[論文レビュー] An Empirical Evaluation of GDPR Compliance Violations in Android mHealth Apps

Ming Fan, Le Yu+7 more|arXiv (Cornell University)|Aug 13, 2020

Advanced Malware Detection Techniques参考文献 43被引用数 13

ひとこと要約

本稿では、プライバシーポリシー、GUIベースのデータ収集、およびデータ送信セキュリティの分析を通じて、Android mHealthアプリのGDPR準拠違反を自動検出するHPDroidと呼ばれるシステムを提案する。その結果、796個のmHealthアプリのうち23.7％が不完全なプライバシーポリシーを提示しており、77.9％が一貫性のないデータ収集を示しており、感覚的データを扱う59アプリのうちたった8つしか安全な送信を実装しておらず、すべてのアプリで暗号化の誤用が見られた。

ABSTRACT

The purpose of the General Data Protection Regulation (GDPR) is to provide improved privacy protection. If an app controls personal data from users, it needs to be compliant with GDPR. However, GDPR lists general rules rather than exact step-by-step guidelines about how to develop an app that fulfills the requirements. Therefore, there may exist GDPR compliance violations in existing apps, which would pose severe privacy threats to app users. In this paper, we take mobile health applications (mHealth apps) as a peephole to examine the status quo of GDPR compliance in Android apps. We first propose an automated system, named \mytool, to bridge the semantic gap between the general rules of GDPR and the app implementations by identifying the data practices declared in the app privacy policy and the data relevant behaviors in the app code. Then, based on \mytool, we detect three kinds of GDPR compliance violations, including the incompleteness of privacy policy, the inconsistency of data collections, and the insecurity of data transmission. We perform an empirical evaluation of 796 mHealth apps. The results reveal that 189 (23.7\%) of them do not provide complete privacy policies. Moreover, 59 apps collect sensitive data through different measures, but 46 (77.9\%) of them contain at least one inconsistent collection behavior. Even worse, among the 59 apps, only 8 apps try to ensure the transmission security of collected data. However, all of them contain at least one encryption or SSL misuse. Our work exposes severe privacy issues to raise awareness of privacy protection for app users and developers.

研究の動機と目的

• mHealthアプリの現実世界におけるGDPR準拠状況、特にプライバシーポリシー、データ収集の一貫性、データ送信セキュリティの観点から調査すること。
• GDPRの一般的なルールと実際のアプリ実装との間の意味的ギャップを解消し、準拠違反を自動検出可能にする。
• 実世界のアプリを実証的に評価することで、開発者およびユーザーの間でmHealthアプリのプライバシーリスクについての意識を高めること。
• 自然言語処理（NLP）、静的解析、暗号解析を統合した、細かく自動化された方法でGDPR違反を検出できるツール、HPDroidの開発

提案手法

• HPDroidは、NLPおよび機械学習を用いて、GDPRが義務付けるお知らせカテゴリと照合することで、プライバシーポリシーの完全性を分類・検出する。
• GUI分析には、事前に定義されたPHIキーワードデータベースと静的ターン解析を用い、ユーザー入力されたPHIが入力ウィジェットからデータフローがファイルやネットワーク送信に至るまでを追跡する。
• プライバシーポリシーに記載されたデータ収集内容と、実際のデータ収集行動を照合することで、不一致を検出する。
• データ送信セキュリティに関しては、暗号実装を特定し、標準的なセキュリティルールに準拠しているかを確認し、暗号化やSSLの誤用を特定する。
• 静的ターン解析（FlowDroid、IccTA、EdgeMinerを用いて）とGUI分析を組み合わせることで、誤検出（偽陰性）の制限を克服し、PHI収集を検出する。
• プライバシーポリシー分類器のトレーニングおよび評価のための信頼性の高いグランドトゥースデータセットを構築するために、三重モジュールのレプンダントアプローチを採用する。

実験結果

リサーチクエスチョン

• RQ1 mHealthアプリは、GDPRが求める通り、どれほど完全なプライバシーポリシーを提供しているのか。
• RQ2 mHealthアプリは、プライバシーポリシーに記載された内容よりも多くのデータを収集する頻度はどの程度か（不一致を示す）。
• RQ3 mHealthアプリのうち、感覚的健康データの安全な送信を実装しているのは何個で、暗号化やSSLの誤用に陥っているのは何個か。
• RQ4 現実世界のmHealthアプリにおいて、プライバシーポリシーの完全性、データ収集の一貫性、送信セキュリティの観点から、GDPR準拠違反がどの程度広がっているのか。

主な発見

• 796個のmHealthアプリのうち、189個（23.7％）は完全なプライバシーポリシーを提示していない。これは透明性の重大な欠如を示している。
• 複数の方法で感覚的健康データを収集する59アプリのうち、46個（77.9％）が一貫性のないデータ収集行動を示しており、データ最小化の原則に違反している。
• 感覚的データを収集する59アプリのうち、安全なデータ送信を実装しているのはたった8個であり、それらすべてが少なくとも1つの暗号化またはSSLの誤用を含んでいた。
• 静的解析ツールにおける偽陰性の存在は、実際に観察されたよりも、準拠違反の発生頻度がさらに高い可能性があることを示唆している。
• GUIベースのPHI検出と静的ターン解析の組み合わせにより、データ収集行動の細かいつながりの特定が可能となり、システム的なプライバシーリスクが露呈された。
• 実証的評価により、現在のmHealthアプリはGDPR準拠に大きく欠けていることが明らかになった。これにより、より良いツールと開発者への意識向上の必要性が浮き彫りになった。