Analyzing Privacy Settings Of Social Networks

Published Date: 02 Nov 2017

from a Game Theoretical Perspective

Privacy settings are a crucial part of any online social network as users are confronted with determining which and

how many profile attributes to disclose. Revealing more attributes increases users’ chances of finding friends and

yet leaves users more vulnerable to dangers such as identity theft. In this paper, we consider the problem of finding

the optimal strategy for the disclosure of user attributes in social networks from a game-theoretic perspective.

Methods

We model the privacy settings’ dynamics of social networks with three game-theoretic approaches. In a two-user

game, each user selects an ideal number of attributes to disclose to each other according to a utility function.

We extend this model with a basic evolutionary game to observe how much of their profiles users are comfortable

with revealing, and how this changes over time. We then consider a weighted evolutionary game to investigate

the influence of attribute importance and the network topology in selecting a privacy setting.

Results

The two-user game results show how one user’s privacy setting is influenced by the settings of another user. The

basic evolutionary game results show that the higher the motivation to reveal attributes, the longer users take to

stabilize their privacy settings. Results from the weighted evolutionary game show that users are more likely to

reveal their most important attributes than less important attributes regardless of the risk. Results also show that

the network topology has a considerable effect on the privacy in a risk-included environment but limited effect in

a risk-free environment.

Conclusion

Motivation and risk are identified as important factors in determining how efficiently stability of privacy settings

is achieved and what setting users will adopt given different parameters. Additionally, the privacy settings are

affected by the network topology and the importance users attach to specific attributes. Our model indicates that

users of social networks eventually adopt profile settings that provide maximum privacy if there is any risk, despite

how high the motivation to reveal attributes is. The provided models and the gained results are particularly

important to social network designers and providers because the findings help to understand the influence of

different factors on users’ privacy choices.

2

Keywords

Game theory, social network, privacy setting, Nash equilibrium, replicator dynamics.

1 Introduction and Background

Concerns regarding the privacy in social networks have received worldwide attention and led to frequent

public debates [1, 2]. Social networks contain large amounts of information that can be used to uniquely

identify their users as well as provide information on their habits, interests, and history [3]. On the positive

side, the information enables the users to identify potential new "friends" and find old friends [4]. However,

revealing information also makes it accessible to potential criminals leaving the users vulnerable to dangers

such as identity theft, sexual predators, stalkers, and inference by defrauders [5]. The risk to user privacy has

caused so much concern that over 60% of social network users employ privacy increasing measures such as

deleting friends and concealing profile attributes from other social network users [6]. The benefits and risks

create a dilemma that every user of a social network faces: reveal more attributes to attract more friends,

or reveal less attributes and become less vulnerable.

A considerable amount of research has been done in understanding online social networks and the factors

that contribute towards their success. Online social networks are built on the concept of self-disclosure

[7], which is positively affected by factors like relationship-building and platform enjoyment. In contrast,

perceived privacy risk is a factor with a negative effect on self-disclosure [7]. The benefit of relationship-

building is linked to the number of friends a user stands to gain by disclosing personal information. The

link between number of potential friends and revealed information is based on the homophily principle more

commonly expressed as "birds of a feather flock together" [8]. In the context of a social network, this

principle translates to users with similar attributes being more likely to establish a friendship [8, 9]. On top

of the similarity in attributes, the number of revealed attributes also positively affects relationship-building.

Lampe et al. [10] find that the number of friends that a user has is exponentially related to the size of

the set of attributes that user reveals. This is because sharing more profile attributes allows more users

to establish common ground that promotes interaction and encourages "friendship" [11]. However, profile

disclosing increases the privacy risk to social network users [7]. Profile disclosing is defined as the amount

of a user’s profile that is visible to a third party [7, 12].

Therefore, each user in a social network weighs both the risks and benefits to determine how many

3

profile attributes to reveal. Additionally, the privacy setting of one user affects the choice of privacy setting

of another user. However, little work has been done to show how all these factors are linked together.

Consequently, there is a need to model the interaction of users in a generic social network to understand how

privacy risk and relationship-building both influence the level of self-disclosure exhibited in that network.

Such a model would be invaluable in predicting the general preference of users when it comes to privacy in

social networks.

