[論文レビュー] Privacy Issues of the W3C Geolocation API

Nick Doty, Deirdre K. Mulligan+1 more|arXiv (Cornell University)|Mar 9, 2010

Privacy, Security, and Data Protection参考文献 23被引用数 15

ひとこと要約

この論文は、W3C Geolocation APIのプライバシー保護を評価し、4つの主要な変更を提案する。すなわち、位置情報の粒度制御の有効化、機械可読および人間可読のプライバシーニュースの義務化、ユーザーの周囲のフィードバックによる透明性の向上、および位置情報提供者の身元と方針の開示を義務付けることである。著者らは、これらの変更により、位置ベースのウェブサービスにおけるユーザーのプライバシーと同意の質が著しく向上すると主張する。

ABSTRACT

The W3C's Geolocation API may rapidly standardize the transmission of location information on the Web, but, in dealing with such sensitive information, it also raises serious privacy concerns. We analyze the manner and extent to which the current W3C Geolocation API provides mechanisms to support privacy. We propose a privacy framework for the consideration of location information and use it to evaluate the W3C Geolocation API, both the specification and its use in the wild, and recommend some modifications to the API as a result of our analysis.

研究の動機と目的

• 位置情報の感受性を鑑み、W3C Geolocation APIがユーザーのプライバシーおよび身体的安心をどの程度サポートしているかを分析すること。
• 同意、透明性、データ最小化といったプライバシーメカニズムに関する、現在の仕様および実世界の実装におけるギャップを特定すること。
• 位置情報に特化した構造的なプライバシーフレームワークを策定し、Geolocation APIの設計および展開を評価すること。
• ユーザビリティや標準化の目標を損なわずに、プライバシー保護を強化する技術的および規定レベルの変更を提案すること。
• Google や Skyhook のような少数の支配的場所提供者による市場集中に起因するシステム的プライバシーリスクに対処すること。

提案手法

• 米国の法律基準および位置情報に関する社会的規範に基づくプライバシーフレームワークを構築し、最小化、同意の明確化、透明性、提供者責任といった原則に焦点を当てる。
• 特にユーザーエージェントおよびウェブサイトの要求要件に注目し、W3C Geolocation APIの規定を分析して、プライバシー保護メカニズムの支援状況を評価する。
• 事例研究およびウェブサイトの実践に関する探索的分析を通じて、実世界の実装を評価し、ユーザーのお知らせおよびデータ取り扱いにおける失敗を同定する。
• 座標のぼかしパラメータ、標準化されたプライバシーニュース、アームバント意識インジケータ、位置情報提供者の身元および方針の開示を義務付けるなど、APIへの技術的改善を提案する。
• Geoprivにインspiredされた双方向のプライバシールール通信の統合を提案し、ユーザーが位置データにプライバシーの好みを関連付けることを可能にする。
• ブラウザベンダーが、逆ジオコーディングおよび永続的な許可追跡を含め、ユーザーが位置情報共有を検査・制御できる機能を実装するよう推奨する。

実験結果

リサーチクエスチョン

• RQ1 現在のW3C Geolocation APIの規定は、データ最小化をどの程度サポートしており、正確な座標の送信を防いでいるか。
• RQ2 現在のウェブサイト実装は、ユーザーの位置情報の使用、保持、配布について、どの程度効果的にユーザーに通知しているか。
• RQ3 不透明なデータフローとフィードバックメカニズムの欠如が、位置情報共有におけるユーザーのコントロールと透明性をどのようないびつな形で損なっているか。
• RQ4 少数の位置情報提供者（例：Google や Skyhook）による市場集中が、ユーザーのプライバシーとセキュリティリスクをどの程度拡大させているか。
• RQ5 Web標準および展開実務と両立しつつ、ユーザーのプライバシーを最も効果的に向上させるために、Geolocation APIにどの技術的変更を加えるべきか。

主な発見

• W3C Geolocation APIには、位置情報の粒度制御を可能にするメカニズムが欠如しており、ユーザーが選択肢を持たないまま正確な緯度・経度が送信されるため、不要なリスクにさらされている。
• ウェブサイトは、ユーザーの位置情報がどのように使用・保持・共有されるかについて、明確で即時的かつ機械可読な通知を一貫して提供していないため、同意の明確化が損なわれている。
• 現在のユーザーエージェント実装では、位置情報共有が有効になっているかどうかを示すアームバントまたは永続的なフィードバックが提供されておらず、ユーザーはいつ・どこでデータが送信されているかを把握できない。
• Google や Skyhook のような少数の位置情報提供者の支配的状況は、集約リスクを生じさせており、ユーザーはブラウザがどの提供者を使っているのか、あるいはそのプライバシーポリシーがどのような内容であるのかをほとんど知らない。
• 標準化され、ユーザーがアクセス可能なプライバシーニュースおよびフィードバックメカニズムの欠如により、APIの同意モデルと実際のユーザーの意識・コントロールの間には顕著なギャップが生じている。
• Firefoxの実装は、データがGoogleに送信されることを明確に説明しているため、効果的な透明性と開示が技術的に実現可能であり、標準化されるべきであることが示されている。