[論文レビュー] Android Permissions Remystified: A Field Study on Contextual Integrity

Primal Wijesekera, Arjun Baokar+4 more|arXiv (Cornell University)|Apr 15, 2015

Advanced Malware Detection Techniques参考文献 31被引用数 39

ひとこと要約

本研究では、36名の被験者が実使用状況で保護リソースへのアクセスを記録したフィールドスタディを通じて、Androidのパーミッションシステムにおける文脈的整合性を検証した。80%の参加者が少なくとも1つのパーミッション要求を拒否するだろうと回答しており、アクセスの3分の1以上が不快と感じられ、ユーザーの期待に沿わないことを示唆している。これは、インストール時承認ではなく実行時承認による承認が必要であることを示している。

ABSTRACT

Due to the amount of data that smartphone applications can potentially access, platforms enforce permission systems that allow users to regulate how applications access protected resources. If users are asked to make security decisions too frequently and in benign situations, they may become habituated and approve all future requests without regard for the consequences. If they are asked to make too few security decisions, they may become concerned that the platform is revealing too much sensitive information. To explore this tradeoff, we instrumented the Android platform to collect data regarding how often and under what circumstances smartphone applications are accessing protected resources regulated by permissions. We performed a 36-person field study to explore the notion of "contextual integrity," that is, how often are applications accessing protected resources when users are not expecting it? Based on our collection of 27 million data points and exit interviews with participants, we examine the situations in which users would like the ability to deny applications access to protected resources. We found out that at least 80% of our participants would have preferred to prevent at least one permission request, and overall, they thought that over a third of requests were invasive and desired a mechanism to block them.

研究の動機と目的

• Androidアプリケーションが、ユーザーの文脈的期待に反する形で保護リソースにアクセスする頻度を調査すること。
• 現実世界の使用状況において、ユーザーがプライバシーとパーミッション要求をどのように認識しているかを理解すること。
• インストール時承認と比較して、実行時パーミッションプロンプトがユーザーの疲労を軽減し、セキュリティ意思決定を改善できるかどうかを評価すること。
• プライバシー懸念とアプリ機能への関連性の認識に基づいて、ユーザーがパーミッションブロッキングをどう意思決定するかをモデル化すること。
• アクセスが予期しない可能性が高い場合にのみプロンプトを表示する、より知的なパーミッションシステムの設計を支援すること。

提案手法

• 実使用状況下で、GPS、カメラ、連絡先など、パーミッション保護リソースへのすべてのアクセスを記録できるようにAndroidを拡張した。
• 被験者が1週間、主に使用するスマートフォンとして改変済みAndroid端末を使用する36名のフィールドスタディを実施した。
• 多様なアプリケーションと使用状況において、実際のパーミッション使用状況に関する2700万件のデータポイントを収集した。
• 退場インタビューを実施し、特定のアクセスイベントを被験者に提示して、それが予想可能か、あるいは不快に感じられたかを評価した。
• 被験者の反応をもとに、意思決定要因（プライバシー懸念とリクエストがアプリ機能にどう関連するかの認識）をモデル化した。
• アプリタイプ、文脈、ユーザー固有の好みに基づいて、ユーザーがパーミッション要求をブロックする可能性が高い状況を予測する分類器を開発した。

実験結果

リサーチクエスチョン

• RQ1 Androidアプリケーションは、ユーザーが予期しない、あるいは不快に感じると感じる形で、保護リソースにどれくらい頻繁にアクセスしているか？
• RQ2 ユーザーがパーミッション要求をブロックする意思決定に影響を与える要因は、プライバシー懸念か、それとも機能的必要性の認識か？
• RQ3 ユーザーは、インストール時承認ではなく、実行時承認をどれくらい望んでいるか？
• RQ4 アプリがフォアグラウンド／バックグラウンドにあるか、画面のオン／オフ状態などの文脈的情報は、パーミッション要求が不快に感じられるかどうかを予測できるか？
• RQ5 プライバシーへの態度の個人差は、アプリの行動の許容範囲に対する認識にどのように影響するか？

主な発見

• 少なくとも80％の参加者が、研究期間中に少なくとも1つのパーミッション要求をブロックしたいと感じた。
• 参加者の多くが、すべてのパーミッションアクセスの3分の1以上を不快と感じ、それらを拒否できるべきだと感じた。
• ユーザーがパーミッションをブロックする意思決定は、主にプライバシー懸念と、アプリがリソースを必要とする理由の理解に基づいていた。
• 個人のプライバシー志向と文脈認識（例：アプリの状態、画面のオン／オフ）が、リクエストが許容可能かどうかに顕著な影響を与えていた。
• 現在の「すべてか、まったくないか」のインストール時承認モデルは、ユーザーが期待する文脈的整合性と一致していない。
• フィードバックに基づく適応的パーミッションシステムは、不測の状況でのみプロンプトを表示することで、慣れによる無関心を軽減し、ユーザーのコントロール感を高められる。