[論文レビュー] Lalaine: Measuring and Characterizing Non-Compliance of Apple Privacy Labels at Scale

Yue Xiao, Zhengyi Li+5 more|arXiv (Cornell University)|Jun 13, 2022

Privacy, Security, and Data Protection被引用数 6

ひとこと要約

本論文では、iOSアプリのプライバシーラベルと実際のデータフローの間の非適合を測定・特徴付ける自動化システムLalaineを紹介する。動的実行、自然言語処理（NLP）、静的バイナリ解析を組み合わせることで、Lalaineは5,102個のアプリを分析し、3,423件のプライバシーラベル非適合を特定した。その結果、特にサードパーティのSDKやデータブローカーに関連する広範な不整合が明らかになった。

ABSTRACT

As a key supplement to privacy policies that are known to be lengthy and difficult to read, Apple has launched the app privacy labels, which purportedly help users more easily understand an app's privacy practices. However, false and misleading privacy labels can dupe privacy-conscious consumers into downloading data-intensive apps, ultimately eroding the credibility and integrity of the labels. Although Apple releases requirements and guidelines for app developers to create privacy labels, little is known about whether and to what extent the privacy labels in the wild are correct and compliant, reflecting the actual data practices of iOS apps. This paper presents the first systematic study, based on our new methodology named Lalaine, to evaluate data-flow to privacy-label (flow-to-label) consistency. Lalaine analyzed the privacy labels and binaries of 5,102 iOS apps, shedding light on the prevalence and seriousness of privacy-label non-compliance. We provide detailed case studies and analyze root causes for privacy label non-compliance that complements prior understandings. This has led to new insights for improving privacy-label design and compliance requirements, so app developers, platform stakeholders, and policy-makers can better achieve their privacy and accountability goals. Lalaine is thoroughly evaluated for its high effectiveness and efficiency. We are responsibly reporting the results to stakeholders.

研究の動機と目的

• iOSアプリにおけるAppleのプライバシーラベルと実際のデータ収集実態との整合性を調査すること。
• 特にサードパーティのSDKや曖昧な開示ガイドラインに起因するプライバシーラベル非適合の根本的原因を特定すること。
• スケーラブルな方法論として、大規模なフロー対ラベル不一致を検出する自動化された手法を開発・評価すること。
• プライバシーラベルの設計、コンプライアンス要件、プラットフォームの責任体制の改善に向けた実行可能なイン사이트を提供すること。

提案手法

• Lalaineは、Appleの四層構造プライバシーラベルに特化した新しい不一致モデルを採用し、データ使用目的、データ種別、データ項目を区別する。
• 実際のデータフローを引き起こすために自動化されたiOS UI実行を採用し、ネットワーク送信をキャプチャする動的バイナリ解析、および機密API呼び出しを抽出する静的解析を組み合わせる。
• 自然言語処理（NLP）を用いて、プライバシーラベルの記述を構造化されたデータ使用目的とデータ種別へ解析・マッピングする。
• 感受性の高いAPIを含むアプリ、またはラベル・ポリシーの不一致を示すアプリを優先するフィルタリング戦略を採用し、366,685件の収集済みアプリから6,332件のサンプルをスケーラブルに分析可能とした。
• 非適合を3つのカテゴリに分類する：フロー対ラベル不一致だがフロー対ポリシーは一致する、逆にフロー対ポリシー不一致だがフロー対ラベルは一致する、両方不一致。
• Crunchbaseを用いた企業照合により、ネットワークエンドポイントをカリフォルニア州の公式登録データブローカー一覧と照合することで、データブローカーを同定する。

実験結果

リサーチクエスチョン

• RQ1 Appleのプライバシーラベルは、iOSアプリの実際のデータ収集実態をどの程度正確に反映しているか？
• RQ2 実世界のiOSアプリにおけるプライバシーラベル非適合の主な根本的原因は何か？
• RQ3 プライバシーラベルがそのような共有を明記していないにもかかわらず、第三者のデータブローカーへデータ漏洩がどれほど広範にわたっているか？
• RQ4 大規模なiOSアプリサンプルにおいて、フロー対ラベル不一致とフロー対ポリシー不一致の比較はどのような傾向を示すか？
• RQ5 誤解を招く、不完全なプライバシーラベル開示は、ユーザーのプライバシーとプラットフォームの責任体制にどのような影響を及えるか？

主な発見

• Lalaineは、分析対象の5,102個のiOSアプリにおいて、合計3,423件のプライバシーラベル非適合を検出。ラベルと実際のデータフローの間の広範な不整合を示した。
• 273件の非適合アプリが、22のデータブローカーに機密データを送信しており、その主な受信先はUnity3D、AdColony、Kochava、Taboolaの順であった。
• 多くの非適合アプリでは、データ使用目的が誤ってラベル付けされていた。例えば、広告やマーケティング目的で使用されているデータを「分析」用と誤って記載していた。
• 多くの非適合事例は、第三者的なSDKによる曖昧なデータ収集に起因しており、たとえばIDFA/IDFVをAdjustに送信したり、ユーザーのメールアドレスをGoogle Analyticsに送信していたにもかかわらず、ラベルでは「診断データ収集のみ」と記載されていた。
• 本研究では、ラベルとポリシーの不一致を示すアプリの15％がフロー対ラベルでは一致しており、ポリシーに基づく監査だけではラベルの不正確さを検出できないことが明らかになった。
• これらの発見は、Appleの現在のプライバシーラベル制度が実効的な実行メカニズムを欠いており、プライバシーに配慮するユーザーを誤解させる誤った開示が可能であり、プラットフォームの信頼性を損なう要因となっていることを示している。