[論文レビュー] "If You Can't Beat them, Join them": A Usability Approach to Interdependent Privacy in Cloud Apps

Hamza Harkous, Karl Aberer|Infoscience (Ecole Polytechnique Fédérale de Lausanne)|Feb 27, 2017

Privacy, Security, and Data Protection参考文献 15被引用数 4

ひとこと要約

本稿では、クラウドアプリにおける相互依存的プライバシーリスクを軽減するための使いやすさ指向のアプローチを提案する。『履歴に基づく意思決定』— 以前に承認されたベンダーをユーザーに通知するプライバシーインジケータを導入することで、プライバシー損失を低減する。ユーザースタディーでは、このインジケータが低リスクアプリの選択確率を40%向上させた。シミュレーションでは、協力や利他の前提なしに、共同ネットワークにおけるプライバシー損失の増加を最大70%まで低減した。

ABSTRACT

Cloud storage services, like Dropbox and Google Drive, have growing ecosystems of 3rd party apps that are designed to work with users' cloud files. Such apps often request full access to users' files, including files shared with collaborators. Hence, whenever a user grants access to a new vendor, she is inflicting a privacy loss on herself and on her collaborators too. Based on analyzing a real dataset of 183 Google Drive users and 131 third party apps, we discover that collaborators inflict a privacy loss which is at least 39% higher than what users themselves cause. We take a step toward minimizing this loss by introducing the concept of History-based decisions. Simply put, users are informed at decision time about the vendors which have been previously granted access to their data. Thus, they can reduce their privacy loss by not installing apps from new vendors whenever possible. Next, we realize this concept by introducing a new privacy indicator, which can be integrated within the cloud apps' authorization interface. Via a web experiment with 141 participants recruited from CrowdFlower, we show that our privacy indicator can significantly increase the user's likelihood of choosing the app that minimizes her privacy loss. Finally, we explore the network effect of History-based decisions via a simulation on top of large collaboration networks. We demonstrate that adopting such a decision-making process is capable of reducing the growth of users' privacy loss by 70% in a Google Drive-based network and by 40% in an author collaboration network. This is despite the fact that we neither assume that users cooperate nor that they exhibit altruistic behavior. To our knowledge, our work is the first to provide quantifiable evidence of the privacy risk that collaborators pose in cloud apps. We are also the first to mitigate this problem via a usable privacy approach.

研究の動機と目的

• クラウドストレージエコシステムにおいて、共同作業者がユーザー自身のアプリ選択よりもプライバシーリスクをより大きく及ぼす程度を定量化すること。
• 承認時における履歴的承認データの可視化が、ユーザーが新たなリスクの高いベンダーにアクセスを許可する可能性を低下させることを調査すること。
• 履歴に基づくプライバシーインジケータが、共同クラウド環境における累積的プライバシー損失の低減にどの程度効果を発揮するかを評価すること。
• 大規模な共同ネットワークにおける、このような使いやすさの介入のネットワーク全体への影響をシミュレーションすること。
• 強制的でも、利他の動機でもない使いやすさのメカニズムが、相互依存的プライバシー被害を顕著に低減できることを示すこと。

提案手法

• 183名のGoogle Driveユーザーと131のサードパーティアプリの実データセットを分析し、ユーザーおよび共同作業者のアプリ承認によるプライバシー損失を測定した。
• 『履歴に基づく意思決定』を提案した—アプリ承認時に以前に承認されたベンダーを表示することで、ユーザーが既存のアクセスリスクを認識できるようにするプライバシーインジケータである。
• CrowdFlowerを用いたウェブベースのユーザーエクスペリメントを141名の参加者で実施し、プライバシーインジケータが意思決定に与える影響を評価した。
• Google Driveおよび著者ネットワークの大きな共同グラフに対して、履歴に基づく意思決定のネットワーク効果をシミュレーションし、スケーラビリティと影響を評価した。
• ゲーム理論的およびネットワークベースのモデリングを用いて、ユーザーが履歴データに基づいて新たなベンダーを避ける場合のプライバシー損失増加の低減を定量化した。
• 実世界に近い条件での使いやすさと有効性をテストするために、プライバシーインジケータを承認インターフェースに統合した。

実験結果

リサーチクエスチョン

• RQ1 クラウドストレージプラットフォームにおいて、共同作業者がユーザー自身のアプリ選択よりも、ユーザーのプライバシー損失にどの程度大きな寄与をしているか。
• RQ2 アプリ承認時に、以前に承認されたベンダーについてユーザーに知らせることで、ユーザーが新たなリスクの高いベンダーにアクセスを許可する可能性が低下するか。
• RQ3 履歴に基づく意思決定プロセスを採用した場合、共同クラウドエコシステムにおけるプライバシー損失の累積的増加にどのようなネットワーク全体の影響が生じるか。
• RQ4 ユーザーが自己利益志向であり、利他の行動を取らない場合でも、提案された使いやすさの介入が有効に機能するか。
• RQ5 このプライバシーインジケータは、Google Driveを越えた異なるクラウドおよび共同エコシステムにも一般化可能か。

主な発見

• 共同作業者がサードパーティアプリへのアクセスを許可する際、ユーザー自身が許可する場合に比べ、少なくとも39%高いプライバシー損失を引き起こす。
• 履歴に基づくプライバシーインジケータは、制御されたユーザースタディーにおいて、ユーザーがプライバシー損失を最小化するアプリを選択する可能性を顕著に高めた。
• Google Driveを基盤とする共同ネットワークのシミュレーションでは、履歴に基づく意思決定の採用により、ユーザーのプライバシー損失の増加が70%低減された。
• 同様のアプローチは、協力や利他の仮定なしに、著者共同ネットワークのシミュレーションでもプライバシー損失の増加を40%低減した。
• ユーザーは自発的に履歴的承認意思決定を考慮する傾向が低く、主動的な使いやすさの介入の必要性が浮き彫りになった。
• 提案されたアプローチは、過剰権限に焦点を当てた既存のプライバシーインジケータと相補的であり、それらと併用することでリスクをさらに低減できる。