[論文レビュー] Browser Feature Usage on the Modern Web

Peter Snyder, Lara Ansari+2 more|arXiv (Cornell University)|May 20, 2016

Spam and Phishing Detection参考文献 13被引用数 4

ひとこと要約

この論文は、Alexa上位10,000サイトにおけるJavaScript APIの使用状況を分析することで、現代のウェブにおけるブラウザ機能の使用状況を調査し、全機能の50%以上がまったく使用されていないことを明らかにしている。さらに、広告およびトラッキングブロッカーが90%以上の時間にわたり約10%の機能の実行を妨げており、ブロッカーが有効な状態では83%の機能が1%未塔のサイトでのみ使用されていることが示され、特にプライバシー保護拡張機能の下で、利用可能な機能と実際の使用状況の間には顕著な乖離が生じていることが浮き彫りになった。

ABSTRACT

Modern web browsers are incredibly complex, with millions of lines of code and over one thousand JavaScript functions and properties available to website authors. This work investigates how these browser features are used on the modern, open web. We find that JavaScript features differ wildly in popularity, with over 50% of provided features never used in the Alexa 10k. We also look at how popular ad and tracking blockers change the distribution of features used by sites, and identify a set of approximately 10% of features that are disproportionately blocked (prevented from executing by these extensions at least 90% of the time they are used). We additionally find that in the presence of these blockers, over 83% of available features are executed on less than 1% of the most popular 10,000 websites. We additionally measure a variety of aspects of browser feature usage on the web, including how complex sites have become in terms of feature usage, how the length of time a browser feature has been in the browser relates to its usage on the web, and how many security vulnerabilities have been associated with related browser features.

研究の動機と目的

• 現代のウェブにおける最も人気のあるウェブサイトを中心に、ブラウザ機能の実際の使用パターンを理解すること。
• 広告およびトラッキングブロッカーがブラウザ機能の使用に与える影響、特に機能のブロッキング頻度と分布の観点から調査すること。
• ウェブブラウザにおける機能の人気度、存続期間、およびセキュリティ脆弱性との関係を評価すること。
• プライバシー保護拡張機能が、特にトラッキングや広告関連のAPIの実行に与える影響を評価すること。
• 人気で複雑なウェブサイトが、人気のないサイトと比較して、より広範な範囲のブラウザ機能に依存しているのか、それとも限定的な範囲にとどまっているのかを検討すること。

提案手法

• 著者らは、Alexaランク上位10,000サイトのJavaScript機能使用状況を、カスタムWebクローラーとJavaScriptコードの静的解析を用いて収集・分析した。
• ブラウザ機能を標準ベースのAPIファミリーに分類し、データセット全体における使用頻度を測定した。
• uBlock Origin や Privacy Badger などの人気のある広告・トラッキングブロッカーの影響を評価するため、これらの拡張機能を有効・無効にした状態で機能実行率を測定した。
• マネーテスト法を用いて、オープンウェブ上での機能使用を誘発し、ユーザー操作をエミュレートすることで、隠れたまたはめったに発火しない機能を検出する手段とした。
• セキュリティ脆弱性データ（CVE）と機能使用状況を相関させ、未使用またはブロッキングされた機能のリスクプロファイルを評価した。
• 機能の導入後経過時間（年数）と使用頻度の関係を分析し、採用傾向を評価した。

実験結果

リサーチクエスチョン

• RQ1 上位10,000サイトにおけるブラウザ機能の使用頻度はどの程度で、異なる機能タイプごとの使用分布はどのようになっているか？
• RQ2 広告およびトラッキングブロッカーは、特定のブラウザ機能の実行をどの程度妨げており、どの機能が最も頻繁にブロッキングされるか？
• RQ3 コンテンツブロッカーの存在が、特に人気のない機能や新しい機能の全体的な使用分布に与える影響は何か？
• RQ4 ブラウザ機能の年数（導入後経過年数）と使用頻度の間に相関関係があるか？
• RQ5 機能の人気度と関連するセキュリティ脆弱性（CVE）の数との間にどのような関係があるか？

主な発見

• 現代のブラウザに搭載されたJavaScript機能の50%以上が、Alexaランク上位10,000サイトのいずれのサイトでもまったく使用されていない。
• 広告およびトラッキングブロッカーによって、使用される場合の90%以上において、約10%のブラウザ機能が実行を妨げられている。
• 人気のあるブロッカーが有効な状態では、ブラウザ機能の83%以上が上位10,000サイトの1%未塔のサイトでのみ実行されている。
• ブロッカーが有効な状態で完全に未使用の15の標準（全標準の20%）が特定され、31の標準（41%）が1%未塔のサイトでのみ使用されている。
• ブロッキングが顕著な機能でさえ、依然として多数のセキュリティ脆弱性に関連していることから、未使用またはブロッキングされた機能であってもセキュリティリスクを引き起こす可能性がある。
• 広範なブロッキングが行われても、最も人気のあるウェブサイトは依然として正常に機能しており、人気を保っていることから、ウェブのプログラミングモデルは機能の削除に対して極めてレジリエントであることが示された。