[論文レビュー] PrivacyProxy: Leveraging Crowdsourcing and In Situ Traffic Analysis to Detect and Mitigate Information Leakage

Gaurav Srivastava, Bhuwalka, Kunal+6 more|arXiv (Cornell University)|Aug 21, 2017

Advanced Malware Detection Techniques参考文献 34被引用数 13

ひとこと要約

PrivacyProxy は、デバイス内でのトラフィック分析と集団的に得られたハッシュ化署名を用いて、Android アプリにおける PII 輸出漏洩を検出・緩和するクライアント側でプライバシーを守るシステムである。実環境での展開では F1 スコア 0.885 を達成し、制御された実験では 0.759 を記録した。パフォーマンスへの影響は最小限であり、ユーザーが感じ取るパフォーマンスの安定性は非常に高い。

ABSTRACT

Many smartphone apps transmit personally identifiable information (PII), often without the users knowledge. To address this issue, we present PrivacyProxy, a system that monitors outbound network traffic and generates app-specific signatures to represent sensitive data being shared. PrivacyProxy uses a crowd-based approach to detect likely PII in an adaptive and scalable manner by anonymously combining signatures from different users of the same app. Furthermore, we do not observe users network traffic and instead rely on hashed signatures. We present the design and implementation of PrivacyProxy and evaluate it with a lab study, a field deployment, a user survey, and a comparison against prior work. Our field study shows PrivacyProxy can automatically detect PII with an F1 score of 0.885. PrivacyProxy also achieves an F1 score of 0.759 in our controlled experiment for the 500 most popular apps. The F1 score also improves to 0.866 with additional training data for 40 apps that initially had the most false positives. We also show performance overhead of using PrivacyProxy is between 8.6% to 14.2%, slightly more than using a standard unmodified VPN, and most users report no perceptible impact on battery life or the network.

研究の動機と目的

• 人気のスマートフォンアプリ、特にサードパーティライブラリを通じて発生する、同意のない PII 泄漏の増加という問題に対処すること。
• アプリや OS の変更を要せず、ユーザーのプライバシーを保護しながら個人識別情報（PII）を検出すること。
• ユーザーのデータを集約して検出精度を向上させるが、生のネットワーク内容を露呈しない、スケーラブルで適応可能なシステムの開発。
• 小さな信頼できるコンピューティングベースを維持しながら、PII 送信に対する細かく制御可能なユーザーの制御を可能にすること。
• 実世界および制御された環境における、システムの有効性、効率性、ユーザーの認識についての評価。

提案手法

• リアルタイムでユーザーのデバイス上で送出されるネットワークトラフィックを傍受・分析するローカル VPN プロキシを用いる。
• HTTP リクエストからキー値ペアを抽出し、暗号的にハッシュ化された署名を生成して、機微なデータのパターンを表現する。
• 複数のユーザーから得た匿名化された署名を統合する集団ベースのアルゴリズムを採用し、フォーマットが不明または難読化されている場合でも、おそらく PII を特定可能にする。
• 生の値を露呈せずに、複数ユーザーにわたる PII パatters の繰り返しを要約・検出するために、カウントミンスケッチデータ構造を適用する。
• デバイス内での処理を活用して、送信前に PII をフィルタリング・ブロックし、データ漏洩およびネットワークオーバーヘッドを最小限に抑える。
• 署名のハッシュ化や、辞書攻撃への耐性を高めるためのノイズ挿入などの、プライバシーを守る防御策を実装する。

実験結果

リサーチクエスチョン

• RQ1 アプリや OS の変更なしに、ユーザーのプライバシーを守りながら、Android アプリにおける PII 泄漏を検出できるか？
• RQ2 集団ベースの署名集約手法は、多様なアプリにおいて一般的な PII およびアプリ固有の PII を特定するのにどの程度有効か？
• RQ3 バッテリー消費、ネットワーク使用量、ユーザーが感じ取る応答性という観点から、このようなシステムのパフォーマンスオーバーヘッドはどの程度か？
• RQ4 ユーザー参加数やトレーニングデータの増加に伴い、検出精度はどのように向上するか？
• RQ5 従来のルールベースまたはヒューリスティックベースのシステムが見逃す PII の種別も検出できるか？

主な発見

• PrivacyProxy は 191 アプリを対象にした実環境での展開で F1 スコア 0.885 を達成し、実世界での検出性能が優れていることを示した。
• 500 個の一般的なアプリを対象にした制御実験では、F1 スコアが 0.759 であったが、追加のトレーニングデータにより 40 個の高誤検出率アプリでは 0.866 まで向上した。
• システムのパフォーマンスオーバーヘッドは 8.6% から 14.2% の間であり、標準の変更なしの VPN よりわずかに高いが、大多数のユーザーがバッテリーまたはネットワークパフォーマンスに顕著な影響を感じなかった。
• ユーザーのアンケート調査では、85% がバッテリー消費に変化を感じず、68% がネットワークパフォーマンスに変化を感じなかった。
• PrivacyProxy は、従来の研究よりも広範な PII の種別を検出できた。特にアプリ固有の識別子や難読化された値も含まれる。
• その適応的で署名ベースの検出メカニズムのおかげで、PII のハッシュ化やエンコードといったデータ難読化技術に対しても、耐性を示した。