Game theoretic models have been applied to online social networks before. Squicciarini et al. [13] present

a general sum game involving a user and a server to explore the dynamics of user registration in social

networks. The model and the results show that most users agree to provide their personal information

during registration if the service provider promises to protect the users’ privacy.

Evolutionary games have also been applied to social networks. Using the results from a survey, Squiccia-

rini et al. [14] build an evolutionary game theoretical model aiming at optimizing the users’ long-term utility.

Additionally, by investigating the evolutionary game dynamics, they discover that social capital gained from

self-disclosure influences a user’s decisions more than the risk to that user’s privacy.

The profile attribute privacy problem is similar to the stag-hunt game which exhibits both pure and

mixed Nash equilibria [15]. The stag-hunt game is a two-player two-strategy game that captures the conflict

between cooperation and safety involved in a situation where a hunter selects whether to hunt a stag or a

hare without prior knowledge of another hunter’s choice. This game reaps maximum benefit to both players

if they both players select to hunt a stag and maximum risk to one player if the other player selects otherwise.

This situation is similar to the privacy in social networks between two players because maximum benefit is

accrued if both players cooperate and reveal all their attributes. Maximum risk occurs to a user when the

other user reveals less attributes because this leaves the more revealed user vulnerable to identity inference.

However, the profile attribute privacy problem is different from the stag-hunt game because the privacy

problem involves multiple players, and multiple strategies (options) in their privacy.

Other works have also employed game theoretic models to capture the relation and coordination between

different user properties in different networks in a variety of applications. The networks range from online

video sharing social networks [16] to mobile ad-hoc networks [17], and anonymous social networks [18]. The

modeled applications include sharing co-owned pictures in a social network [19] and stimulating cooperation

in the network [16]. In most of these works [16, 20], a two party model is captured and used as a basis to

create a model that captures the dynamics of the entire network. This is because the networks can be looked

at as a collection of multiple two party interactions. We employ this same reasoning when designing models

4

to capture the interaction of user’s privacy in a social network.

In this paper, we propose three game-theoretic models to study the dynamics of privacy settings between

users in a social network. These models include a two-user model and two evolutionary game models and

are built on a novel analytical definition of risk and motivation in a social network.

The two-user game models the interactions between two users in both risk-free and risk-included scenarios.

We use this model to understand how the privacy choices of one user affect the privacy choices of another

user. For example, given a network in which Alice and Bob are "friends" with an identical number of profile

attributes, the two user game investigates whether a strategy by Alice to withhold 30% of her attributes

would make Bob withhold or reveal more of his attributes.

The evolutionary game is an extension of the two-user game to model the interactions of multiple users

over time with the utility function of the evolutionary game derived from the utility function of the two

user game. In the basic evolutionary game, all the users are allowed to change their strategy over time

in order to maximize the benefit of friendship establishment and minimize the risk to their privacy. The

users’ choice of strategy at any point in time is dependent on the strategies currently employed by all the

users in the network. Informally, given that Alice is part of a large social network, the evolutionary game

investigates whether she would change her decision to withhold 30% of her attributes if she knew that 60% of

the network’s users were revealing all their attributes. The evolutionary game also investigates whether and

how her new privacy strategy would affect the rest of the network users. This iterative process is repeated

until the entire population reaches an equilibrium state. The equilibrium states as well as the dynamics of

the network provide insights into understanding the privacy preferences of social network users.

The weighted evolutionary model also considers different types of networks and different types (weights)

of attributes. This model investigates two concepts. Firstly, it investigates what influence, if any, the

type of network has on the privacy strategy of the users of the network given the benefit of friendship

enhancement. The network types considered include random networks, scale-free networks, and small-world

networks to model different social network properties [21]. For example, given Alice is the popular girl in

the social network and is a friend to everyone, this model investigates whether her strategy to withhold 30%

of her attributes affects other user’s strategies as much as Bob’s decision given he is less popular with only 2

friends in that network. Secondly, this model investigates whether the importance of the revealed and hidden

attributes plays a role in the decision. By weighting the attributes, this model considers the possibility that

some attributes have a higher impact than others in either self-disclosure or privacy. This model investigates

whether Alice revealing attributes such as her religion and sexual preferences would affect the network more

5

than her revealing that she likes playing soccer and watching movies.

