[論文レビュー] Crashing Privacy: An Autopsy of a Web Browser's Leaked Crash Reports

Kiavash Satvat, Nitesh Saxena|arXiv (Cornell University)|Aug 6, 2018

Advanced Malware Detection Techniques参考文献 8被引用数 5

ひとこと要約

この論文は、ウェブブラウザのクラッシュレポートシステムにおける深刻なプライバシー漏洩を特定し、250万件の匿名化されたクラッシュレポートにおいて、2万件を超えるセッションID、600件のパスワード、9,000件のメールアドレスが漏洩していることを明らかにした。本研究では、パターンベースのデータ除去を用いてURLおよびユーザー記述から機密情報をマスクするクライアント側の即時修正策を提案する。この手法により、レポートの可読性（URLに関しては92％以上）を維持しつつ、バグ修正ワークフローに影響を与えることなく、ユーザーのプライバシーを著しく向上できる。

ABSTRACT

Harm to the privacy of users through data leakage is not an unknown issue, however, it has not been studied in the context of the crash reporting system. Automatic Crash Reporting Systems (ACRS) are used by applications to report information about the errors happening during a software failure. Although crash reports are valuable to diagnose errors, they may contain users' sensitive information. In this paper, we study such a privacy leakage vis-a-vis browsers' crash reporting systems. As a case study, we mine a dataset consisting of crash reports collected over the period of six years. Our analysis shows the presence of more than 20,000 sessions and token IDs, 600 passwords, 9,000 email addresses, an enormous amount of contact information, and other sensitive data. Our analysis sheds light on an important security and privacy issue in the current state-of-the-art browser crash reporting systems. Further, we propose a hotfix to enhance users' privacy and security in ACRS by removing sensitive data from the crash report prior to submit the report to the server. Our proposed hotfix can be easily integrated into the current implementation of ACRS and has no impact on the process of fixing bugs while maintaining the reports' readability.

研究の動機と目的

• 実世界のウェブブラウザクラッシュレポートシステムにおける個人情報および機密情報の漏洩の程度を調査すること。
• 主要なウェブブラウザから6年間にわたり収集された250万件の部分的に匿名化されたクラッシュレポートのデータセットを分析すること。
• パスワード、メールアドレス、連絡先情報などの特定の種類の機密情報がクラッシュレポートに含まれているかどうかを同定すること。
• 送信前にURLおよびユーザー記述から機密情報を削除する、軽量なクライアント側の即時修正策を提案すること。
• 提案された解決策が、開発者によるレポートの可読性を維持しつつ、ユーザーのプライバシーを強化できることを保証すること。

提案手法

• 本研究では、主要なウェブブラウザから6年間にわたり収集された250万件の部分的に匿名化されたクラッシュレポートのデータセットを分析する。
• 正規表現を用いて、URLおよびユーザー記述内の機密情報を検出し、置換するパターンベースのデータ除去アルゴリズムを設計する。
• URLおよびユーザーフィードバックフィールド内に存在する「sessionid=」、「password=」、および「email=」といった一般的な機密情報パターンを標的とする。
• マッチした機密値は「****」に置換され、URLの構造的可読性を保ちつつ、漏洩を防止する。
• 手動による500件のURLの検査を用いて、可読性への影響を評価した結果、92％以上の可読性保持が確認された。
• 本手法は、パフォーマンスへの影響やバグ診断プロセスに影響を与えることなく、既存のACRS実装への容易な統合が可能である。

実験結果

リサーチクエスチョン

• RQ1 実世界のブラウザクラッシュレポートに、どのような種類および量の機密個人情報が含まれているか？
• RQ2 自動クラッシュレポートシステム（ACRS）の現在の実装が、ユーザーのプライバシーをどの程度損なっているか？
• RQ3 開発者によるレポートの利用可能性を損なわせることなく、クライアント側で機密データを効果的に削除できるか？
• RQ4 提案されたデータ除去手法が、クラッシュレポートの可読性および診断価値にどのように影響を与えるか？
• RQ5 ACRSにおけるデータプライバシーとレポートの有用性のトレードオフは何か？また、軽量なクライアント側フィルタリングによって最適化可能か？

主な発見

• 分析の結果、2万件を超えるセッションIDまたはトークンID、600件の平文パスワード、9,000件のメールアドレスがクラッシュレポートデータセットに含まれていることが判明した。
• さらに、ユーザー記述から名前、住所、電話番号などの連絡先情報の大量の抽出も確認された。
• 提案されたクライアント側のデータ除去手法により、機密情報のマスク後もURLの可読性が92％以上保持された。
• 手動評価の結果、500件のURLのうちわずか40件が可読性に顕著な影響を受けており、診断用途への影響は最小限に抑えられた。
• 本手法は、URLの根本的な構造やユーザー記述の診断的コンテンツを変更せずに、機密情報を効果的にマスクする。
• 本アプローチは軽量であり、即時修正として容易に導入可能であり、バグ修正プロセスやシステムパフォーマンスに干渉しない。