[論文レビュー] SocialSpy: Browsing (Supposedly) Hidden Information in Online Social Networks

Andrea Burattin, Giuseppe Cascavilla+1 more|arXiv (Cornell University)|Jun 12, 2014

Privacy, Security, and Data Protection参考文献 16被引用数 6

ひとこと要約

本論文では、公開可能なFacebookツール—Graph API、Mutual Content Pages、FacePileプラグイン—を活用して、ユーザーが「非表示」に設定した友達リストを回避する四戦略のOSINT手法であるSocialSpyを提示する。この手法は平均で最大70%の友達ID回復を達成し、ユーザーが設定した制限にもかかわらず、Facebookのプライバシー保護の重大な欠陥を露呈する。

ABSTRACT

Online Social Networks are becoming the most important "places" where people share information about their lives. With the increasing concern that users have about privacy, most social networks offer ways to control the privacy of the user. Unfortunately, we believe that current privacy settings are not as effective as users might think. In this paper, we highlight this problem focusing on one of the most popular social networks, Facebook. In particular, we show how easy it is to retrieve information that a user might have set as (and hence thought as) "private". As a case study, we focus on retrieving the list of friends for users that did set this information as "hidden" (to non-friends). We propose four different strategies to achieve this goal, and we evaluate them. The results of our thorough experiments show the feasibility of our strategies as well as their effectiveness: our approach is able to retrieve a significant percentage of the names of the "hidden" friends: i.e., some 25% on average, and more than 70% for some users.

研究の動機と目的

• Facebookのプライバシー設定が、ユーザーが非表示にした友達リストを保護するのに効果的でないことを示すこと。
• 公開ツールのみを用いてプライベートなソーシャルネットワークデータを回復するOSINT技術の実行可能性を調査すること。
• Facebookのプライバシー制御を回避するための複数戦略の有効性を評価すること。
• ソーシャルネットワークにおける「認識されたプライバシー」と「実際のプライバシー」のギャップについての認識を高めること。
• 友達リスト再構築のための四つの異なるOSINTベースのアプローチをプロトタイプ化し、実験的に検証すること。

提案手法

• 本研究では四つのOSINT戦略を用いる：S1はMutual Content Pageを介して共通のいいねを活用；S2はFacePileプラグインを用いて共有いいねから友達を推定；S3はGraph APIを活用してユーザーデータを照会；S4は公開プロフィールおよびカバーフォトから友達IDを抽出。
• すべてのツール—Graph API、Mutual Content Pages、FacePile—は公開可能であり、認証や特別な権限を必要としない。
• 本アプローチは、公開公開データにのみ依存するため、基本的なスクリプトスキルを持つ攻撃者にとって実行可能である。
• 実験は二つのデータセットを用いて実施された：混合設定データセット（プライバシー設定が混合されたプロフィール）と公開データセット（完全に公開されたプロフィール）。
• 性能は、HTTPリクエストごとの友達ID回復数および時間経過に伴う回復率を測定し、戦略の効率性をデータセット間で比較した。
• プロフィールが空の場合にFacePileプラグインの候補友達選択にランダム性が生じるため、結果の解釈にその点を考慮した。

実験結果

リサーチクエスチョン

• RQ1 公開可能なFacebookツールをどれだけ活用して、ユーザーの非表示友達リストを再構築できるか？
• RQ2 異なるOSINT戦略が、さまざまなプライバシー設定下で、プライベートな友達IDをどれだけ効果的に回復できるか？
• RQ3 FacebookにおけるOSINTベースの友達リスト再構築の成功確率に影響を与える要因は何か？
• RQ4 なぜ戦略S4（公開カバーフォトを活用）が他の戦略よりも友達ID回復率で優れているのか？
• RQ5 公開プロフィールデータの可用性が、OSINT技術全体の有効性にどのように影響するか？

主な発見

• 全戦略の平均回復率は25%であり、一部のユーザーでは70%を超える友達が回復された。
• 戦略S4（公開カバーフォトを活用）は37.12%の最高回復率を達成し、特定ユーザーでは70%に達した。
• Facebookの設定では非表示にできないため、常に公開されているカバーフォトが、高い成功確率の主な要因となった。
• Mutual Content PageおよびFacePileプラグイン戦略（S1, S2, S3）は、それぞれ17.5%、17.4%、20.8%の回復率を示したが、友達候補のランダム性が要因となった。
• 公開データセットでは混合データセットよりも性能が顕著に高く、公開データの可用性が攻撃成功確率を直接的に高めることを確認した。
• 結果から、ユーザーがデータを非公開と信じている場合でも、OSINT技術と組み合わせることでFacebookのプライバシー設定がユーザーのデータ保護に失敗することが明らかになった。