As results, we present the Nash equilibria for the proposed two-user game model [22] as well as the

population dynamics for the evolutionary models. In our models, the Nash equilibrium refers to the optimal

strategies taken by the users of the network. The strategies are optimal because the users can not achieve

a higher benefit by unilaterally changing their strategy. We also present the population dynamics for the

evolutionary game showing the popularity of different strategies as different users change their privacy over

time.

For the two-user game, we find that the pure strategy is for at least one of the players to disclose no

attributes at all if there is an element of risk. Surprisingly, removing the risk element does not mean that

all players will disclose all their attributes.

For the basic evolutionary game, we discover that the dominant strategy is to disclose no attributes

if there is an element of risk. By dominant strategy, we refer to the strategy employed by most of the

users in the social network. On the other hand, if the risk factor is ignored, the dominant strategy is

to disclose all attributes. Revealing all but one attributes is also a common initial strategy in a risk-free

network. Additionally, we find that networks where the risk factor is considered achieve equilibria faster than

networks where risk was ignored. Our results indicate that users will only be satisfied with the maximum

privacy setting regardless of the motivation and benefits of less private settings as long as there is an element

of risk in the social network.

Using the weighted evolutionary game model, we observe a tendency by users to reveal their most impor-

tant attributes more than less important attributes. By important attributes, we refer to those attributes

which have a larger impact on the privacy as well as the social capital of a user. Additionally, users in

random and scale-free networks are more likely to reveal their attributes than users in small-world networks.

Interestingly, we find that the type of network topology has a limited effect on privacy settings of a social

network in the risk-free case and yet have a considerable effect on the privacy in the risk-included scenario.

While some of the results that we present, e.g. the final stable states of the models, might seem intuitive,

the manner of the transition of the network towards this equilibrium is not obvious, and yet equally impor-

tant. The configuration of certain factors in the model will affect how quickly the network achieves stability

and what strategies are employed. Our models can be used to understand and predict the dynamics of a

social network based on attribute disclosure. This is particularly important to social network providers, de-

signers, and users in determining how to maximize the self-disclosure in a network while keeping the privacy

risk under a certain threshold.

6

The remainder of this paper is as follows. We specify the definition and strategies used in our model

in the proceeding section. Our game-theoretic models are described in Section 2.2 and Section 3. We then

present the results and highlight the significance of our approach in Section 4 and conclude this paper with

a discussion of our findings in Section 5.

2 Methods and models

2.1 Definitions and strategies

2.1.1 Definitions

Definition 1. A game for the disclosure of profile attributes for a set of n players (users), N = {1, 2, ..., n},

consists of the following rules:

• For every player x, there exists a vector of profile attributes Ax = (ax,1, ax,2, ..., ax,m) of size m.

• For every player x, there exists a profile attribute sign vector Sx = (sx,1, sx,2, ..., sx,m) from a mapping

Ax → Sx.

• For every player x, there exists a profile attribute value vector Vx = (vx,1, vx,2, ..., vx,m) from a mapping

Ax → Vx.

• For every player x, there exists a utility function ux : Sx × Vx × S−x × V−x → R, where S−x denotes

the set ×y∈N\{x}Sy and V−x is the set ×y∈N\{x}Vy.

In our model, the vector Ax = (ax,1, ax,2, ..., ax,m) denotes the profile attributes in the social network,

where ax,i is the ith attribute of User x. An example of an attribute vector for a generic user (Alice) is given

by AAlice = (N ame, Gender, Age, Religion, ..., Hometown). For simplicity, we assume all the users have the

same set of profile attributes. In a generic case, we refer to specific attribute by Attr#i.

The value of the attributes is defined as a mapping Ax → Vx, where Vx = (vx,1, vx,2, ..., vx,m) is a vector

of the values of the attributes of User x. We use vx,i to denote the value of ith attribute of User x. For

example, VAlice = (Alice, F emale, 27, Christian, ..., Chicago).

For each User x, a vector Sx = (sx,1, sx,2, ..., sx,m) denotes whether specific attributes are disclosed or

revealed. If attribute ax,i is disclosed, then sx,i = 1, otherwise sx,i = 0. For example, SAlice = (1, 1, 0, 0, ..., 1)

means that Alice decides to reveal her name, gender, and hometown but withholds her age, and religion.

