[論文レビュー] OVRseen: Auditing Network Traffic and Privacy Policies in Oculus VR

Rahmadi Trimananda, Hieu Le+4 more|arXiv (Cornell University)|Jun 9, 2021

Privacy, Security, and Data Protection参考文献 37被引用数 6

ひとこと要約

本論文では、Oculus VRにおけるネットワークトラフィックおよびプライバシーポリシーの監査を目的とした新規システムOVRseenを提示する。動的トラフィック解析とプライバシーポリシー抽出を統合し、乖離を露呈する。70%のデータフローがポリシーに記載されておらず、69%がコア機能とは関係のない目的で使用されていることが判明し、VRエコシステムにおける深刻なプライバシーリスクを示している。

ABSTRACT

Virtual reality (VR) is an emerging technology that enables new applications but also introduces privacy risks. In this paper, we focus on Oculus VR (OVR), the leading platform in the VR space and we provide the first comprehensive analysis of personal data exposed by OVR apps and the platform itself, from a combined networking and privacy policy perspective. We experimented with the Quest 2 headset and tested the most popular VR apps available on the official Oculus and the SideQuest app stores. We developed OVRseen, a methodology and system for collecting, analyzing, and comparing network traffic and privacy policies on OVR. On the networking side, we captured and decrypted network traffic of VR apps, which was previously not possible on OVR, and we extracted data flows, defined as . Compared to the mobile and other app ecosystems, we found OVR to be more centralized and driven by tracking and analytics, rather than by third-party advertising. We show that the data types exposed by VR apps include personally identifiable information (PII), device information that can be used for fingerprinting, and VR-specific data types. By comparing the data flows found in the network traffic with statements made in the apps' privacy policies, we found that approximately 70% of OVR data flows were not properly disclosed. Furthermore, we extracted additional context from the privacy policies, and we observed that 69% of the data flows were used for purposes unrelated to the core functionality of apps.

研究の動機と目的

• Oculus VRアプリが実際にはどのように個人情報を収集・共有しているかを、プライバシーポリシーに記載されている内容と比較して調査すること。
• ルート化を必要としない方法で、Oculus Quest 2アプリのネットワークトラフィックをキャプチャ・復号・分析できるシステムの開発。
• VRアプリケーションにおける実際のデータフローとプライバシーポリシーの記載内容の不一致を同定すること。
• 特にコア機能とは関係のない目的でのデータ収集の目的を特定・特徴づけること。
• インマージブルプラットフォームにおけるプライバシーポリシー分析を向上させるために、VR固有のデータ型およびエンティティのオントロジーを構築すること。

提案手法

• OVRseenは、Android 10ベースのOculus OSに適応した修正版AntMonitorを用いて、140の代表的Oculus VRアプリからネットワークトラフィックをキャプチャ・復号する。
• Fridaを用いた動的解析とバイナリ解析を組み合わせ、UnityおよびUnreal Engineベースのアプリでストリップドバイナリが使用されている場合の証明書ピンニング回避を実現する。
• 復号済みトラフィックからデータフローをタプル⟨アプリ, データタイプ, 送信先⟩として抽出し、送信先をファーストパーティ、サードパーティ、ATS（広告・トラッキングサービス）に分類する。
• ネットワークトラフィックとポリシーテキストに基づき、VR固有のデータおよびエンティティのオントロジーを構築し、構造的分析を可能にする。
• PoliCheckを用いて、データフローをプライバシーポリシー文書にマッピングし、ネットワークとポリシーの整合性を検証する。
• PoliSisを活用して、プライバシーポリシーのテキストからデータ収集の目的を抽出・ラベル付けし、文脈的解釈を強化する。

実験結果

リサーチクエスチョン

• RQ1 Oculus VRアプリにおける実際のデータフローは、そのプライバシーポリシーに記載されたデータ収集の主張とどのように異なるか？
• RQ2 Oculus VRアプリが送信している個人情報および機微なデータの種別と、それらの送信先は何か？
• RQ3 データフローが、VRアプリケーションのコア機能とは関係のない目的にどれほど使用されているか？
• RQ4 プライバシーポリシーは、Oculus VRアプリの実際のネットワーク行動とどの程度整合しているか？
• RQ5 特にオブスクリュート化またはストリップドバイナリが使用されている場合、VRプラットフォームにおけるネットワークトラフィックおよびプライバシーポリシー監査の主な課題は何か？

主な発見

• ネットワークトラフィックで特定されたデータフローの約70%が、対応するプライバシーポリシーに記載されていなかった。
• データフローの69%が、分析やトラッキングなど、アプリのコア機能とは関係のない目的で使用されていた。
• Oculusプラットフォームは、大部分のデータフローがOculusまたは関連サービスに集中しているという高い集中化傾向を示しており、サードパーティ広告業者への送信は限定的であった。
• Oculus VRアプリは、個人識別情報（PII）、デバイスファーザープrintングデータ、およびVR固有のセンサデータ（例：アイトラッキング、手の動き）を幅広く送信している。
• Oculus Quest 2のUnityおよびUnrealベースアプリから、ストリップドバイナリやカスタム証明書検証による課題を克服してネットワークトラフィックの復号に成功した。
• 本研究では、ポリシーの主張と実際のデータ送信の間に顕著なギャップが確認され、VRにおけるデータ実務の透明性の欠如が示された。