[論文レビュー] To Extend or not to Extend: on the Uniqueness of Browser Extensions and Web Logins

Gábor György Gulyas, Dolière Francis Somé+2 more|arXiv (Cornell University)|Aug 22, 2018

Web Data Mining and Analysis参考文献 23被引用数 5

ひとこと要約

本論文は、ブラウザ拡張機能とウェブログインに基づくフォグ・プロセッシングに関する大規模な研究を提示しており、少なくとも1つの検出可能な拡張機能と1つのログインを持つユーザーの89.23%が一意に識別可能であることを示している。軽量な検出メカニズムを用いて、著者らは、拡張機能とログインの極めて一意な組み合わせを選択することで、625ミリ秒未満でフォグ・プロセッシングを実現できることを示しており、プライバシー拡張機能が逆にユーザーの独自性を高めるという、重要なプライバシーのトレードオフを浮き彫りにしている。

ABSTRACT

Recent works showed that websites can detect browser extensions that users install and websites they are logged into. This poses significant privacy risks, since extensions and Web logins that reflect user's behavior, can be used to uniquely identify users on the Web. This paper reports on the first large-scale behavioral uniqueness study based on 16,393 users who visited our website. We test and detect the presence of 16,743 Chrome extensions, covering 28% of all free Chrome extensions. We also detect whether the user is connected to 60 different websites. We analyze how unique users are based on their behavior, and find out that 54.86% of users that have installed at least one detectable extension are unique; 19.53% of users are unique among those who have logged into one or more detectable websites; and 89.23% are unique among users with at least one extension and one login. We use an advanced fingerprinting algorithm and show that it is possible to identify a user in less than 625 milliseconds by selecting the most unique combinations of extensions. Because privacy extensions contribute to the uniqueness of users, we study the trade-off between the amount of trackers blocked by such extensions and how unique the users of these extensions are. We have found that privacy extensions should be considered more useful than harmful. The paper concludes with possible countermeasures.

研究の動機と目的

• ブラウザ拡張機能とウェブログインが、ウェブ上でのユーザーの独自性にどの程度寄与するかを調査すること。
• トラッカーをブロックするが、同時にユーザーの独自性を高める可能性があるプライバシー指向のブラウザ拡張機能の導入に伴うプライバシーのトレードオフを評価すること。
• わずかな拡張機能およびログインのサブセットのみを用いて、フォグ・プロセッシングが実現可能で効率的であるかを測定すること。
• 拡張機能およびログインに基づくフォグ・プロセッシング特徴量の安定性と長期的信頼性を評価すること。
• プライバシーに配慮した設計を促進するため、プライバシー・バイ・デフォルトのブラウザ設定を提唱すること。

提案手法

• 本研究は、Web Accessible Resources (WAS) を介して Chrome 拡張機能のインストール状況を検出するカスタムウェブサイトを用い、URL リダイレクトおよび CSP 違反報告を用いてウェブサイトのログイン状況を検出する。
• ユーザー識別を効率的に行うために、最も一意な拡張機能とログインの組み合わせを特定するためのフォグ・プロセッシングアルゴリズム（Guly-Acs-Cast-16-PETS）を活用している。
• 検出パイプラインは、9か月間にわたり16,393人のユーザーから得たデータを処理し、平均して月間13,000～14,000の拡張機能と60のウェブサイトを同定している。
• 匿名集合サイズの計算を通じて独自性を評価し、高い独自性を達成する最小限の特徴量のセットを同定している。
• Ghostery や Privacy Badger などのプライバシー拡張機能とそのフォグ・プロセッシングへの影響を比較することで、トラッカーのブロッキングと独自性の増加のトレードオフを分析している。
• 繰り返しユーザーのデータが不足しているため、安定性分析は限定的であるが、著者らはこれを今後の重要な研究分野と特定している。

実験結果

リサーチクエスチョン

• RQ1 大規模な実世界環境下において、ブラウザ拡張機能はユーザーの独自性にどの程度寄与するか？
• RQ2 JavaScript が無効な場合でも、ウェブログイン行動に基づくユーザーの独自性はどの程度高いのか？
• RQ3 わずかな拡張機能およびログインのサブセットのみを用いて、効率的なフォグ・プロセッシングを実現できるか？
• RQ4 トラッキングブロッカー拡張機能の使用に伴うプライバシーのトレードオフは何か？（特に、それらがユーザーの独自性を高める可能性があることから）
• RQ5 ブラウザ拡張機能とウェブログインは、時間経過とともにフォグ・プロセッシング特徴量としてどの程度安定しているか？

主な発見

• 少なくとも1つの検出可能な Chrome 拡張機能をインストールしたユーザーの54.86%が、拡張機能のセットに基づいて一意に識別可能である。
• 少なくとも1つの検出可能なウェブサイトにログインしたユーザーの19.53%が、ログイン行動に基づいて一意に識別可能である。
• 少なくとも1つの検出可能な拡張機能と1つの検出可能なログインを持つユーザーの89.23%が一意に識別可能であり、両者の信号に強い相乗効果があることが示された。
• JavaScript が無効な状態でも、22.98%のユーザーがウェブログインのみで一意に識別可能であり、これは顕著なプライバシーのリスクを示している。
• 最も一意な拡張機能とログインの組み合わせのみを選択することで、625ミリ秒未満でフォグ・プロセッシングを実行可能であり、高い効率性を示している。
• Ghostery や Privacy Badger などのプライバシー拡張機能は、トラッカーのブロッキングにおいて顕著な利点を提供しており、独自性の増加という懸念にもかかわらず、むしろ有用であると考えるべきである。