We capture the similarities between two users using pairs. Two users Alice and Bob are said to have a

pair if they both reveal the same attribute, e.g. age. Moreover, if both users have the same value for that

mutually revealed attribute (e.g. the age for both of them is 27), then the users are said to have an equal

7

value pair. Formally, a 2-tuple (ax,i, ay,i) is called a pair if and only if sx,i = 1 and sy,i = 1. Additionally,

if vx,i = vy,i, then the 2-tuple (ax,i, ay,i) is referred to as an equal value pair. We use random variable Np

to represent the number of pairs that two users constitute and random variable Nep as the number of equal

value pairs of two users.

Figure 1 shows a possible profile configuration for two users x and y. Out of the m at-

tributes, User x reveals kx attributes while User y reveals ky attributes. Both users reveal attributes

Attr#1, Attr#2, ..., Attr#r, which contribute to r pairs. The r pairs are denoted by (ax,1, ay,1), (ax,2, ay,2),

... , (ax,r, ay,r).

Figure 2 shows a similar profile configuration for the two users x and y with the attributes re-arranged

such that the first r attributes are the r pairs. We consider that η of the r pairs are equal value pairs. We

assume that the η equal value pairs are important in establishing common ground for building friendships [11].

To capture the risk of identity inference, we introduce the concept of hiding. A user John is hidden by

another user Jane if Jane is more distinguishable than John. For example, if VJohnDoe = (Doe, ∗, 34, ∗, ..., ∗)

and VJaneDoe = (Doe, F emale, 34, ∗, ..., Chicago), where ‘∗’ refers to withheld attributes, then Jane is more

distinguishable than John and therefore John is hidden by Jane. This is because a third party can easily

infer the identity of Jane than John given the revealed profile attributes. Formally, given User x discloses

kx attributes and User y discloses ky, where kx ≤ ky, User x is hidden by User y if all the kx attributes

disclosed by User x have the same values in both User x and y (cf. Figure 3). The set Dx of attributes

disclosed by User x is given by Dx = {ax,i | sx,i = 1, 1 ≤ i ≤ m}. User x is hidden by User y ⇐⇒ Dx ⊆ Dy

and vx,i = vy,i for ax,i ∈ Dx.

Therefore, User x can be hidden by two types of users (cf. Figure 4). One type of users consists

of the users who disclose the same set of attributes, where corresponding attributes have identical values

(kx = ky = η). The other type of users consists of those users who reveal extra attributes in addition to the

kx equal value pairs (kx = η < ky).

2.1.2 Strategies

The privacy setting of a typical social network consists of levels of visibility of different aspects such as profile

attributes, activity logs, and friend lists to various types of users e.g. friends, friends of friends, and public.

In our model, we consider a single level of visibility i.e. whether profile attributes are visible to any other

user of the network. A user’s strategy involves selecting how many attributes to reveal. Revealing more

attributes increases the chance of having common attributes with other users which allows for friendship,

8

while at the same time increases the risk of identity inference.

Given m attributes, each user has m + 1 possible strategies which correspond to the number of attributes

the user reveals (0, 1, ..., m). In the two-user game, we build an (m + 1) × (m + 1) payoff matrix made

up of the payoff values for every possible strategy combination. The payoff values are evaluated from the

positive and negative values associated with that strategy. In the basic evolutionary game, we classify the

whole population into m + 1 groups depending on which strategy they adopt. Each group consists of users

who have selected to reveal a given number of attributes.

2.1.3 Network topologies

In this paper, the weighted evolutionary game considers three different types of network topologies, which

include a random network, a small-world network, and a scale-free network.

A random network is a graph in which the occurrence of connection between nodes follows a probability

distribution [23]. A random graph can be used for modeling social networks when the node degrees follow

an arbitrary probability distribution [24]. The Erd¨os-R´enyi (ER) [25] model is considered to generate the

random networks. The probabilities that edges occurs between any two nodes are equal and independent.

Given the probability of an edge occurrence is p and there are n nodes, the average node degree k is

approximately equal to n · p.

In a small-world network, most of the nodes are not directly connected to each other, but most nodes

can be reached by every other node within a relatively small number of hops. Online social networks have

been shown to exhibit small-world properties and can be produced using a Watts-Strogatz model in two

2steps [26]. In the first step, a regular ring latice of n nodes is created and each node is connected with k on

each side making the average node degree k. In the second step, the edges are rewired with probability β to

create the "shortcuts" that transform the regular network to a small-world network [26].

