these systems solve only partially the privacy issue as, in general, all users of the system can access the data of the other users. In addition, it is difficult to know the true identity of users, and thus it is difficult to trust them. Thus is a problem in a context such as an online marketplace, such as eBay. In a P2P context, it is difficult to ensure that a user is really who she says she is, and that she will do her part of the job. Despites these weaknesses, we believe that P2P is the best way to solve the privacy issue. It is however necessary to improve P2P systems in order to better protect the users data and increase the trust between users. In this thesis we present four contributions going in that direction. The first one, TAPS, provides users with an estimation of the trustworthiness of other users based on information extracted from a social network, as well as a path linking the two users in this network. For example, TAPS will inform a user, Bob, that another user, Carol, is the sister of a colleague of his wife, Alice. Thus, Bob knows the identity of Carole and knows if he can trust her. The second one, PTAPS, is an alternative version of TAPS preserving the users' privacy. In TAPS, users provide the system with their list of friends. In PTAPS this information is hidden and only accessible by the user's friends. The third one, FreeRec, is a personalization system ensuring the users' anonymity. Privacy issues in P2P systems are mainly caused by the fact that it is possible to associate the action of a user with her identity. A solution is to hide the user's identity to the other users. FreeRec provides recommendations while ensuring users's anonymity thanks to onion routing. The last contribution, DPPC, is an algorithm hiding users' data in a recommendation system. Users data can contain precise information about the user. It has been showed that these data are sometimes enough to discover the user's true identity. DPPC hides these data while allowing the user to receive recommendations.