[논문 리뷰] Analyzing Confidentiality and Privacy Concerns: Insights from Android Issue Logs

Sherlock A. Licorish, Stephen G. MacDonell외 1명|arXiv (Cornell University)|2021. 02. 24.

Privacy, Security, and Data Protection참고 문헌 24인용 수 7

한 줄 요약

이 연구는 최근 세 차례의 주요 릴리스 동안 Android 이슈 로그에서 기밀성 및 개인정보 보호 문제를 문맥 분석을 통해 분석하여 이해관계자의 인식을 밝혀내었다. 그 결과, 기밀성 및 개인정보 보호 문제는 젤리빈 릴리스에서 가장 빈번하게 발생했으며, 주로 접근 제어, 자격 증명, 전화 잠금 기능에 대한 우려가 있었다. 또한 보안 기능에 대한 사용자 선호도가 상이함을 확인했으며, 사용성과 보호 기능의 균형을 맞추기 위해 구성 가능한 기본 보안 설정을 권장한다.

ABSTRACT

Context: Post-release user feedback plays an integral role in improving software quality and informing new features. Given its growing importance, feedback concerning security enhancements is particularly noteworthy. In considering the rapid uptake of Android we have examined the scale and severity of Android security threats as reported by its stakeholders. Objective: We systematically mine Android issue logs to derive insights into stakeholder perceptions and experiences in relation to certain Android security issues. Method: We employed contextual analysis techniques to study issues raised regarding confidentiality and privacy in the last three major Android releases, considering covariance of stakeholder comments, and the level of consistency in user preferences and priorities. Results: Confidentiality and privacy concerns varied in severity, and were most prevalent over Jelly Bean releases. Issues raised in regard to confidentiality related mostly to access, user credentials and permission management, while privacy concerns were mainly expressed about phone locking. Community users also expressed divergent preferences for new security features, ranging from more relaxed to very strict. Conclusion: Strategies that support continuous corrective measures for both old and new Android releases would likely maintain stakeholder confidence. An approach that provides users with basic default security settings, but with the power to configure additional security features if desired, would provide the best balance for Android's wide cohort of stakeholders.

연구 동기 및 목표

• 출시 후 피드백을 통해 Android의 이해관계자들이 기밀성 및 개인정보 보호 문제에 대해 어떻게 인식하고 있는지 이해하기 위해.
• 주요 Android 릴리스 전반에서 보안 우려의 심각도와 빈도를 특정하기 위해.
• 특히 기밀성 및 접근 제어와 관련된 새로운 보안 기능에 대한 사용자 선호도와 우선순위를 조사하기 위해.
• 사용자 피드백의 모순성과 Android 보안 설계에 대한 영향을 탐색하기 위해.
• 구형 및 신규 Android 릴리스 전반에 걸쳐 지속적인 보안 개선 전략을 제안하기 위해.

제안 방법

• 최근 세 차례의 주요 릴리스(젤리빈, 루프리, 마쉬멀로우) 동안의 Android 이슈 로그를 체계적으로 채굴하기 위해.
• 기밀성 및 개인정보 보호에 대한 이해관계자 의견을 해석하기 위해 문맥 분석 기법을 적용하기 위해.
• 사용자 의견의 공분산 분석을 통해 선호도 및 우선순위의 일관성 평가하기 위해.
• 보고된 문제를 기밀성(예: 접근, 자격 증명, 권한) 및 개인정보(예: 전화 잠금) 문제로 분류하기 위해.
• 보안 기능에 대한 사용자 선호도의 다양성을 확인하고, 느슨한 설정에서 엄격한 설정에 이르기까지 다양한 구성으로 나뉘어 있음을 파악하기 위해.
• 발견된 결과를 통합하여 균형 잡힌, 구성 가능한 보안 기본 설정을 위한 설계 권고로 정리하기 위해.

실험 결과

연구 질문

• RQ1 최근 릴리스 동안 Android 이해관계자들이 보고한 가장 일반적인 기밀성 및 개인정보 보호 문제들은 무엇인가요?
• RQ2 사용자 선호도가 보안 기능에 대해 어떻게 다름을 보이며, 피드백에서 어떤 패턴이 나타나나요?
• RQ3 Android의 주요 릴리스 전반에서 개인정보 및 기밀성 문제의 심각도와 빈도 분포는 어떻게 되나요?
• RQ4 이해관계자 의견이 보안 개선 우선순위를 표현하는 데 얼마나 일관성 있는가요?
• RQ5 사용자 구성 가능성을 유지하면서도 기본 보안을 유지할 수 있는 설계 전략은 무엇인가요?

주요 결과

• 기밀성 및 개인정보 보호 문제는 젤리빈 릴리스 주기 동안 가장 빈번하게 발생했다.
• 기밀성 문제의 주요 원인은 접근 제어, 사용자 자격 증명, 권한 관리였다.
• 개인정보 보호 문제의 대부분은 전화 잠금 메커니즘과 사용자 데이터 유출과 관련이 있었다.
• 새로운 보안 기능에 대한 사용자 선호도는 상당한 차이를 보였으며, 설정은 매우 엄격한 것에서 느슨한 것으로 다양했다.
• 이 연구는 기존 및 신규 Android 릴리스 전반에 걸쳐 지속적인 시정 조치가 필요함을 확인했으며, 이해관계자 신뢰를 유지하기 위해 필수적이다.
• 다양한 사용자 요구를 충족시키기 위해 강력한 기본 보안 설정을 제공하면서도 고급 설정을 선택적으로 구성할 수 있는 균형 잡힌 접근 방식이 최적의 해결책으로 제안되었다.