A scale-free network is a network where the node degree distribution follows a power-law distribution,

i.e. the number of nodes decreases exponentially as the node degree increases [27]. To create the scale-free

network, seed nodes are placed in the network and new nodes added to the existing network incrementally.

In this way, any new added node is more likely to form a link with higher degree nodes [27].

2.2  Models

We propose three game-theoretic models. One model is a two-user game, which captures interactions between

two users while setting up their privacy. This is extended to a basic evolutionary game to capture the

9

dynamics of the privacy preference of multiple users in a large-scale social network. This model is then

extended to a weighted evolutionary game to investigate the influence of attribute weight and network

topology on the privacy of users in a social network.

2.2.1 The two-user attribute disclosure game

In this model, we consider a two-user game between User x and User y to understand the basic interaction

in complex networks such as online social networks. We use a utility function to capture the incentives of

players [22].

Positive utility

The positive utility of revealing more attributes is the increased chance of establishing common ground with

other users and thereby obtaining more potential new friends. Given users x and y disclose kx and ky

attributes respectively, the probability of having r pairs is given by

kx     ·

r   ·

kx     ·

i   ·Pkx,ky (Np = r) =

min(kx,ky)

i=max(kx+ky−m,0)

m kx

m kx m−kx

ky−r

m−kx

ky−i

(1)

where m is the total number of attributes. We use random variables Np and Nep to denote the number of

pairs and the number of equal value pairs respectively. The proof for Equation 1 is provided in Section 3

(Theorem 1).

Given r pairs, we can calculate the probability of getting η equal value pairs, using

P (Nep = η | Np = r) =  (L − 1)r−ηL r ·

r

η                           (2)

P (F | Nep = η) =   eαηwhere L is the number of values that an attribute can have. The proof for Equation 2 is provided in Section

3 (Theorem 2).

Given the number of friends that a user has is exponentially related to the set of attributes [10], we

assume the probability of two users with η equal value pairs being friends is given by

ηαm + ǫ (3)

where ǫ > 0 and α indicates motivation. Dividing eαη by eαm + ǫ guarantees that P (F | Nep = η) is between

0 and 1.

Additionally, we select an exponential style function because it mitigates the adverse effect brought by

users with a lower number of equal value pairs. Users with a small set of equal value pairs are numerous but

have little impact in building friendships.

10

The motivation α captures the increase in the likelihood of being friends with an increase in equal value

pairs. We consider three different values for α. Figure 5 shows the likelihood of being friends evaluated from

Equation 3 for α ∈ {0.2, 0.9, 1.5}. Lower values of α have slower change but higher initial values.

Given users x and y disclose kx and ky attributes respectively, the probability Pkx,ky (F ) of them being

friends is therefore given by combining two probabilities: (1) the probability of them being friends if they

have η equal value pairs and (2) the probability of them having the η equal value pairs in the first place.

Pkx,ky (F ) is evaluated using

min(kx,ky)

r

Pkx,ky (F ) =

Pkx,ky (Np = r) ·

P (F | Nep = η) · P (Nep = η | Np = r),     (4)

r=max(kx+ky−m,0)

η=0

where Pkx,ky (Np = r) is the probability of having r pairs, P (F | Nep = η) is the probability of being friends

given η equal value pairs, and P (Nep = η | Np = r) is the probability of having η equal value pairs given r

pairs.

Negative utility

The negative utility of revealing more attributes is the increased risk incurred by the user. In our models,

risk is equivalent to the chance of a user’s identity being inferred from their disclosed attributes. A user’s

identity can be compared to a set of attributes that uniquely differentiate a user from a large group of users.

Therefore, risk is inversely proportional to the number of users among whom a user can be hidden. This is

because the higher the number of users with identical disclosed attributes, the less the probability of inferring

a specific user’s identity or preference. The users with unique sets of disclosed attributes have the highest

risk in the population.

