[論文レビュー] Privacy Limitations Of Interest-based Advertising On The Web: A Post-mortem Empirical Analysis Of Google's FLoC

Alex Berke, Dan Calacci|arXiv (Cornell University)|Jan 31, 2022

Privacy, Security, and Data Protection被引用数 10

ひとこと要約

この論文は、第三者Cookieの代替として設計された、GoogleのFLoC（Federated Learning of Cohorts）の事後分析を実施している。9万件以上の米国デバイスを1年間対象とした実世界のデータセットにFLoCを適用した結果、FLoCは集団IDの系列を介して個々のユーザーを追跡可能にし、4週間以内に95％以上のユーザーが一意に特定可能であることが示された。これは、FLoCのプライバシー保証の根幹を揺るがすものである。

ABSTRACT

In 2020, Google announced it would disable third-party cookies in the Chrome browser to improve user privacy. In order to continue to enable interest-based advertising while mitigating risks of individualized user tracking, Google proposed FLoC. The FLoC algorithm assigns users to "cohorts" that represent groups of users with similar browsing behaviors so that ads can be served to users based on their cohort. In 2022, after testing FLoC in a real world trial, Google canceled the proposal with little explanation. In this work, we provide a post-mortem analysis of two critical privacy risks for FloC by applying an implementation of FLoC to a browsing dataset collected from over 90,000 U.S. devices over a one year period. First, we show how, contrary to its privacy goals, FLoC would have enabled cross-site user tracking by providing a unique identifier for users available across sites, similar to the third-party cookies FLoC was meant to be an improvement over. We show how FLoC cohort ID sequences observed over time can provide this identifier to trackers, even with third-party cookies disabled. We estimate the number of users in our dataset that could be uniquely identified by FLoC IDs is more than 50% after 3 weeks and more than 95% after 4 weeks. We also show how these risks increase when cohort data are combined with browser fingerprinting, and how our results underestimate the true risks FLoC would have posed in a real-world deployment. Second, we examine the risk of FLoC leaking sensitive demographic information. Although we find statistically significant differences in browsing behaviors between demographic groups, we do not find that FLoC significantly risks exposing race or income information about users in our dataset. Our contributions provide insights and example analyses for future approaches that seek to protect user privacy while monetizing the web.

研究の動機と目的

• FLoCが、興味ベース広告における第三者Cookieの代替として、実際にユーザーのプライバシーを強化しているかどうかを評価すること。
• 第三者Cookieを無効にした状態でも、FLoCが個々のユーザーのクロスサイト追跡を可能にするかどうかを調査すること。
• FLoCの集団割り当てが、人種や収入といった感受性の高いデモグラフィック情報の漏洩を引き起こすリスクがあるかどうかを評価すること。
• 今後のプライバシー保護型広告システムの設計に役立つ、実証的証拠とメソドロジカルな知見を提供すること。
• プライバシー保護型広告技術の設計と評価において、より高い透明性と再現可能性を求めるべきであるという主張をすること。

提案手法

• Googleの2021年試験設計文書およびエンジニアリングノートに基づき、FLoCアルゴリズムを再実装した。
• 5万戸の家庭に属する9万件以上の米国デバイスの1年間分のブラウジング履歴を含む実世界のデータセットに、FLoCアルゴリズムを適用した。
• 時間経過に伴う集団IDの系列を追跡し、複数サイト間でのユーザー識別子の独自性を評価した。
• FLoCの集団IDとブラウザフィンガープrint技術を組み合わせることで、ユーザーの再匿名化リスクを評価した。
• 人種や収入などのデモグラフィックグループ間でのブラウジング行動の統計的差異を分析し、感受性の高い情報の漏洩リスクを評価した。
• 追跡およびデモグラフィック情報漏洩リスクの保守的下限を推定するために感度分析を実施した。

実験結果

リサーチクエスチョン

• RQ1 FLoCの集団ID系列が、第三者Cookieが無効であっても、サイト間をまたいで個々のユーザーをどの程度一意に特定可能にするのか。
• RQ2 FLoCとブラウザフィンガープrintを組み合わせた場合、ユーザーの再匿名化リスクはどのように変化するのか。
• RQ3 FLoCアルゴリズムが、人種や収入といった感受性の高いデモグラフィック属性に基づいてユーザーを有意義にクラスタリングするのか。
• RQ4 実証的結果が、FLoCプロポーザルでGoogleが提示したプライバシーの約束とどのように一致するのか。
• RQ5 今後のプライバシー保護型広告システムの設計に、何を教訓とすべきか。

主な発見

• 観察期間が3週間経過した時点で、データセットに含まれる50％以上のユーザーが、FLoCの集団ID系列によって一意に特定可能であった。
• 4週間後には、95％を超えるユーザーがFLoCの集団ID系列によって一意に特定可能であり、これはFLoCが設計上の目的とは裏腹に個別化された追跡を可能にしていることを示している。
• FLoCとブラウザフィンガープrintを組み合わせると、再匿名化リスクが顕著に上昇し、FLoCが堅牢なプライバシー保護プリミティブではないことが示唆される。
• 人種や収入といったグループ間でブラウジング行動に統計的に有意な差異が認められる一方で、FLoCアルゴリズムはこれらの属性に基づいてユーザーを有意義にグループ化しなかったため、感受性の高いデモグラフィック情報の直接的漏洩は限定的であった。
• 本研究の結果は、最小限のトラッカー相互作用を仮定しており、すべての可能な追跡ヒューリスティクスを考慮していないため、現実世界の追跡リスクの保守的下限に過ぎない。
• これらの発見は、長期間にわたる追跡が可能な永続的識別子（たとえグループベースであっても）を用いるシステムでは、プライバシーの実現が根本的に困難であるという課題を浮き彫りにしている。