[論文レビュー] Effective Notification Campaigns on the Web: A Matter of Trust, Framing, and Support

Max Maaß, Alina Stöver+5 more|arXiv (Cornell University)|Nov 12, 2020

Privacy, Security, and Data Protection参考文献 31被引用数 12

ひとこと要約

本研究では、信頼性、フレーミング、支援要因をテストすることで、セキュリティの誤設定に対する有効なウェブ通知キャンペーンの効果を評価している。その結果、GoogleアナリティクスのIP匿名化失敗を法的遵守問題としてフレーミングした場合、特に法的研究所からの通知では、是正率が76.3%に上昇し、標準的なセキュリティ警告よりも顕著に優れていることが判明した。

ABSTRACT

Misconfigurations and outdated software are a major cause of compromised websites and data leaks. Past research has proposed and evaluated sending automated security notifications to the operators of misconfigured websites, but encountered issues with reachability, mistrust, and a perceived lack of importance. In this paper, we seek to understand the determinants of effective notifications. We identify a data protection misconfiguration that affects 12.7 % of the 1.3 million websites we scanned and opens them up to legal liability. Using a subset of 4754 websites, we conduct a multivariate randomized controlled notification experiment, evaluating contact medium, sender, and framing of the message. We also include a link to a public web-based self-service tool that is run by us in disguise and conduct an anonymous survey of the notified website owners (N=477) to understand their perspective. We find that framing a misconfiguration as a problem of legal compliance can increase remediation rates, especially when the notification is sent as a letter from a legal research group, achieving remediation rates of 76.3 % compared to 33.9 % for emails sent by computer science researchers warning about a privacy issue. Across all groups, 56.6 % of notified owners remediated the issue, compared to 9.2 % in the control group. In conclusion, we present factors that lead website owners to trust a notification, show what framing of the notification brings them into action, and how they can be supported in remediating the issue.

研究の動機と目的

• 自動化されたセキュリティお知らせの効果に影響を与える要因を調査すること。
• 信頼性の欠如、緊急性の不足、フレーミングの不備により、先行研究で観察された低水準の是正率を是正すること。
• 送信者アイデンティティ、連絡手段、メッセージフレーミングが、誤設定のお知らせに対するウェブサイト運営者の反応に与える影響を評価すること。
• 自己サービスツール、メール、電話支援などの支援メカニズムの需要と影響を評価すること。
• 477名の回答者を対象としたアンケートを通じて、ウェブサイト運営者がデータ保護の誤設定についてどれほど認識しているか、またその認識を理解すること。

提案手法

• ドイツの4,594人の運営者を対象に、4,754の非適合ウェブサイトを対象とした、密かで多変量のラントマイズド・コントロールド・エクスペリメントを実施した。
• ドイツの130万のウェブサイトをスキャンし、IP匿名化が行われていないGoogleアナリティクスの使用を特定した。これは、既知の法的遵守違反である。
• メールまたは郵送の手紙による通知を実施し、3つの異なる送信者（コンピュータサイエンス研究者、法的研究所、匿名グループ）と3つのメッセージフレーミング（セキュリティリスク、プライバシー問題、法的遵守）を組み合わせた。
• 是正状況を検証できる公開の自己サービスツール（CheckGA）を提供したが、検出を避けるために意図的に隠ぺいして設置した。
• メールおよび電話による支援を提供し、通知を受けたすべての運営者に、通知後のアンケートに回答するよう招待した。
• 条件ごとの是正率を分析し、アンケートデータを用いて信頼性、認識、支援の好みを評価した。

実験結果

リサーチクエスチョン

• RQ1 メールと手紙という異なる連絡手段、コンピュータサイエンス研究者と法的研究所という異なる送信者アイデンティティ、そしてセキュリティリスク、プライバシー問題、法的遵守という異なるメッセージフレーミングが、是正率にどのように影響するか？
• RQ2 自己サービスツール、メール、電話という支援形態の中で、ウェブサイト運営者が誤設定是正のために最も望み、かつ最も効果的なものは何か？
• RQ3 ウェブサイト運営者がセキュリティお知らせに対して信頼または不信を抱く要因は何か？
• RQ4 ウェブサイト運営者は、Googleアナリティクスの使用や関連するデータ保護リスクについて、どの程度認識しているか？
• RQ5 誤設定を法的遵守問題としてフレーミングした場合、プライバシーまたはセキュリティリスクとしてフレーミングした場合と比較して、是正行動にどのような影響を与えるか？

主な発見

• 法的研究所から送信された通知で、誤設定を法的遵守問題としてフレーミングした場合、是正率は76.3%に上昇した。一方、コンピュータサイエンス研究者から送信されたプライバシー問題として警告するメールでは、是正率は33.9%にとどまった。
• すべての通知グループの全体としての是正率は56.6%に達し、コントロールグループの9.2%よりも顕著に高い水準であった。
• アンケート回答者の19.5%が、自サイトでGoogleアナリティクスを使用していることに気づいていなかったため、データ処理ツールに関する認識の欠如が広範にわたっていることが示された。
• 是正を実施したウェブサイト運営者の36%が、Googleアナリティクスを完全に削除した。一部の運営者は、サイトそのものを一時停止した。これは、通知がより広範なセキュリティおよびプライバシー改善を促す可能性があることを示している。
• 自己サービスツール（CheckGA）は多数の利用を記録しており、透明性があり検証可能な是正支援の需要が強いことがうかがえる。
• 本研究では、法的フレーミングと送信者の信頼性が、信頼性と行動を顕著に向上させたことが判明した。また、送信者間でのメール配信性に顕著な差は認められなかった。