In the two-user game, User x discloses kx attributes and User y discloses ky attributes. If kx > ky,

then there is no chance that User x is hidden by User y. The reason is that User x will always be more

distinguishable than y regardless of which ky attributes are selected by User y. If kx = ky and all kx disclosed

attributes are equal value pairs, then User x is hidden by User y and they reduce each other’s risk. This

is because User x cannot be distinguished from y if all the attributes they reveal are identical. However, if

kx < ky, and all kx attributes disclosed by User x are all equal value pairs, then User x is hidden by User y,

and the risk of User x is reduced. Hence, we get the formula for negative utility as follows:





if kx ≤ ky,Rkx,ky =







1

y1+ (km−kx) 1

ky(m) Lkx

1 if kx > ky,

(5)

where m is the total number of attributes. The proof for Equation 5 is provided in Section 3 (Theorem 3).

11

Combining positive utility and negative utility

When users x and y exist in the same social network, they have a probability of becoming friends Pkx,ky (F )

and are also under risk of identity inference Rkx,ky . We use the ratio of Pkx,ky (F ) to Rkx,ky to obtain an

appropriate utility function

Rkx,ky  .ux = Pkx,ky (F )

(6)

In Equation 6, User x discloses kx attributes, while User y discloses ky attributes.

2.2.2 Basic evolutionary game

A basic evolutionary game is employed to analyze the dynamics of privacy among multiple users in online

social networks. Given m attributes, we divide the population into m + 1 groups which consist of users

who disclose the same number of attributes. Figure 6 shows an arbitrary selected User δk who discloses k

attributes and belongs to group k of nk users.

Replicator equation

Replicator dynamics are used to provide the population dynamics for each proportion [28]

˙θk = θk[fk − φ] (7)

where θk is the proportion of all users who disclose k attributes. The value of θk is given by nk , where nk

is the number of users disclosing k attributes and n is the total number of users.

Users who disclose k attributes are referred to as type k. The fitness of the basic evolutionary game is

comparable to the utility function of the two-user game, and is also comprised of positive utility and negative

utility. Positive utility is the expected number of friends that a user can make by disclosing k attributes

while negative utility is the risk of inference from disclosing k attributes. Similar to the two-user game, the

risk factor for a certain user is inversely proportional to the number of users that can hide that user.

The average population fitness φ is given by

m

φ =

θkfk.

k=0

Positive utility

The positive utility is an extension of the two-user game’s positive utility in Equation 4. In a large social

12

network, the expected number of friends NF that User δk can make is

m

min(k,k′)

Ek[NF ] =

nk′

Pk,k′ (F )

k′=0

m

r=max(k+k′−m,0)

min(k,k′)

r

=

nk′

Pk,k′ (Np = r) ·

P (F | Nep = η) · P (Nep = η | Np = r)    (8)

k′=0

r=max(k+k′−m,0)

η=0

where nk′ is the number of users of type k′. Equation 8 is derived by summing Equation 4 for all possible

k′ values and respective nk′ , where nk′ is the number of users of type k′.

Negative utility

In the evolutionary game, the negative utility is calculated using

Rk =                  1

(  )  ·

Lk  · (nk − 1) +

i=1

(km+i)   ·

Lk  · nk+im

k

1 1

m−k

i(m−k)

1

.                       (9)

(mk)   ·

Lk   · (nk − 1)  is  the  number  of  users  of  type  k  who  can  hide  User  δk.  The  termThe term 1

1

(km+i)   ·

Lk  · nk+i is the number of users who can hide User δk, and are from groups that disclose morem−k

i=1

i(m−k)

1

attributes.

Combining positive utility and negative utility

Similar to Equation 6, we use the ratio of positive utility to negative utility to define the fitness of type k

using

Rk   .fk = Ek[NF ]

(10)

All the users of the same type have the same fitness value.

2.2.3 The weighted evolutionary game

We extend the previous model by considering a weighted evolutionary game. This model considers that users

attach different importances to different attributes. This is captured by assigning weights to each attribute.

Additionally, the topology of the network is considered. In this model, the strategy of a user is only affected

by its directly connected neighbors (friends).

