[논문 리뷰] An Empirical Evaluation of GDPR Compliance Violations in Android mHealth Apps

Ming Fan, Le Yu외 7명|arXiv (Cornell University)|2020. 08. 13.

Advanced Malware Detection Techniques참고 문헌 43인용 수 13

한 줄 요약

이 논문은 개인정보 정책, GUI 기반 데이터 수집, 데이터 전송 보안을 분석하여 GDPR 준수 위반 사항을 자동으로 탐지하는 HPDroid라는 자동화된 시스템을 제안한다. 분석 결과, 796개의 mHealth 앱 중 23.7%는 개인정보 정책이 부족했고, 77.9%는 데이터 수집이 일관되지 않았으며, 민감한 데이터를 처리하는 59개 앱 중 오직 8개만이 안전한 전송 방식을 사용했으며, 모두 암호화 오용 문제를 겪고 있었다.

ABSTRACT

The purpose of the General Data Protection Regulation (GDPR) is to provide improved privacy protection. If an app controls personal data from users, it needs to be compliant with GDPR. However, GDPR lists general rules rather than exact step-by-step guidelines about how to develop an app that fulfills the requirements. Therefore, there may exist GDPR compliance violations in existing apps, which would pose severe privacy threats to app users. In this paper, we take mobile health applications (mHealth apps) as a peephole to examine the status quo of GDPR compliance in Android apps. We first propose an automated system, named \mytool, to bridge the semantic gap between the general rules of GDPR and the app implementations by identifying the data practices declared in the app privacy policy and the data relevant behaviors in the app code. Then, based on \mytool, we detect three kinds of GDPR compliance violations, including the incompleteness of privacy policy, the inconsistency of data collections, and the insecurity of data transmission. We perform an empirical evaluation of 796 mHealth apps. The results reveal that 189 (23.7\%) of them do not provide complete privacy policies. Moreover, 59 apps collect sensitive data through different measures, but 46 (77.9\%) of them contain at least one inconsistent collection behavior. Even worse, among the 59 apps, only 8 apps try to ensure the transmission security of collected data. However, all of them contain at least one encryption or SSL misuse. Our work exposes severe privacy issues to raise awareness of privacy protection for app users and developers.

연구 동기 및 목표

• mHealth 앱의 실세계 GDPR 준수 상태, 특히 개인정보 정책, 데이터 수집 일관성, 데이터 전송 보안 측면에서 조사하기 위해.
• GDPR의 일반적 규칙과 실제 앱 구현 간의 의미적 갭을 해소하기 위해, 준수 위반 사항을 자동으로 탐지할 수 있는 방법을 제공하기 위해.
• 실세계 앱에 대한 실증적 평가를 통해 개발자와 사용자 모두가 mHealth 앱의 개인정보 위험에 대해 인식을 높이기 위해.
• NLP, 정적 분석, 암호 분석을 통합하여 세밀하고 자동화된 방식으로 GDPR 위반 사항을 탐지할 수 있는 도구인 HPDroid를 개발하기 위해.

제안 방법

• HPDroid는 NLP와 머신러닝을 사용하여 개인정보 정책을 분류하고, GDPR이 요구하는 통지 항목 카테고리와 비교함으로써 정책의 완전성을 검출한다.
• 사용자 입력된 개인 건강 정보(PHI)를 입력 위젯을 통해 데이터 흐름을 파일이나 네트워크 전송으로 추적하기 위해, 사전 정의된 PHI 키워드 데이터베이스와 정적 타인트 분석을 사용하여 GUI 분석을 수행한다.
• 개인정보 정책에 명시된 데이터 수집 내용과 실제 데이터 수집 행동을 비교하여 일관성 없는 사항을 탐지한다.
• 데이터 전송 보안을 위해, 암호화 구현 방식을 식별하고 표준 보안 규칙 준수 여부를 점검하며, 암호화 또는 SSL 오용 여부를 경고한다.
• 정적 타인트 분석(FlowDroid, IccTA, EdgeMiner 사용)과 GUI 분석을 조합하여, 잠재적 오진(거짓 음성)이 존재하더라도 PHI 수집을 탐지한다.
• 정책 분류기의 훈련 및 평가를 위해 신뢰할 수 있는 기준 데이터셋을 구축하기 위해 삼중 모듈 중복 방식을 사용한다.

실험 결과

연구 질문

• RQ1 mHealth 앱은 GDPR이 요구하는 바에 따라 얼마나 완전한 개인정보 정책을 제공하는가?
• RQ2 mHealth 앱은 개인정보 정책에 명시된 내용보다 더 많은 데이터를 수집하는 경우가 얼마나 자주 발생하는가(일관성 결여를 의미함)?
• RQ3 민감한 건강 데이터를 처리하는 mHealth 앱 중에서 얼마나 많은 앱이 안전한 데이터 전송 방식을 구현했으며, 얼마나 많은 앱이 암호화 또는 SSL 오용을 겪고 있는가?
• RQ4 실세계 mHealth 앱에서 GDPR 준수 위반 사항의 보편성은 어떠한가, 특히 개인정보 정책의 완전성, 데이터 수집의 일관성, 전송 보안 측면에서?

주요 결과

• 796개의 mHealth 앱 중 189개(23.7%)는 완전한 개인정보 정책을 제공하지 않아 투명성에 심각한 실패가 있음을 시사한다.
• 다양한 방법으로 민감한 건강 데이터를 수집하는 59개 앱 중 46개(77.9%)는 일관되지 않은 데이터 수집 행동을 보이며, 데이터 최소화 원칙을 위반하고 있다.
• 민감한 데이터를 수집하는 59개 앱 중 오직 8개만이 안전한 데이터 전송 방식을 구현했고, 이 중 전부가 적어도 하나 이상의 암호화 또는 SSL 오용을 겪고 있었다.
• 정적 분석 도구에서 발생하는 거짓 음성의 존재는 실제로 준수 위반 사항의 빈도가 관찰된 것보다 더 높을 수 있음을 시사한다.
• GUI 기반의 PHI 탐지와 정적 타인트 분석의 조합은 데이터 수집 방식을 세밀하게 식별할 수 있게 하여 체계적인 개인정보 위험을 드러낸다.
• 실증적 평가 결과, 현재의 mHealth 앱은 GDPR 준수를 대부분 이행하지 못하고 있으며, 더 나은 도구 개발과 개발자 인식 향상의 긴급한 필요성을 드러낸다.