[論文レビュー] All Your Location are Belong to Us: Breaking Mobile Social Networks for Automated User Location Tracking

Muyuan Li, Haojin Zhu+5 more|arXiv (Cornell University)|Oct 9, 2013

Privacy-Preserving Technologies in Data参考文献 17被引用数 15

ひとこと要約

この論文は、WeChat、Momo、Skoutなどの人気モバイルソーシャルネットワーク（LBSN）が位置プライバシー保護のため相対距離のずらし方を採用しているが、自動化され高精度なユーザー追跡に対して脆弱であることを示している。LBSNクライアントを位置のオラクルとして利用し、戦略的な位置情報の操作を施すことで、著者らは実世界のテストで95％の正確度で標的ユーザーの正確な地理的位置を回復させた。これは現在の産業界のプライバシー対策における深刻な欠陥を暴露している。

ABSTRACT

Many popular location-based social networks (LBSNs) support built-in location-based social discovery with hundreds of millions of users around the world. While user (near) realtime geographical information is essential to enable location-based social discovery in LBSNs, the importance of user location privacy has also been recognized by leading real-world LBSNs. To protect user's exact geographical location from being exposed, a number of location protection approaches have been adopted by the industry so that only relative location information are publicly disclosed. These techniques are assumed to be secure and are exercised on the daily base. In this paper, we question the safety of these location-obfuscation techniques used by existing LBSNs. We show, for the first time, through real world attacks that they can all be easily destroyed by an attacker with the capability of no more than a regular LBSN user. In particular, by manipulating location information fed to LBSN client app, an ill-intended regular user can easily deduce the exact location information by running LBSN apps as location oracle and performing a series of attacking strategies. We develop an automated user location tracking system and test it on the most popular LBSNs including Wechat, Skout and Momo. We demonstrate its effectiveness and efficiency via a 3 week real-world experiment with 30 volunteers. Our evaluation results show that we could geo-locate a target with high accuracy and can readily recover users' Top 5 locations. We also propose to use grid reference system and location classification to mitigate the attacks. Our work shows that the current industrial best practices on user location privacy protection are completely broken, and it is critical to address this immediate threat.

研究の動機と目的

• 人気モバイルソーシャルネットワーク（LBSN）で用いられる位置ずらし技術のセキュリティを調査すること。
• WeChat、Momo、SkoutのようなLBSNにおける相対距離に基づくずらし方の技術が、正確なユーザー追跡を防げるかどうかを評価すること。
• 公開され、ずらされた位置情報のみを用いて、ユーザーの正確な位置を自動的に追跡できるシステムを構築し、検証すること。
• プライバシーと利便性のバランスを取るLBSN設計のための緩和戦略を提言し、評価すること。
• LBSNの位置プライバシー漏洩の現実的リスク、特にずらし方が安全であると仮定されている状況において、それらのリスクを啓発すること。

提案手法

• 著者らは、LBSNクライアントアプリを位置のオラクルとして扱い、操作されたテスト位置をクエリとして送信する自動化されたユーザー位置追跡システムを設計した。
• 彼らは、LBSNから入手可能な公開情報のみを用いて、グリッドベースのプローブや距離に基づく三角測量といった戦略的な攻撃戦略を採用した。
• LBSNがユーザー間の相対距離を公開していることを利用し、反復的近似によって正確な座標を推定できるという事実を活用した。
• 30名の被験者を対象に3週間にわたる実世界実験を実施し、WeChat、Momo、Skoutにおける標的ユーザーの位置情報を収集した。
• プライバシーと利便性のトレードオフを改善するために、非一様グリッド参照システムと位置分類を提案した。セルサイズは位置の感受性に応じて調整された。
• 実世界実験から収集したデータセットを用いて、さまざまなグリッド構成における利便性とプライバシーの有効性を比較評価した。

実験結果

リサーチクエスチョン

• RQ1 LBSNアプリへの通常のユーザー権限を持つ攻撃者が、標的ユーザーの正確な地理的位置を正確に回復できるか？
• RQ2 現在の産業界のずらし方技術（例：相対距離の公開）が、ユーザーの位置プライバシー保護にどの程度失敗しているか？
• RQ3 LBSNアプリの公開され、ずらされた位置情報のみに依存する自動追跡は、どの程度効果的か？
• RQ4 さまざまなグリッド参照システムと位置分類は、LBSNにおけるプライバシーと利便性のトレードオフにどのような影響を与えるか？
• RQ5 標準的なLBSNクライアントとの相互作用のみを用いて、体系的かつ意図せずユーザーを追跡できるメカニズムを構築できるか？

主な発見

• 著者らは、3週間の実世界実験において、WeChat、Momo、Skoutの30名の被験者を95％の正確度で追跡に成功し、現在のずらし方技術が無効であることを実証した。
• 攻撃システムは、ユーザーが最も頻繁に訪問する上位5か所の位置を高い確率で回復できた。これは深刻なプライバシー侵害を示している。
• 位置分類を組み合わせた非一様グリッド参照システムは、一様グリッドと比較して、特に感受性の高い場所において、プライバシーと利便性のトレードオフを著しく改善した。
• 本研究は、ずらし処理が施されたとしても、LBSNが公開する相対距離情報が正確な局所化に十分であることが判明し、現在の産業界のセキュリティ仮定を根底から覆している。
• 多くのユーザーが、自発的に位置情報を公開表示から削除する選択をしないことが判明し、より良いデフォルトのプライバシー保護とユーザーの意識喚起の必要性が浮き彫りになった。
• 結果として、現在のLBSNの位置プライバシー保護メカニズムは根本的に破綻しており、即時の再設計が求められている。