Figure 7(a) shows a generic social network consisting of 7 users. An example of the profile attribute sign

flag Sx for all 7 users is shown in Figure 7(b) with the profile attributes (Name, Gender, Age,...,Hometown)

and their respective weights (w1, w2, w3, ..., w7) shown in Figure 7(e). A user calculates the number of pairs

that it shares with its neighbors before selecting its next privacy strategy. The payoff value associated

13

with any neighbor is a combination of the number of pairs (obtained using a bit-wise AND function) and

the weights associated with those attributes. For example, given User 1 has profile attribute sign flag

S1 = (1000110) and User 2 has S2 = (0110011), a bit-wise AND yields 0000010. The sixth bit position

is the only "1" shown in the AND result which indicates that the only attribute revealed by both users is

Attr#6. Using the corresponding weight factor, we obtain the payoff value between users 1 and 2 of (w6).

Similar analysis between User 1 and User 5, where S5 = (1100110) yields a bit-wise AND value of 1000110

and therefore a payoff value equal to (w1 + w5 + w6). Since User 1’s payoff with User 5 (w1 + w5 + w6)

is higher than User 1’s payoff with User 2 (w6), User 1 has a higher probability of changing his strategy

to mimic User 5 in the next time step. After all users have compared their current strategies with their

neighbors, each user is allowed to change one bit of his sign flag. An example of the state of the system after

one iteration is shown in Figure 7(c). The figure shows that User 1’s strategy has not changed and is still

S1 = (1000110). However, User 6’s strategy has changed from S6 = (0101011) to S6 = (0111011). The entire

process is repeated until the whole system reaches stability. Stability is achieved if no single node changes

their sign-flag (strategy) between two successive time steps. The state of the sample system when stability

is achieved is shown in Figure 7(d). In the final state, the strategy of User 1 is given by S1 = (1100011)

which is achieved after 8 iterations.

Formally, given G = (N, E) is an undirected graph with node set N and edge set E where the node set

N = {1, 2, ..., n} is made up of the n users in the network. In this model, we consider an attribute weight

vector W = (w1, w2, ..., wm) corresponding to the attribute vector Ax = (ax,1, ax,2, ..., ax,m).

xThe set of all neighbors of User x is denoted by Bx. The set Bh consists of all neighbors of User x

that disclose the same attributes as x or extra attributes in addition to those disclosed by User x, and can

xpossibly hide User x. The set Bx contributes to the positive utility, while the set Bh controls how much risk

a user is exposed to. We obtain the combined utility function using Equation 11, where wP and wN as the

weight coefficients for the positive and negative utility respectively.

ux = wP ·

y∈Bx

(Sx ∧ Sy) × W T − wN · 1 1

x|Bh|

(11)

The replicator rule [29] is used for users to update their strategy between time steps according to

Px,y  =

dmax ,  uty > utx,t

uty−utx

0,      uty ≤ utx,                         (12)

1Unless otherwise stated, the notation ∧ represents logic AND. We use the notation W T to refer to the transpose of vector

W .

14

where Px,y is the probability that at time t+1, User x adopts the strategy User y had at time t. Additionally,

dmax in payoff between any two users in the network to ensure that Px,y ∈ [0, 1].  The expression impliest

utx is the utility of User x at time t, while uty is the utility of User y at time t. We use the largest difference

t

that the probability of User x following the strategy of a neighbor (User y) is proportional to the payoff

difference between users x and y.

During each iteration, all the nodes find candidate strategies from their neighbors that are then used

during the update. All the nodes then update their strategies synchronously. The update results in each

node either maintaining its original strategy or changing just one bit of its sign flag to mimic one of its

neighbors. This process is repeated until there is no difference in the strategies of all nodes between two

consecutive iterations. When this condition has been met, the system is said to be stable.

The probability of the users changing strategies, as provided in [29], is given by

(1 − Pxy)                             (13)Qtx,y = 1 −

t

y∈Bx

where Qtx,y is the probability that the User x actually changes their strategy between time t and t + 1.

The algorithm for updating the attribute sign flag is provided in Algorithm 1.

Algorithm 1 Update profile attribute sign flag

Initialize profile attribute sign flag for each node.

Calculate payoff value for all the nodes using Equation 11.

while <Any node changes sign flag> do

//Each node determines which digit of its own sign flag to change.

for <Each nodes> do

Find neighbors with higher payoff value.

Select neighbor with sign flag to mimic using Equation 12 and Equation 13.

By comparing with selected neighbor, determine which digit of sign flag to change.

end for

Change all nodes’ sign flags accordingly.

end while